LGPD e inteligência artificial: o que a lei exige de quem usa IA com dados pessoais
BlogComo a LGPD se aplica à inteligência artificial: princípios, bases legais, revisão de decisões automatizadas, multas e o que a ANPD já fez.
A LGPD (Lei 13.709/2018) vale para qualquer sistema de inteligência artificial que trate dados pessoais: exige base legal para o tratamento (art. 7º), obriga a respeitar princípios como finalidade, necessidade e não discriminação (art. 6º) e dá ao titular o direito de pedir a revisão de decisões tomadas unicamente por tratamento automatizado (art. 20). O descumprimento pode render multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração (art. 52, II).
A tese deste artigo: a LGPD não é uma lei de IA, e é justamente por isso que ela já regula a IA hoje. Qualquer empresa que treine, contrate ou use um modelo com dados de pessoas identificáveis responde por ela, sem esperar uma lei específica. Quem lidera projetos desse tipo precisa conhecer o texto, e a formação em governança de IA, como a do MBA FGV em Inteligência Artificial, trata o tema entre as disciplinas do curso.
A LGPD se aplica à inteligência artificial?
Sim, sempre que o sistema trate dado pessoal. O art. 5º da LGPD define dado pessoal como a informação relacionada a pessoa natural identificada ou identificável e define tratamento como qualquer operação feita com esses dados, como coleta, armazenamento, uso, compartilhamento, eliminação ou avaliação. Treinar um modelo com textos, imagens ou registros de clientes é coleta e uso. Responder a um cliente com um chatbot que consulta o cadastro é uso e avaliação.
A exceção é o dado anonimizado. Segundo o art. 12, o dado anonimizado não é considerado pessoal, salvo quando o processo de anonimização puder ser revertido com meios próprios do controlador ou com esforço razoável, o que se mede por custo, tempo e tecnologia disponíveis. Um conjunto de dados "sem nome" que ainda permite identificar a pessoa por cruzamento continua sob a lei.
Quais princípios da LGPD pesam mais para quem usa IA?
O art. 6º lista 10 princípios, e seis deles são os que mais aparecem em projetos de IA:
| Princípio | O que exige | Como aparece em um projeto de IA |
|---|---|---|
| Finalidade | Propósitos legítimos, específicos e informados ao titular | Dados coletados para o atendimento não podem treinar outro modelo sem nova justificativa |
| Adequação | Compatibilidade com a finalidade informada | O uso do modelo deve combinar com o motivo da coleta |
| Necessidade | Tratar o mínimo indispensável | Selecionar só os campos que o modelo realmente usa |
| Transparência | Informação clara ao titular | Avisar que há decisão ou interação automatizada |
| Não discriminação | Vedação a fins discriminatórios, ilícitos ou abusivos | Testar o modelo para identificar vieses antes de colocá-lo em produção |
| Responsabilização e prestação de contas | Demonstrar medidas eficazes de conformidade | Documentar decisões, testes e controles |
O princípio da necessidade costuma ser o mais ignorado, porque a prática comum em IA é reunir o máximo possível de dados. Pela lei, a pergunta correta é qual é o mínimo que o projeto exige, e não quanto se consegue coletar.
Qual base legal usar para treinar ou operar uma IA?
O art. 7º lista 10 bases legais, e nenhum tratamento pode acontecer sem pelo menos uma delas. As mais usadas em projetos de IA são estas:
| Base legal (art. 7º) | Quando faz sentido em IA | Cuidado principal |
|---|---|---|
| Consentimento | Quando o titular aceita um uso específico, como personalização | Precisa ser livre, informado e inequívoco, para finalidade determinada, e pode ser revogado |
| Execução de contrato | Quando o tratamento é necessário para entregar o serviço contratado | Não cobre usos adicionais, como treinar outro modelo |
| Legítimo interesse | Quando o controlador tem finalidade legítima e concreta | O art. 10 limita o tratamento aos dados estritamente necessários e a lei admite que os direitos do titular prevaleçam |
| Obrigação legal ou regulatória | Quando a lei exige o tratamento, como em prevenção a fraudes reguladas | Vale só dentro do que a norma exige |
| Proteção do crédito | Em modelos de análise de crédito | Atrai o direito de revisão do art. 20 |
Para dados pessoais sensíveis, o art. 5º, II inclui origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dado genético e dado biométrico. O art. 11 exige consentimento específico e destacado ou o enquadramento em uma das hipóteses restritas da lei. Um sistema de reconhecimento facial, por tratar dado biométrico, entra nessa categoria mais protegida.
O que a LGPD garante a quem é alvo de uma decisão automatizada?
O art. 20 garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o perfil pessoal, profissional, de consumo e de crédito. O §1º obriga o controlador a fornecer informações claras sobre os critérios e os procedimentos usados, respeitados os segredos comercial e industrial. Pelo §2º, se a empresa recusar a informação invocando segredo, a ANPD pode fazer uma auditoria para verificar aspectos discriminatórios.
Há uma ausência importante. A versão aprovada pelo Congresso previa, em um §3º, que a revisão fosse feita por pessoa natural, ou seja, por um ser humano. O Presidente da República vetou esse parágrafo (Mensagem nº 288/2019), com o argumento de que exigir revisão humana para toda decisão automatizada contrariava o interesse público e poderia inviabilizar modelos de negócio, como a análise de crédito. O resultado é que a lei garante a revisão, mas não obriga que quem revise seja uma pessoa.
Qual é a multa por violar a LGPD em projetos de IA?
A multa simples é de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52, II). A tabela simula o teto para diferentes faturamentos. Hipótese ilustrativa, não é dado de empresas reais.
| Faturamento no Brasil (último exercício) | 2% do faturamento | Teto máximo por infração |
|---|---|---|
| R$ 100 milhões | R$ 2 milhões | R$ 2 milhões |
| R$ 1 bilhão | R$ 20 milhões | R$ 20 milhões |
| R$ 2,5 bilhões | R$ 50 milhões | R$ 50 milhões |
| R$ 5 bilhões | R$ 100 milhões | R$ 50 milhões (limitado) |
O limite de R$ 50 milhões passa a valer a partir de R$ 2,5 bilhões de faturamento (50 milhões ÷ 0,02). Abaixo disso, o teto é o próprio percentual. A multa é apenas uma das sanções do art. 52: a lei prevê também advertência, publicização da infração, bloqueio e eliminação dos dados, suspensão parcial do banco de dados e do tratamento por até 6 meses, prorrogáveis uma vez por igual período, e proibição parcial ou total das atividades de tratamento. A suspensão e a proibição só podem ser aplicadas depois de ao menos uma das sanções de multa, publicização, bloqueio ou eliminação.
O art. 42 acrescenta a responsabilidade civil: quem causar dano patrimonial, moral, individual ou coletivo por violar a lei deve repará-lo, e o operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador. Em um projeto com fornecedor de IA, o contrato precisa dizer quem responde por quê.
O que a ANPD já fez sobre inteligência artificial?
A Autoridade Nacional de Proteção de Dados (ANPD) já agiu contra o uso de dados de usuários no treinamento de IA. Em decisão publicada no Diário Oficial de 2 de julho de 2024, ela determinou a suspensão imediata da nova política de privacidade da Meta, que permitia usar dados publicados no Facebook, no Instagram e no WhatsApp para treinar modelos de IA, com multa diária de R$ 50 mil em caso de descumprimento e prazo de cinco dias úteis para cumprir. O fundamento foi o risco iminente de dano grave e irreparável aos direitos dos titulares.
A agência também testa regras em ambiente controlado. Segundo reportagem do Convergência Digital de 2 de setembro de 2026, o primeiro sandbox regulatório de IA da ANPD aborda transparência, observabilidade e explicabilidade de decisões automatizadas, ligadas ao art. 20 da LGPD, com três empresas participantes e resultados completos previstos para o fim de outubro de 2026. A mesma reportagem registra que não há ainda norma ou guia geral da ANPD sobre IA, e que a agência tem processos sobre o uso de dados pessoais para treinar IA generativa.
O que um estudo da Strong aponta sobre as lacunas da lei?
Segundo a Revista Estudos e Negócios, publicação da Strong Business School (nº 39, jul–dez/2025, p. 62), uma monografia do curso de Direito da Strong sobre neurodireitos conclui que a LGPD não menciona dados neurais de forma expressa, o que exige interpretações extensivas das normas existentes. O trabalho lembra que a Emenda Constitucional nº 115 colocou a proteção de dados no rol de direitos e garantias da Constituição e cita o Projeto de Lei nº 2.174/2023, que traz princípios como liberdade cognitiva, privacidade mental e consentimento explícito, mas, por ser norma programática, não prevê sanções civis ou penais.
O caso dos dados neurais ilustra um padrão que vale para a IA em geral: a LGPD cobre o tratamento de dados pessoais, mas não foi escrita para cada tecnologia, e o intérprete precisa aplicar princípios gerais a situações novas. Quem projeta sistemas de IA não pode esperar que a lei cite sua tecnologia para se considerar sujeito a ela.
Como adequar um projeto de IA à LGPD?
Uma sequência prática, em seis passos, organiza a adequação antes do lançamento, e é o tipo de rotina que cabe a um Analista de Compliance:
- Mapeie os dados. Liste quais dados pessoais entram no treinamento e na operação do sistema.
- Defina a finalidade por escrito, de modo específico.
- Escolha a base legal para cada finalidade, e use consentimento específico para dados sensíveis, salvo hipóteses do art. 11.
- Elabore o relatório de impacto. O art. 38 autoriza a ANPD a exigir o relatório de impacto à proteção de dados, com descrição dos dados coletados, dos métodos de coleta e segurança e das medidas de mitigação de risco.
- Abra um canal de revisão para decisões automatizadas, com os critérios explicáveis (art. 20).
- Nomeie o encarregado. O art. 41 exige que o controlador indique um encarregado e divulgue publicamente sua identidade e contato.
O mapeamento do passo 1 costuma revelar mais dados do que a equipe imaginava. Hipótese ilustrativa, não é dado de empresa real. Um chatbot de atendimento que recebe 120.000 conversas por mês e em que 15% contêm dado pessoal identificável (nome, CPF, endereço) processa 18.000 conversas com dados pessoais por mês (120.000 × 0,15), ou 216.000 por ano (18.000 × 12). Se essas conversas forem reaproveitadas para treinar um novo modelo, cada uma exige base legal e finalidade compatível.
Que carreiras e formações lidam com LGPD e IA?
A advocacia é a porta mais direta. O Guia de Carreiras da Strong, na página do Advogado, afirma que a advocacia moderna é interdisciplinar e cita a proteção de dados (LGPD) entre as áreas que exigem lógica, dados e ferramentas. Para consultar o salário, a referência é a página da carreira no Guia de Carreiras. A graduação em Direito da Strong tem 5 anos, funciona de dia em Santo André e tem início em fevereiro de 2027.
No lado da conformidade, a página do Analista de Compliance relaciona a demanda por esses profissionais à onda global de regulação, que inclui a LGPD. Para quem quer entender o risco do lado técnico e de gestão, o MBA FGV em Inteligência Artificial inclui a disciplina Gestão Responsável e Governança de IA e, segundo a página do curso, ensina a avaliar riscos, governança e segurança da informação em projetos de IA.
Fontes e metodologia
Os artigos da LGPD (5º, 6º, 7º, 10, 11, 12, 18, 20, 38, 41, 42 e 52) foram conferidos no texto da Lei 13.709/2018 no portal do Planalto, e o veto ao §3º do art. 20 na Mensagem nº 288/2019 e na Lei 13.853/2019, também no Planalto. A decisão da ANPD contra a Meta vem da cobertura do MobileTime de 2/7/2024 sobre a publicação no Diário Oficial. As informações sobre o sandbox de IA da ANPD vêm da reportagem do Convergência Digital de 2/9/2026. Os dados do MBA, da graduação em Direito e das carreiras vêm das páginas da Strong e do Guia de Carreiras. Todas as consultas foram feitas em 17/10/2026. As simulações são deste artigo, com a aritmética conferida. O artigo é informativo e não substitui a consulta a um advogado especializado em proteção de dados.
Perguntas frequentes sobre LGPD e inteligência artificial
A LGPD proíbe o uso de inteligência artificial?
Não. Ela exige base legal, finalidade definida, necessidade, transparência e segurança no tratamento de dados pessoais, qualquer que seja a tecnologia.
Treinar um modelo com dados de clientes precisa de consentimento?
Não necessariamente. O art. 7º lista 10 bases legais, e o consentimento é só uma delas. Mas a base escolhida deve cobrir a finalidade específica do treinamento, e dados sensíveis seguem as regras mais restritas do art. 11.
O titular pode contestar uma decisão tomada por algoritmo?
Sim. O art. 20 garante o direito de solicitar a revisão de decisões tomadas unicamente por tratamento automatizado que afetem seus interesses, e o controlador deve informar os critérios usados, respeitado o segredo comercial.
Qual é a multa máxima da LGPD?
Até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração.
Quem fiscaliza a LGPD no uso de IA?
A ANPD, que já agiu no caso do treinamento de IA da Meta em 2024 e mantém um sandbox regulatório de IA em andamento.
Que profissional cuida da LGPD em projetos de IA?
O encarregado (DPO) é exigido pelo art. 41, e o trabalho envolve advogados e analistas de compliance. Veja a carreira de Analista de Compliance e o MBA FGV em Inteligência Artificial.
