La pregunta que llega al área legal casi siempre es “¿podemos usar ChatGPT?”. Es la pregunta equivocada, y por eso nunca tiene una buena respuesta. La LGPD no regula herramientas: regula el tratamiento de datos personales. La misma herramienta puede ser perfectamente lícita para revisar un texto de marketing e ilícita para resumir la ficha de un paciente.
La pregunta correcta es: ¿qué dato personal está entrando en esa herramienta, con qué finalidad, bajo qué base legal, y eso está registrado? Esta guía recorre lo que exige la Ley brasileña 13.709/2018, artículo por artículo, aplicado al uso corporativo de inteligencia artificial.
Este material es informativo y no sustituye una asesoría jurídica. Las decisiones sobre base legal, prueba de interés legítimo y encuadre de transferencia internacional dependen del contexto de cada operación y deben validarse con el área legal o con el encargado de protección de datos.
Cuándo se aplica la LGPD al uso de IA
El disparador es la presencia de dato personal: cualquier información relativa a una persona natural identificada o identificable (art. 5, I). En el uso cotidiano de IA, el dato personal entra por caminos que rara vez se perciben como “tratamiento”:
- El nombre de un cliente o proveedor dentro de un correo pegado para resumir.
- Un acta o transcripción de reunión, que contiene nombres y voces de los participantes.
- Un currículum enviado para preselección — y aquí puede haber dato sensible.
- Planillas de nómina, evaluaciones de desempeño, registros de asistencia.
- Una base de clientes subida para “analizar patrones”.
- Una captura de pantalla de un sistema interno pegada para pedir ayuda con un error.
Cuando hay dato sensible (art. 5, II — origen racial, convicción religiosa, opinión política, afiliación sindical, salud, vida sexual, dato genético o biométrico), el régimen es más estricto: las bases legales del art. 11 son un conjunto menor y más exigente que las del art. 7. El dato biométrico merece atención específica en herramientas de voz: la voz es dato biométrico, y la transcripción de reuniones es una de las entradas de IA más difundidas hoy en las empresas.
Qué exige la ley, artículo por artículo
| Artículo | Exigencia | Cómo aparece en el uso de IA |
|---|---|---|
| Art. 6 | Principios: finalidad, adecuación, necesidad, transparencia, seguridad, prevención, responsabilidad. | La necesidad es el más vulnerado: pegar la planilla entera cuando bastaban tres columnas es tratamiento más allá de lo necesario, incluso con base legal válida. |
| Art. 7 y 11 | Base legal para cada operación de tratamiento. | La base se elige por finalidad, no por herramienta. Una misma herramienta puede operar bajo bases distintas en usos distintos. |
| Art. 9 | Información clara al titular sobre la finalidad y el compartir. | Si el dato de cliente va a un proveedor de IA, eso debe reflejarse en el aviso de privacidad — y la mayoría de los avisos se escribió antes de que la IA entrara en la operación. |
| Art. 18 | Derechos del titular, incluidos supresión e información sobre con quién se compartió. | Es imposible responder “con quién se compartió mi dato” si la empresa no sabe qué herramientas de IA están en uso. |
| Art. 20 | Derecho a revisión de decisiones tomadas únicamente con base en tratamiento automatizado. | Preselección de currículums, análisis de crédito y priorización de atención hechas por IA entran aquí, con deber de informar criterios. |
| Art. 33 y 34 | Requisitos para la transferencia internacional de datos. | La mayor parte de las herramientas de IA procesa fuera de Brasil. Necesita un encuadre formal: que el proveedor sea conocido no es uno. |
| Art. 37 | Registro de las operaciones de tratamiento. | Cada uso relevante de IA sobre dato personal es una operación y debería constar en el registro. Es el hallazgo más frecuente en auditoría. |
| Art. 38 | Informe de impacto a la protección de datos, cuando lo solicite la autoridad. | El uso de IA de alto impacto sobre titulares es candidato natural: mejor producirlo antes de que lo pidan. |
| Art. 39 | El operador debe tratar los datos conforme a las instrucciones del controlador. | Exige contrato. Aceptar los términos de uso estándar de una herramienta gratuita normalmente no lo cumple. |
| Art. 46 | Medidas de seguridad técnicas y administrativas. | Incluye saber quién tiene acceso a qué: difícil de sostener sin inventario de lo que está en uso. |
| Art. 48 | Comunicación de incidentes a la autoridad y al titular en un plazo razonable. | Solo es posible con detección. Sin visibilidad, el incidente lo descubren terceros. |
Elegir la base legal: el error del consentimiento
La tentación es pedir consentimiento para todo. En una relación laboral eso es frágil: existe asimetría entre empleador y empleado, y un consentimiento que la persona no se siente libre de negar tiende a no sostenerse como manifestación libre. Además, el consentimiento es revocable en cualquier momento (art. 8, § 5), lo que vuelve inestable cualquier proceso que dependa de él.
En la práctica, los encuadres más usados en el contexto corporativo de IA son:
- Ejecución de contrato (art. 7, V) — cuando el tratamiento es necesario para entregar lo que el cliente contrató.
- Cumplimiento de obligación legal o regulatoria (art. 7, II) — típico en sectores regulados.
- Interés legítimo (art. 7, IX) — la base más usada para herramientas internas de productividad. Exige una prueba de ponderación documentada entre el interés de la empresa y los derechos del titular, y no cubre datos sensibles.
El interés legítimo no es una base comodín: es la que más documentación exige. Si se invoca, hay que poder mostrar la prueba de ponderación realizada, la expectativa razonable del titular y las medidas adoptadas para reducir el impacto. Sin ese documento es una afirmación, no un encuadre.
Transferencia internacional (art. 33)
Casi toda herramienta de IA relevante procesa datos fuera de Brasil: Estados Unidos mayoritariamente, pero también Reino Unido, Unión Europea, India y China. Enviar datos personales a esas herramientas es transferencia internacional y necesita encuadrarse en una de las hipótesis del art. 33.
Para la mayoría de las empresas el camino práctico es el contractual. La autoridad brasileña aprobó en 2024 cláusulas contractuales estándar que pueden adoptarse con ese fin, lo que redujo bastante la incertidumbre anterior. Eso implica, sin embargo, algo que muchas empresas no hicieron: tener contrato con el proveedor de IA. Una cuenta gratuita aceptada por un empleado bajo los términos de uso estándar no establece esa relación.
Vale la distinción que confunde a mucha gente: el país sede del proveedor no es lo mismo que la residencia de datos. Una empresa estadounidense puede ofrecer procesamiento en una región específica en su plan corporativo. Nuestro catálogo público informa el país sede como señal de jurisdicción, pero dónde se procesa el dato depende del plan contratado y debe confirmarse con el proveedor.
El punto que decide casi todo: gratuito vs. corporativo
Entre una cuenta gratuita y una cuenta corporativa de la misma herramientasuele haber una diferencia que cambia el encuadre entero: el comportamiento por defecto respecto al uso del dato para entrenar el modelo, y la existencia de un contrato de tratamiento.
| Cuenta personal / gratuita | Plan corporativo | |
|---|---|---|
| Uso del dato para entrenamiento | Frecuentemente habilitado por defecto | Normalmente deshabilitado por contrato |
| Contrato de tratamiento (art. 39) | Términos estándar, aceptados por el empleado | Contrato firmado por la empresa |
| Transferencia internacional | Sin encuadre formal | Abordable mediante cláusulas contractuales |
| Registro y auditabilidad | Ninguno: la empresa no sabe que existe | Administrable y auditable |
Esto tiene una consecuencia operativa directa: saber que “usaron ChatGPT” importa menos que saber en qué plan. Dos personas usando la misma herramienta pueden estar en situaciones jurídicas completamente distintas. Una detección que no distingue cuenta y plan deja esa brecha abierta.
Checklist de cumplimiento
En el orden en que suele preguntar un auditor — y en el orden en que tiene sentido resolver:
- Inventario. ¿Existe una lista de lo que está en uso, mantenida al día? Sin ella, los puntos siguientes son declaración, no evidencia.
- Registro de operaciones (art. 37). ¿Los usos de IA sobre dato personal constan en el registro, con finalidad, base legal, categorías de titulares y destinatarios?
- Base legal. ¿Cada finalidad tiene base definida y, cuando es interés legítimo, prueba de ponderación documentada?
- Contratos (art. 39). ¿Hay contrato de tratamiento con los proveedores de IA usados sobre dato personal?
- Transferencia internacional (art. 33). ¿Hay encuadre formal para los proveedores que procesan fuera de Brasil?
- Aviso de privacidad (art. 9). ¿El aviso refleja el compartir con proveedores de IA?
- Decisiones automatizadas (art. 20). Donde hay decisión sobre personas, ¿existe vía de revisión e información sobre criterios?
- Política y capacitación. ¿Hay política publicada, comunicada y con evidencia de adhesión? Ver el modelo comentado.
- Respuesta a incidentes (art. 48). ¿Existe detección capaz de percibir el incidente antes de que avise un tercero?
Ocho de los nueve puntos dependen del primero. Los programas de adecuación que empiezan escribiendo política y registro de operaciones sobre un entorno no inventariado documentan la empresa que se imagina tener, no la que existe — y esa diferencia es la que aparece en la auditoría.
Qué está en juego
Las sanciones del art. 52 van desde advertencia hasta multa de hasta el 2 % de la facturación en Brasil, limitada a 50 millones de reales por infracción, además del bloqueo o eliminación de los datos involucrados y la publicación de la infracción. En la práctica, para la mayoría de las empresas el costo relevante llega antes que la autoridad: el cliente corporativo que exige debida diligencia de privacidad en el contrato, la aseguradora que pregunta por gobernanza de IA en la renovación, y la auditoría de certificación que se traba por falta de registro.
Preguntas frecuentes
¿La LGPD prohíbe usar ChatGPT en la empresa?
No. La LGPD no prohíbe ninguna herramienta específica. Regula el tratamiento de datos personales: si la herramienta recibe datos personales, hace falta base legal, registro de la operación, información al titular, contrato con el proveedor y una vía lícita para la transferencia internacional. Si la herramienta solo recibe datos no personales, la LGPD no se aplica a ese uso.
¿Usar IA sin registrarlo es una infracción aunque no haya fuga?
Sí. La irregularidad no depende de un incidente. Tratar datos personales sin base legal (art. 7), sin que conste en el registro de operaciones (art. 37) o sin informar al titular (art. 9) ya es incumplimiento en sí mismo. La fuga es un agravante, no el hecho generador.
¿Qué base legal usar para la IA en la empresa?
Depende de la finalidad, no de la herramienta. Para uso interno de productividad sobre datos de empleados, se suele evaluar el interés legítimo (art. 7, IX) con una prueba de ponderación documentada. Para el tratamiento de datos de clientes dentro de la ejecución del contrato, el inciso V. El consentimiento (inciso I) rara vez es la mejor opción en una relación laboral, por la asimetría entre las partes.
¿Enviar datos a una herramienta de IA en EE. UU. es transferencia internacional?
Sí, y se aplica el art. 33. Hay que encuadrarla en una de las hipótesis previstas; en la práctica, para la mayoría de las empresas, cláusulas contractuales con el proveedor. La autoridad brasileña de protección de datos aprobó cláusulas contractuales estándar en 2024 que pueden adoptarse con ese fin.