Resumo executivo

Não existe uma categoria universal de dados “liberados” para uso em inteligência artificial generativa. A resposta depende da finalidade, da origem da informação, da presença de dados pessoais, da hipótese legal, das expectativas dos titulares, do contrato com o fornecedor, das medidas de segurança e do impacto do caso de uso.

Dados públicos não são automaticamente livres de proteção. Dados pseudonimizados podem continuar sujeitos à LGPD. Dados sensíveis, informações de crianças e adolescentes, segredos de negócio e materiais protegidos exigem cautelas adicionais. Mesmo quando a entrada não contém dados pessoais, a saída do modelo pode identificar uma pessoa ou produzir inferências sobre ela.

Para usar IA generativa com segurança jurídica, a empresa deve avaliar o ciclo completo: dados enviados no comando, arquivos anexados, bases conectadas, registros mantidos pelo fornecedor, uso para treinamento, conteúdo produzido e pessoas afetadas. Uma lista de ferramentas aprovadas ajuda, mas não substitui a análise do caso de uso.

1. Dados públicos: acessíveis não significa irrestritos

Uma informação disponível em site, rede social, diário oficial ou cadastro público pode continuar sendo dado pessoal. O fato de ser acessível não elimina os princípios da finalidade, adequação, necessidade, transparência e prevenção.

A empresa deve verificar o contexto em que o dado foi tornado público, as expectativas legítimas do titular e a compatibilidade do novo uso. Reunir informações dispersas para criar um perfil, inferir características ou automatizar uma decisão pode produzir impacto muito maior do que a publicação original.

Também é importante distinguir:

  • conteúdo efetivamente público de informação obtida por acesso indevido;

  • dado divulgado pelo próprio titular de dado publicado por terceiro;

  • consulta pontual de coleta massiva e contínua;

  • uso informativo de criação de perfil ou decisão sobre uma pessoa;

  • fonte pública de fonte sem autorização para redistribuição ou extração automatizada.

Raspagem de dados da internet pode envolver tratamento de dados pessoais. O Radar Tecnológico da ANPD sobre IA generativa chama atenção para esse tema e para os riscos de privacidade associados às grandes bases utilizadas por modelos.

2. Dados internos e confidenciais: a LGPD é apenas parte da análise

Nem todo dado empresarial é pessoal, mas isso não o torna adequado para qualquer ferramenta. Estratégia, preço, código-fonte, contrato, ata, segredo industrial, credencial, informação financeira e documento de cliente podem estar protegidos por confidencialidade, propriedade intelectual, sigilo profissional ou obrigações contratuais.

Antes de enviar conteúdo interno, a organização deve confirmar:

  • se a ferramenta foi aprovada para essa classificação de informação;

  • se o fornecedor pode usar a entrada ou a saída para treinar modelos;

  • se há isolamento entre clientes;

  • se os dados ficam registrados no histórico;

  • se o acesso administrativo é controlado;

  • se é possível definir retenção e exclusão;

  • se o contrato oferece confidencialidade e segurança adequadas;

  • se a empresa possui autorização para compartilhar informações de terceiros.

Uma solução corporativa contratada com controles específicos não deve ser confundida com a versão pública do mesmo produto. Configuração, contrato, ambiente e finalidade fazem diferença.

3. Dados pessoais comuns: identifique a hipótese legal e limite o uso

Nome, e-mail, telefone, localização, identificadores on-line, histórico de atendimento e qualquer informação relacionada a pessoa natural identificada ou identificável podem ser dados pessoais.

O tratamento precisa se enquadrar em uma das hipóteses legais da LGPD. Consentimento é apenas uma delas e não deve ser usado automaticamente. Conforme o caso, podem ser relevantes execução de contrato, cumprimento de obrigação legal ou regulatória, exercício regular de direitos, proteção da vida, tutela da saúde, proteção do crédito ou legítimo interesse, entre outras hipóteses previstas em lei.

A escolha deve considerar a operação concreta. Uma hipótese adequada para prestar um serviço pode não autorizar o uso dos mesmos dados para treinar um modelo ou desenvolver produto diferente.

Quando a empresa invocar legítimo interesse, é recomendável documentar a finalidade, a necessidade e o balanceamento com direitos e liberdades do titular. O guia da ANPD orienta um teste com essas etapas e destaca a legítima expectativa da pessoa. Essa hipótese não deve ser tratada como autorização genérica e, segundo o entendimento da ANPD, aplica-se a dados pessoais de natureza não sensível.

Medidas úteis incluem minimização, controle de acesso, separação de identificadores, restrição de retenção, informação transparente e opção de intervenção quando apropriada.

4. Dados pessoais sensíveis: proteção reforçada

A LGPD considera sensíveis os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual e dados genéticos ou biométricos vinculados a uma pessoa.

Esses dados seguem as hipóteses legais específicas do artigo 11. O legítimo interesse, isoladamente, não é base legal para tratamento de dados sensíveis.

Em IA generativa, a sensibilidade pode surgir de três formas:

  • o dado sensível é inserido diretamente no comando ou arquivo;

  • o sistema acessa uma base que contém essa informação;

  • a saída infere ou revela uma característica sensível, ainda que ela não tenha sido declarada.

Casos envolvendo saúde, biometria ou perfis de pessoas exigem avaliação reforçada. A simples remoção do nome pode não ser suficiente quando outras informações permitem identificar o titular.

6. Dados anonimizados e pseudonimizados não são equivalentes

Dados anonimizados, quando não permitem a identificação do titular por meios técnicos razoáveis disponíveis na ocasião, não são considerados dados pessoais para fins da LGPD, ressalvadas as hipóteses legais. A anonimização, porém, deve ser avaliada como processo baseado em risco, e não como simples retirada de nomes.

Combinações de atributos, bases auxiliares e avanços tecnológicos podem permitir reidentificação. Em grandes modelos, também deve ser considerada a possibilidade de memorização ou reprodução de fragmentos.

Já a pseudonimização substitui identificadores diretos por códigos ou chaves, mas normalmente preserva a possibilidade de associação ao titular. Por isso, o conjunto pseudonimizado continua sujeito à LGPD. A técnica é uma salvaguarda importante, não uma exclusão automática da lei.

7. Prompts, arquivos e bases conectadas

Os dados chegam à IA generativa por diferentes caminhos. Cada um precisa ser mapeado.

Comandos e anexos

Usuários podem inserir nomes, trechos de contratos, mensagens, planilhas e imagens sem perceber que estão compartilhando informação protegida. Avisos claros, bloqueios técnicos e treinamento reduzem esse risco.

Busca em base corporativa

Soluções que consultam repositórios internos podem gerar respostas mais precisas, mas devem respeitar permissões de origem. A IA não deve ampliar o acesso de um usuário a documentos que ele não poderia consultar diretamente.

Ajuste ou treinamento do modelo

Usar dados próprios para ajustar um modelo é diferente de consultá-los pontualmente. O tratamento pode ser mais duradouro e a exclusão mais complexa. Finalidade, qualidade, retenção, direitos, segurança e reversibilidade precisam estar documentados.

Registros de uso

Comandos, respostas, feedback e metadados podem ser armazenados para auditoria ou melhoria. A empresa deve definir quais registros são necessários, quem acessa, por quanto tempo são mantidos e como são eliminados.

Saídas do modelo

Uma resposta pode conter dado pessoal incorreto, desatualizado, excessivo ou obtido de fonte desconhecida. Antes de utilizar ou publicar o conteúdo, é necessário verificar fatos, origem, pertinência e possível impacto sobre pessoas.

8. O fornecedor usa os dados para treinar o modelo?

Essa pergunta deve ser respondida por evidências, não por suposição. Política de privacidade, documentação técnica, configurações e contrato precisam ser lidos em conjunto.

O processo de contratação pode verificar:

  • papéis de controlador, operador e eventuais suboperadores;

  • instruções documentadas para o tratamento;

  • uso de entradas, saídas e feedback para treinamento;

  • possibilidade real de desativar reutilização;

  • categorias de dados admitidas e proibidas;

  • localização do processamento e armazenamento;

  • subcontratados e mecanismos de transferência internacional;

  • retenção, exclusão e devolução ao término do contrato;

  • medidas de segurança e gestão de acessos;

  • prazo de notificação e cooperação em incidentes;

  • atendimento a direitos dos titulares;

  • evidências de auditoria e alterações relevantes do serviço.

As funções contratuais dependem das decisões efetivamente tomadas por cada parte. A denominação usada no contrato não prevalece, por si só, sobre a realidade da operação.

9. Transferência internacional de dados

Muitos serviços de IA processam ou armazenam informações fora do Brasil. Quando houver transferência internacional de dados pessoais, a empresa deve observar a LGPD e o Regulamento aprovado pela Resolução CD/ANPD nº 19/2024.

A transferência exige uma hipótese legal aplicável e um mecanismo válido. O regulamento disciplina, entre outros, decisões de adequação, cláusulas-padrão contratuais, cláusulas específicas e normas corporativas globais. O fluxo deve ser limitado ao mínimo necessário para sua finalidade.

Não basta o fornecedor declarar que opera globalmente. É preciso identificar países, entidades, suboperadores, finalidade, mecanismo adotado e salvaguardas.

10. Transparência e direitos dos titulares

O aviso de privacidade deve explicar o tratamento de forma clara e compatível com o risco. Conforme o caso, pode ser necessário informar:

  • finalidade do uso de IA;

  • categorias e fontes dos dados;

  • compartilhamentos e transferências;

  • período ou critério de retenção;

  • existência de decisão automatizada relevante;

  • canal para exercer direitos;

  • contato do encarregado;

  • consequências relevantes do tratamento.

Se a IA apoiar decisão tomada unicamente com base em tratamento automatizado que afete interesses do titular, deve ser analisado o artigo 20 da LGPD, incluindo o direito de solicitar revisão. A supervisão humana precisa ser efetiva, não apenas formal.

Também devem existir processos para confirmação, acesso, correção, anonimização, bloqueio, eliminação e demais direitos aplicáveis. Limitações técnicas do fornecedor não eliminam a responsabilidade de estruturar o atendimento.

Conclusão

A empresa pode utilizar dados em IA generativa quando a operação possui finalidade legítima, fundamento jurídico adequado, necessidade demonstrada e salvaguardas proporcionais. A pergunta não se encerra na natureza do dado: ferramenta, configuração, contrato, fluxo internacional, retenção, saída e impacto também fazem parte da análise.

Uma governança eficiente combina classificação da informação, inventário de casos de uso, ferramentas autorizadas, revisão humana, diligência de fornecedores e documentação das decisões. Para situações de alto risco, a avaliação deve ocorrer antes da implantação e ser revista ao longo do ciclo de vida.

Chamada institucional

O Nascimento Peixoto Advogados pode apoiar empresas na avaliação jurídica de casos de uso de inteligência artificial, definição de bases legais, elaboração de Relatórios de Impacto, revisão de contratos com fornecedores e integração entre governança de IA, privacidade e segurança da informação.

Material associado sugerido: Checklist de Dados para IA Generativa, com critérios de classificação, base legal, ferramenta, fornecedor, transferência internacional, retenção e revisão humana.

Conteúdo informativo e geral. Não constitui parecer jurídico, promessa de resultado ou recomendação para caso específico. A aplicação da LGPD depende das características de cada operação e requer avaliação jurídica própria.

Fontes oficiais consultadas

Fontes verificadas em 29 de setembro de 2026. Normas, orientações e configurações dos fornecedores devem ser novamente conferidas na data da publicação.