A pergunta que chega ao jurídico quase sempre é “podemos usar ChatGPT?”. É a pergunta errada, e por isso ela nunca tem uma resposta boa. A LGPD não regula ferramentas — regula o tratamento de dados pessoais. A mesma ferramenta pode ser perfeitamente regular para revisar um texto de marketing e irregular para resumir a ficha de um paciente.
A pergunta correta é: que dado pessoal está entrando nessa ferramenta, com que finalidade, sob qual base legal, e isso está registrado? Este guia percorre o que a Lei 13.709/2018 exige, artigo por artigo, aplicado ao uso corporativo de inteligência artificial.
Este material é informativo e não substitui parecer jurídico. As decisões de base legal, teste de legítimo interesse e enquadramento de transferência internacional dependem do contexto de cada operação e devem ser validadas com o jurídico ou com o encarregado da sua empresa.
Quando a LGPD se aplica ao uso de IA
O gatilho é a presença de dado pessoal — qualquer informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). No uso cotidiano de IA, o dado pessoal entra por caminhos que raramente são percebidos como “tratamento”:
- Nome de cliente ou fornecedor dentro de um e-mail colado para ser resumido.
- Ata ou transcrição de reunião, que contém nome e voz dos participantes.
- Currículo enviado para triagem — e aqui pode haver dado sensível.
- Planilha de folha, avaliação de desempenho, registro de ponto.
- Base de clientes enviada para “analisar padrões”.
- Print de tela de sistema interno colado para pedir ajuda com um erro.
Quando há dado sensível (art. 5º, II — origem racial, convicção religiosa, opinião política, filiação sindical, dado referente à saúde, à vida sexual, genético ou biométrico), o regime é mais restrito: as bases legais do art. 11 são um conjunto menor e mais exigente que as do art. 7º. Dado biométrico merece atenção específica em ferramentas de voz — voz é dado biométrico, e transcrição de reunião é uma das entradas de IA mais difundidas nas empresas hoje.
O que a lei exige, artigo por artigo
| Artigo | Exigência | Como isso aparece no uso de IA |
|---|---|---|
| Art. 6º | Princípios: finalidade, adequação, necessidade, transparência, segurança, prevenção, responsabilização. | Necessidade é o mais violado: colar a planilha inteira quando bastavam três colunas é tratamento além do necessário, mesmo com base legal válida. |
| Art. 7º e 11 | Base legal para cada operação de tratamento. | A base é escolhida por finalidade, não por ferramenta. Uma mesma ferramenta pode operar sob bases diferentes em usos diferentes. |
| Art. 9º | Informação clara ao titular sobre a finalidade e o compartilhamento. | Se dado de cliente vai para um fornecedor de IA, isso precisa estar refletido no aviso de privacidade — e a maioria dos avisos foi escrita antes da IA existir na operação. |
| Art. 18 | Direitos do titular, incluindo eliminação e informação sobre compartilhamento. | É impossível responder 'com quem meu dado foi compartilhado' se a empresa não sabe quais ferramentas de IA estão em uso. |
| Art. 20 | Direito a revisão de decisões tomadas unicamente com base em tratamento automatizado. | Triagem de currículo, análise de crédito e priorização de atendimento feitas por IA entram aqui, com dever de informar critérios. |
| Art. 33 e 34 | Requisitos para transferência internacional de dados. | A maior parte das ferramentas de IA processa fora do Brasil. Precisa de enquadramento formal — não basta o fornecedor ser conhecido. |
| Art. 37 | Registro das operações de tratamento (ROPA). | Cada uso relevante de IA sobre dado pessoal é uma operação e deveria constar do registro. É o achado mais frequente em auditoria. |
| Art. 38 | Relatório de impacto à proteção de dados, quando solicitado pela ANPD. | Uso de IA de alto impacto sobre titulares é candidato natural — melhor produzir antes de ser pedido. |
| Art. 39 | O operador deve tratar dados conforme instruções do controlador. | Exige contrato. Aceitar os termos de uso padrão de uma ferramenta gratuita normalmente não cumpre isso. |
| Art. 46 | Medidas de segurança técnicas e administrativas. | Inclui saber quem tem acesso a quê — difícil sustentar sem inventário do que está em uso. |
| Art. 48 | Comunicação de incidente à ANPD e ao titular em prazo razoável. | Só é possível cumprir se houver detecção. Sem visibilidade, o incidente é descoberto por terceiros. |
Escolher a base legal: o erro do consentimento
A tentação é pedir consentimento para tudo. Em relação de emprego isso é frágil: existe assimetria entre empregador e empregado, e um consentimento que a pessoa não se sente livre para negar tende a não se sustentar como manifestação livre. Além disso, o consentimento é revogável a qualquer tempo (art. 8º, § 5º), o que torna instável qualquer processo que dependa dele.
Na prática, os enquadramentos mais usados no contexto corporativo de IA são:
- Execução de contrato (art. 7º, V) — quando o tratamento é necessário para entregar o que foi contratado pelo cliente.
- Cumprimento de obrigação legal ou regulatória (art. 7º, II) — típico em setor regulado.
- Legítimo interesse (art. 7º, IX) — a base mais usada para ferramentas internas de produtividade. Exige teste de balanceamento documentado entre o interesse da empresa e os direitos do titular, e não vale para dado sensível.
Legítimo interesse não é uma base “coringa”: é a que mais exige documentação. Se você a invoca, precisa conseguir mostrar o teste de balanceamento que foi feito, a expectativa legítima do titular e as medidas adotadas para reduzir o impacto. Sem esse documento, é uma alegação, não um enquadramento.
Transferência internacional (art. 33)
Quase toda ferramenta de IA relevante processa dados fora do Brasil — Estados Unidos, majoritariamente, mas também Reino Unido, União Europeia, Índia e China. Enviar dado pessoal a essas ferramentas é transferência internacional e precisa de enquadramento em uma das hipóteses do art. 33.
Para a maioria das empresas, o caminho prático é o contratual. A ANPD aprovou em 2024 cláusulas-padrão contratuais que podem ser adotadas para esse fim, o que reduziu bastante a incerteza que existia antes. Isso implica, porém, algo que muitas empresas não fizeram: ter contrato com o fornecedor de IA. Uma conta gratuita aceita por um funcionário sob os termos de uso padrão não estabelece essa relação.
Vale a distinção que confunde bastante gente: país-sede do fornecedor não é o mesmo que residência de dados. Uma empresa americana pode oferecer processamento em região específica no plano corporativo. Nosso catálogo público informa o país-sede como sinal de jurisdição, mas onde o dado é processado depende do plano contratado e precisa ser confirmado com o fornecedor.
O ponto que decide quase tudo: gratuito x corporativo
Entre uma conta gratuita e uma conta corporativa da mesma ferramenta costuma haver uma diferença que muda o enquadramento inteiro: o comportamento padrão em relação a uso do dado para treinamento do modelo, e a existência de contrato de tratamento.
| Conta pessoal / gratuita | Plano corporativo | |
|---|---|---|
| Uso do dado para treinamento | Frequentemente habilitado por padrão | Normalmente desabilitado por contrato |
| Contrato de tratamento (art. 39) | Termos de uso padrão, aceitos pelo funcionário | Contrato assinado pela empresa |
| Transferência internacional | Sem enquadramento formal | Endereçável por cláusulas contratuais |
| Registro e auditabilidade | Nenhum — a empresa não sabe que existe | Administrável e auditável |
Isso tem uma consequência operacional direta: saber que “usaram ChatGPT” é menos importante do que saber em qual plano. Duas pessoas usando a mesma ferramenta podem estar em situações jurídicas completamente diferentes. Detecção que não distingue conta e plano deixa essa lacuna aberta.
Checklist de conformidade
Na ordem em que um auditor costuma perguntar — e na ordem em que faz sentido resolver:
- Inventário. Existe uma lista do que está em uso, mantida atualizada? Sem isso, os itens seguintes são declaração, não evidência.
- ROPA (art. 37). Os usos de IA sobre dado pessoal constam do registro de operações, com finalidade, base legal, categorias de titulares e destinatários?
- Base legal. Cada finalidade tem base definida e, quando for legítimo interesse, teste de balanceamento documentado?
- Contratos (art. 39). Há contrato de tratamento com os fornecedores de IA usados sobre dado pessoal?
- Transferência internacional (art. 33). Há enquadramento formal para os fornecedores que processam fora do Brasil?
- Aviso de privacidade (art. 9º). O aviso reflete o compartilhamento com fornecedores de IA?
- Decisões automatizadas (art. 20). Onde há decisão sobre pessoas, existe caminho de revisão e informação sobre critérios?
- Política e treinamento. Há política publicada, comunicada e com evidência de adesão? Ver o modelo comentado.
- Resposta a incidente (art. 48). Existe detecção capaz de perceber o incidente antes de um terceiro avisar?
Repare que oito dos nove itens dependem do primeiro. Programas de adequação que começam escrevendo política e ROPA sobre um ambiente não inventariado documentam a empresa que se imagina ter, não a que existe — e é essa diferença que aparece na auditoria.
O que está em jogo
As sanções do art. 52 vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados envolvidos e publicização da infração. Na prática, para a maioria das empresas, o custo relevante chega antes da ANPD: cliente corporativo que exige due diligence de privacidade em contrato, seguradora que pergunta sobre governança de IA na renovação da apólice, e auditoria de certificação que trava por falta de registro.
Perguntas frequentes
A LGPD proíbe usar ChatGPT na empresa?
Não. A LGPD não proíbe nenhuma ferramenta específica. Ela regula o tratamento de dados pessoais: se a ferramenta recebe dado pessoal, é preciso ter base legal, registrar a operação, informar o titular, ter contrato com o fornecedor e tratar a transferência internacional. Se a ferramenta recebe apenas dado não pessoal, a LGPD não se aplica àquele uso.
Usar IA sem registrar é infração à LGPD mesmo que nada vaze?
Sim. A irregularidade não depende de incidente. Tratar dado pessoal sem base legal (art. 7º), sem constar do registro das operações (art. 37) ou sem informar o titular (art. 9º) já é descumprimento por si só. O vazamento é um agravante, não o fato gerador.
Qual base legal usar para IA na empresa?
Depende da finalidade, não da ferramenta. Para uso interno de produtividade sobre dados de funcionários, costuma-se avaliar legítimo interesse (art. 7º, IX) com teste de balanceamento documentado. Para tratamento de dado de cliente dentro da execução do contrato, o inciso V. Consentimento (inciso I) raramente é a melhor escolha em relação de emprego, pela assimetria entre as partes.
Enviar dado para uma ferramenta de IA nos EUA é transferência internacional?
Sim, e o art. 33 se aplica. É preciso enquadrar em uma das hipóteses previstas — na prática, para a maioria das empresas, cláusulas contratuais com o fornecedor. A ANPD aprovou cláusulas-padrão contratuais em 2024, que podem ser adotadas para esse enquadramento.