Antes de contratar IA, saiba para onde vão os dados e quem responde pela LGPD

O projeto parece simples: um assistente de IA que lê o histórico de compras e sugere a próxima oferta para cada cliente, ou um chatbot que responde dúvidas com base nos pedidos anteriores. A demonstração funciona, o preço cabe no orçamento e a agência tem pressa de começar. Antes de liberar o acesso à base de clientes, alguém precisa responder para onde esses dados vão.

A Lei Geral de Proteção de Dados vale para qualquer ferramenta que trate dado pessoal, com ou sem inteligência artificial. A IA só torna as perguntas mais urgentes, porque muitos serviços rodam em servidores de terceiros e alguns usam os dados recebidos para melhorar os próprios modelos.

Este texto é um roteiro de perguntas para a conversa com o fornecedor. Ele não substitui a avaliação do jurídico da sua empresa nem do encarregado de dados, que são quem decide o enquadramento do seu caso.

Quais dados vão entrar?

Comece pela lista concreta: nome, telefone, e-mail, endereço, histórico de compra, conversas de atendimento. Peça à agência que descreva campo por campo o que a ferramenta precisa receber e por quê. Muitas vezes o projeto funciona com menos dados do que o primeiro desenho previa, e cada campo a menos reduz o risco.

Alguns dados pedem cuidado redobrado. Dado de saúde, origem racial, religião, opinião política e dado biométrico são considerados sensíveis pela LGPD, com regras mais restritas. Uma clínica que quer usar IA para lembrar pacientes de retorno está tratando dado de saúde, mesmo que o projeto pareça só de agendamento.

Para onde vão?

Muita ferramenta de IA roda em servidor fora do Brasil, e a transferência internacional de dados pessoais tem regra própria na LGPD. Peça ao fornecedor:

• o nome de cada serviço de terceiros usado, como o provedor do modelo de IA e a nuvem;
• o país onde os dados ficam armazenados e processados;
• se os dados enviados são usados para treinar ou melhorar o modelo;
• por quanto tempo ficam guardados e como são apagados.

A pergunta sobre treinamento é a que mais surpreende. Planos gratuitos ou de entrada de algumas ferramentas podem permitir esse uso, e planos corporativos costumam oferecer a opção de desligar. A resposta precisa vir por escrito, com referência ao contrato ou aos termos do provedor.

Quem é quem

A LGPD separa dois papéis. O controlador decide para que e como os dados são usados. O operador trata os dados em nome do controlador, seguindo as instruções dele. Em geral, a sua empresa é a controladora e a agência que implementa a IA é a operadora, mas o enquadramento depende de como o projeto funciona, e quem bate o martelo é o jurídico.

O contrato deve dizer o papel de cada lado e listar as obrigações: medidas de segurança, uso restrito à finalidade contratada, proibição de usar os dados para outros clientes, subcontratação só com autorização e devolução ou descarte no fim do contrato. Esse documento costuma ser chamado de contrato ou acordo de tratamento de dados.

Quem responde quando der errado?

Se houver vazamento, quem avisa a ANPD e os clientes afetados? A regra da ANPD dá até três dias úteis para comunicar incidente de segurança com risco ou dano relevante aos titulares. Três dias úteis passam rápido quando ninguém sabe quem deve fazer o quê.

Peça que o plano esteja por escrito: como a agência comunica o incidente à sua empresa, em quanto tempo, quem reúne as informações e quem fala com a autoridade. A comunicação à ANPD é responsabilidade do controlador, então a agência precisa avisar a sua empresa a tempo de cumprir o prazo.

Um serviço raro no diretório

Nenhuma agência do diretório marca Compliance LGPD como serviço hoje (base Lista de Agências, out/2026). Faz sentido. Adequação à LGPD mistura direito e segurança da informação e costuma ficar com escritório de advocacia ou consultoria de privacidade, junto com o encarregado de dados da empresa.

A agência de Inteligência Artificial, categoria com 246 agências na base, precisa saber responder às perguntas deste texto e aceitar as cláusulas de proteção de dados. A avaliação jurídica do seu caso fica com outro profissional.

Perguntas para levar à reunião

• Quais campos da nossa base a ferramenta precisa receber, e por quê?
• Há dado sensível no projeto?
• Quais fornecedores de IA e de nuvem vocês usam, e em que país os dados ficam?
• Os nossos dados treinam algum modelo? Como isso está garantido no contrato?
• Quem tem acesso aos dados na equipe de vocês?
• Como vocês nos avisam de um incidente, e em quanto tempo?
• O que acontece com os dados no fim do contrato?

O sinal de alerta do selo

“A ferramenta já é LGPD compliant, não precisa se preocupar.” Essa frase encerra a conversa cedo demais. Selo ou declaração de conformidade do fornecedor da ferramenta não cobre o uso que a sua empresa vai fazer dela. A mesma plataforma pode ser usada de forma adequada por uma empresa e de forma irregular por outra, dependendo de quais dados entram, com que finalidade e com que base legal.

Quando ouvir isso, peça o contrato de tratamento de dados e a lista de fornecedores. Se a agência não tiver esses documentos ou se recusar a assinar cláusulas de proteção de dados, trate como motivo para não seguir.

Antes de liberar o acesso

Mande as perguntas acima por escrito para a agência e encaminhe as respostas ao jurídico ou ao encarregado de dados antes da próxima reunião. Comece o projeto com uma amostra pequena de dados, sem campos sensíveis, e só amplie depois que o contrato de tratamento de dados estiver assinado.