LGPD e inteligência artificial: privacidade entra no produto

O sandbox da ANPD trouxe uma lição simples

A ANPD publicou, em 2 de julho de 2026, os primeiros resultados do seu Sandbox Regulatório em Inteligência Artificial. O projeto-piloto acompanha três empresas de tecnologia em um ambiente experimental, controlado e supervisionado.

O primeiro relatório ainda não trata de uma testagem plena das soluções. Mesmo assim, a mensagem já é útil para o mercado: projetos de IA precisam lidar cedo com governança, segurança, transparência, proteção de dados, anonimização e produção de evidências.

Isso muda a forma como empresas de tecnologia devem olhar para LGPD. Privacidade não pode entrar apenas na revisão final, quando o produto já foi vendido, integrado e alimentado por bases reais. Em inteligência artificial, o risco nasce no desenho.

A ANPD também apontou a necessidade de aprimorar comunicação entre participantes e equipe técnica, além de melhorar protocolos relacionados a dados sintéticos. Em linguagem empresarial: não basta dizer que a solução é inovadora. É preciso conseguir documentar como ela funciona, quais riscos foram mapeados e como a empresa pretende reduzi-los.

Onde a LGPD aparece em projetos de IA

Muitas empresas ainda enxergam IA como uma camada técnica. Um modelo, uma API, um chatbot, uma ferramenta de análise, uma automação de atendimento, um classificador de documentos. Só que, quando essa ferramenta usa dados pessoais, a LGPD entra em várias etapas.

Ela pode aparecer na coleta de dados para treinar ou ajustar um modelo. Pode aparecer no uso de prompts com informações de clientes. Pode aparecer em logs, históricos, transcrições, documentos enviados, bases de suporte, tickets, gravações, imagens, dados de navegação, comportamento de usuários ou registros de decisão.

Também aparece quando a empresa contrata fornecedores. Uma ferramenta de IA externa pode armazenar dados fora do Brasil, usar subprocessadores, registrar entradas e saídas, manter histórico para melhoria do serviço ou oferecer configurações específicas para impedir uso em treinamento. Sem revisão, a empresa compra conveniência e herda risco.

Por isso, o tema LGPD e inteligência artificial precisa entrar no ciclo de produto, não apenas no contrato final.

As perguntas que produto, jurídico e DPO deveriam fazer

Antes de lançar uma funcionalidade de IA, a empresa precisa responder algumas perguntas básicas:

Quais dados pessoais entram no sistema?
Há dados sensíveis, dados de crianças e adolescentes ou dados de grupos vulneráveis?
A IA usa dados para treinamento, inferência, recomendação, classificação, atendimento ou geração de conteúdo?
O usuário entende que está interagindo com IA ou que seus dados serão tratados por esse sistema?
Existe uma base legal adequada para cada finalidade?
Os dados ficam armazenados em logs? Por quanto tempo?
Quem consegue acessar prompts, respostas, arquivos enviados e histórico?
O fornecedor usa os dados para treinar modelos próprios?
Há transferência internacional de dados ou subprocessadores relevantes?
A empresa consegue explicar e revisar decisões automatizadas quando aplicável?
Há teste de segurança e controle de acesso?
Existe documentação das decisões tomadas?

Essas perguntas não servem para travar inovação. Servem para evitar que a empresa avance sem saber explicar sua própria operação.

Dados sintéticos ajudam, mas não são passe livre

Um ponto citado pela ANPD foi a necessidade de aprimorar protocolos relacionados a dados sintéticos. Isso merece atenção porque o termo pode dar falsa sensação de segurança.

Dados sintéticos podem reduzir riscos em alguns contextos, principalmente quando substituem dados reais em ambientes de desenvolvimento, teste ou demonstração. Mas eles não resolvem tudo sozinhos. A empresa ainda precisa avaliar como esses dados foram gerados, se reproduzem padrões de uma base real, se há risco de reidentificação, se o uso é compatível com a finalidade e se o protocolo está documentado.

Em projetos de LGPD e inteligência artificial, a pergunta não deve ser apenas “usamos dados sintéticos?”. A pergunta melhor é: “conseguimos demonstrar por que esse método reduz risco e quais limites ele tem?”.

A diferença parece pequena, mas muda a governança. No primeiro caso, a empresa confia em um rótulo. No segundo, ela constrói evidência.

Transparência precisa ser entendível

A ANPD tem destacado a transparência algorítmica no debate sobre IA. Para empresas, isso não significa abrir todo o código ou publicar segredos de negócio. Significa comunicar, em linguagem possível, quando há uso de IA, quais dados são relevantes, que tipo de efeito o sistema pode gerar e onde uma pessoa pode buscar revisão ou atendimento quando necessário.

Avisos genéricos como “usamos inteligência artificial para melhorar sua experiência” dizem pouco. Em muitos casos, a empresa precisa ser mais concreta:

a IA recomenda ofertas?
classifica risco?
prioriza atendimento?
analisa documentos?
gera conteúdo para clientes?
avalia comportamento?
apoia uma decisão humana?
automatiza uma resposta com efeito relevante?

Quanto maior o impacto para a pessoa, maior a necessidade de explicar o funcionamento prático e manter supervisão adequada.

O risco de tratar IA como ferramenta individual

Outro ponto que aparece nas empresas é o uso informal de IA. Um colaborador usa uma ferramenta para resumir contrato. Outro cola dados de cliente em um chatbot. O marketing usa IA para segmentar campanhas. O suporte gera respostas com base em tickets reais. O produto testa um classificador em uma base exportada do sistema. Tudo isso pode acontecer antes de qualquer aprovação formal.

É assim que a governança falha: não por uma grande decisão estratégica, mas por dezenas de usos pequenos e invisíveis.

Uma política interna de IA precisa separar usos permitidos, usos condicionados e usos proibidos. Também precisa ser curta o suficiente para ser usada. Se a regra disser apenas “use IA com responsabilidade”, cada pessoa vai interpretar de um jeito.

Como transformar privacy by design em rotina

Uma empresa não precisa estar dentro de um sandbox para aplicar a lógica de privacy by design. Pode começar com um fluxo simples para novos produtos e funcionalidades de IA:

triagem de dados pessoais envolvidos;
classificação de risco;
análise de base legal e transparência;
revisão de fornecedores, APIs e subprocessadores;
definição de controles de acesso e retenção;
avaliação de segurança e incidentes possíveis;
documentação das decisões;
revisão periódica depois do lançamento;
treinamento do time que vai operar a ferramenta;
canal para dúvidas e exceções.

O ganho está na repetição. Cada nova feature passa pelo mesmo filtro e deixa evidência. Quando a empresa amadurece, esse processo fica mais rápido, não mais pesado.

Como a TOGETHER ajuda em LGPD e inteligência artificial

A TOGETHER atua com governança de privacidade, DPO as a Service e suporte prático para empresas que usam tecnologia, SaaS, automação e IA.

Em projetos de LGPD e inteligência artificial, a TOGETHER pode ajudar a mapear fluxos de dados, revisar fornecedores, criar uma política interna de uso de IA, orientar times de produto e tecnologia, estruturar checklists de privacy by design, avaliar transparência para usuários e montar evidências de governança.

O apoio também pode incluir revisão de bases legais, análise de riscos, orientação para uso de dados sintéticos, treinamento de equipes e acompanhamento do encarregado/DPO nas decisões mais sensíveis.

A ideia não é transformar cada lançamento em um processo jurídico pesado. É criar uma rotina que permita inovar com menos improviso. Quando produto, jurídico, segurança e DPO conversam desde o início, a empresa evita retrabalho, reduz risco e chega melhor preparada para clientes, auditorias e questionamentos regulatórios.