Governança de IA e LGPD: Como Se Conectam na Prática

Governança de IA e LGPD são inseparáveis: sempre que um sistema de Inteligência Artificial usa dados pessoais — no treinamento, no prompt ou no output — ele está dentro do escopo da Lei Geral de Proteção de Dados. Isso significa base legal, transparência, direitos do titular, RIPD (quando aplicável) e responsabilização do controlador. Ignorar essa sobreposição é uma das principais fontes de risco em projetos de IA hoje.

Onde IA e LGPD se sobrepõem

Três pontos concentram o risco:

• Dados pessoais em prompts — quando colaboradores colam CPFs, e-mails, currículos ou dados de clientes em ferramentas de IA generativa de terceiros.
• Treinamento de modelos — bases usadas para treinar ou ajustar modelos podem conter dados pessoais e exigem base legal adequada.
• Outputs — inferências e decisões automatizadas geradas pelo modelo são, elas próprias, tratamento de dados pessoais.

Base legal para uso de dados em IA

Não existe “base legal de IA” na LGPD. Vale o rol do artigo 7º (ou artigo 11 para dados sensíveis). Consentimento é frágil para treinamento em larga escala; legítimo interesse pode ser usado em muitos casos, desde que sustentado por um balanceamento formal e por medidas de mitigação — e não se aplica a dados sensíveis. Cumprimento de obrigação legal e execução de contrato também podem ser aplicáveis conforme o caso de uso.

RIPD aplicado a IA

O Relatório de Impacto à Proteção de Dados é obrigatório quando o tratamento pode gerar risco alto para direitos e liberdades dos titulares. Projetos de IA de alto risco — decisão automatizada relevante, uso de dados sensíveis, perfilamento em larga escala — quase sempre pedem RIPD, com avaliação específica de viés, explicabilidade e supervisão humana. Esse documento é também sua principal evidência frente à ANPD.

Decisão automatizada e o artigo 20

O artigo 20 da LGPD garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses — como perfil de consumo, crédito e aspectos da personalidade. Isso implica:

• Informar o titular sobre o uso de IA na decisão.
• Registrar o raciocínio do modelo o suficiente para justificar o resultado.
• Ter um processo formal de revisão (humana, quando o titular solicitar ou quando o regulador entender necessário).

O Marco Legal da IA (PL 2338) reforça e amplia esse direito — os dois marcos passam a operar juntos.

IA de terceiros: um risco de TPRM

A maior parte das empresas não desenvolve IA do zero: contrata APIs e produtos de terceiros. Cada um deles é um fornecedor que trata dados pessoais em nome da sua empresa. Sem gestão adequada, dados de clientes vazam pelo prompt de uma ferramenta gratuita e ninguém consegue rastrear. Por isso a governança de IA se conecta diretamente ao TPRM: due diligence, cláusulas contratuais de LGPD, avaliação de segurança e monitoramento contínuo do fornecedor.

Como operar as duas juntas

Na prática, privacidade e IA devem estar no mesmo programa:

• Inventário unificado: registro de operações de tratamento (RoPA) que inclua os sistemas de IA e as bases usadas.
• Política de uso responsável de IA integrada às políticas de privacidade e segurança.
• DPO e responsável por IA alinhados — muitas vezes com a governança de IA reportando ao DPO ou ao mesmo comitê.
• RIPD conjunto para projetos de IA de alto risco.
• Trilha de evidências única para responder à ANPD sobre LGPD e sobre o Marco Legal da IA.

Como a Autoritas apoia

Os módulos vDPO (privacidade e LGPD) e vCAIO (governança de IA) da Autoritas foram desenhados para operarem juntos, no modelo Consulting as a Software. A base de privacidade — mapeamento de dados, DSAR, RIPD e evidências — é a mesma que sustenta a governança de IA. Se sua empresa está estruturando um programa de privacidade LGPD agora, é o momento certo de incluir IA no escopo. Para um raio-X inicial, use o diagnóstico de maturidade.