LGPD e automação com IA: o que mapear antes de enviar dados
Mapeie finalidade, dados, fornecedores e controles. Use a LGPD e a ANPD como ponto de partida para avaliar o tratamento no seu processo.
Antes de enviar dados pessoais a uma ferramenta de automação ou IA, mapeie finalidade, necessidade, hipótese legal, destinatários e controles. A LGPD se aplica ao tratamento de dados pessoais nas situações previstas em seu texto, inclusive em meios digitais. Este guia organiza perguntas para a análise concreta e não constitui parecer jurídico ou certificação.
Mapeie o tratamento inteiro
Liste o que entra, de onde vem e para que serve. Identifique quem recebe conteúdo em cada etapa: plataforma, modelo, armazenamento, suporte e destino. Considere registros de execução e ambientes de teste. O dado pode permanecer em logs mesmo quando o fluxo só precisava interpretá-lo por alguns segundos.
Não reduza a análise ao aplicativo principal. Uma conexão adicional pode enviar o mesmo conteúdo a outro fornecedor. Registre também acessos internos e exportações. O mapa precisa mostrar onde a pessoa titular aparece, quais informações permitem identificá-la e quais campos poderiam ser removidos sem prejudicar a finalidade. Necessidade deve ser examinada no desenho, antes da cópia.
Avalie finalidade e fundamento com os responsáveis
A LGPD estabelece princípios e hipóteses para tratamento. A escolha depende do contexto; consentimento não deve ser usado como resposta automática para qualquer operação. Dados sensíveis exigem análise específica. Envolva o responsável por privacidade e assessoria qualificada quando houver dúvida ou impacto relevante.
| Pergunta | Registro esperado |
|---|---|
| Para que usar? | Finalidade concreta e compreensível |
| Quais dados? | Campos necessários e campos excluídos |
| Quem recebe? | Componentes e fornecedores |
| Quem acessa? | Papéis autorizados |
| Por quanto tempo? | Critério de retenção e exclusão |
| Como atender direitos? | Procedimento e canal responsável |
Este quadro é um instrumento de organização, não lista exaustiva de obrigações. A condição de empresa pequena não deve ser interpretada como dispensa geral de proteção. Consulte as regras aplicáveis e os materiais da ANPD. A análise precisa considerar risco, natureza dos dados e forma de uso, não apenas tamanho ou orçamento da organização.
Examine contratos e configurações
Leia as condições de uso de dados do fornecedor para o serviço e plano específicos. Verifique retenção, acesso de suporte, uso para melhoria de modelos, exclusão e subcontratação. Não atribua a um produto as condições de outro serviço com nome parecido. Guarde a versão da documentação utilizada na decisão.
Se houver circulação internacional, avalie o arranjo à luz das regras aplicáveis com os responsáveis. Escolher um servidor em determinada região não prova, sozinho, que todo tratamento permanece ali. Suporte, telemetria e chamadas externas podem alterar o mapa. A decisão depende de evidência contratual e técnica, e não apenas de uma opção visual no painel.
Minimize antes de transmitir
Remova campos que a tarefa não usa. Troque exemplos reais por sintéticos quando isso bastar para testar. Reduzir conteúdo também pode facilitar validação e diminuir custo, mas o motivo principal deve ser coerente com a finalidade. Não envie uma base inteira para classificar um único campo de texto.
Exemplo ilustrativo: um piloto classifica assunto de solicitações. O nome, telefone e identificador de pagamento podem ser dispensáveis para essa tarefa. Um identificador interno permite reconciliar resultado sem apresentar todas as informações ao modelo. Isso não torna automaticamente o dado anônimo: avalie possibilidade de identificação e o contexto com os responsáveis.
Proteja acesso, histórico e exclusão
Use credenciais de serviço com privilégio adequado, restrinja quem lê execuções e não coloque segredos no conteúdo enviado à IA. Defina o que será registrado e quem pode investigar falhas. A orientação de segurança da ANPD oferece um ponto de partida para discutir medidas administrativas e técnicas.
Teste a exclusão. É possível apagar somente a entrada e manter cópias em arquivo, histórico ou exportação. O procedimento precisa considerar esses locais conforme finalidade e obrigações. Guarde evidência suficiente para operação e atendimento de direitos, sem transformar depuração em retenção indefinida. Quando houver obrigação de conservação, avalie com responsáveis antes de eliminar.
Defina quando não avançar
Se ninguém consegue explicar a finalidade, identificar destinatários ou confirmar condições contratuais relevantes, mantenha o piloto com dados sintéticos até resolver. Se o processo envolve decisões com impacto importante sobre pessoas, faça avaliação específica. Um resultado convincente da IA não substitui autorização nem fundamento para o tratamento.
Registre pendências e a pessoa responsável por resolvê-las. A checklist técnica ajuda a verificar se a discussão aconteceu, mas não decide a conformidade. Reavalie quando mudar o tipo de dado, a finalidade, o fornecedor ou a forma de decisão. Uma aprovação antiga pode não cobrir o novo uso que a equipe pretende fazer.
Registre quem poderá aprovar uma mudança de finalidade ou a entrada de novo fornecedor. Uma conexão adicional feita para facilitar um teste pode alterar o tratamento sem passar pela mesma avaliação. O procedimento de mudança deve conferir o mapa de dados e as condições de acesso antes de ativar a nova etapa. Isso evita que o desenho aprovado se afaste silenciosamente da operação real.
Perguntas frequentes
Consentimento resolve qualquer uso?
Não. A análise envolve finalidade, princípios, hipótese aplicável e outros requisitos. Consentimento não deve ser coletado como formalidade para encobrir um desenho inadequado. Procure orientação para o contexto real.
Dados sintéticos eliminam todo risco?
Eles ajudam a evitar exposição de dados reais no teste, se forem de fato criados sem reproduzir pessoas. Ainda existem riscos técnicos e operacionais. Verifique também se nenhum registro real foi incluído por engano.
A checklist comprova conformidade?
Não. Ela organiza evidências e responsabilidades. A avaliação jurídica e técnica depende do processo completo, das condições dos fornecedores e das normas aplicáveis. Não trate contagem de caixas como certificação.
Fontes
- LGPD — texto oficial — princípios, hipóteses e responsabilidades.
- ANPD — segurança — materiais de orientação e checklist.
