LGPD e modelos de IA: para onde vai o dado

A pergunta certa: para onde vai o dado

Quando uma empresa passa a usar um modelo de IA, parte da informação que ela trata sai do sistema de origem e chega a um serviço de terceiros. Pode ser o texto de uma mensagem, o conteúdo de um documento ou o registro de um cliente. Entender esse caminho é o primeiro passo de qualquer uso responsável.

A pergunta é concreta: qual dado sai, para qual fornecedor, em qual lugar ele é processado, por quanto tempo fica guardado e quem tem acesso. Quem não sabe responder a isso ainda não está pronto para colocar o processo em produção.

Este artigo não é parecer jurídico e não detalha o que a lei exige. Ele ajuda a organizar as perguntas que o responsável pela proteção de dados e o jurídico da empresa vão querer ver respondidas. A interpretação das regras é deles.

Mapear os dados pessoais do processo

Antes de falar de modelo, mapeie o processo. Em cada etapa, anote que informações aparecem e quais delas identificam uma pessoa: nome, documento, contato, endereço, dados de saúde, dados financeiros, histórico de compras. Dados que revelam algo sensível merecem atenção redobrada.

O mapa também mostra onde o dado nasce e por onde passa: formulário, sistema de gestão, planilha, caixa de e-mail, aplicativo de mensagem. Muitas vezes o dado pessoal aparece em lugares inesperados, como anexos, observações em campo livre e conversas antigas.

Esse levantamento é parte do diagnóstico. Ele permite decidir, tarefa por tarefa, se o modelo precisa mesmo ver aquele dado, e o que fazer quando precisa.

O que enviar e o que não enviar ao modelo

A regra prática é a minimização: enviar ao modelo apenas o que a tarefa exige. Se o agente vai classificar a mensagem de um cliente, talvez não precise do documento nem do endereço. Se vai resumir um atendimento, pode receber o texto sem os dados que identificam a pessoa.

Algumas técnicas ajudam:

• Remover ou mascarar campos de identificação antes do envio, quando a tarefa não depende deles.
• Trocar o dado pessoal por um código interno e guardar a ligação apenas no sistema da empresa.
• Enviar trechos selecionados, e não o documento inteiro.
• Manter fora do alcance do modelo o que for sensível e dispensável para a tarefa.

O que nunca deve ser enviado é decisão da empresa, com apoio do jurídico, e varia por setor. Um critério simples: se a tarefa funciona sem aquele dado, ele não deve ir.

O contrato e a configuração do fornecedor

O destino do dado depende do que o fornecedor oferece e do que a empresa contratou. Fornecedores diferentes têm termos diferentes, e o mesmo fornecedor pode ter condições distintas conforme o tipo de plano ou de acesso. Nada disso se resolve por suposição.

Os pontos a conferir na documentação oficial e no contrato costumam ser:

• Se o dado enviado pode ser usado para treinar ou melhorar modelos, e como isso é desligado.
• Onde o dado é processado e armazenado.
• Por quanto tempo ele é retido e como é apagado.
• Quem, dentro do fornecedor, pode acessá-lo e em quais condições.
• Que subcontratados participam do tratamento.

Tudo isso muda com o tempo. Por isso, a conferência deve ser repetida de tempos em tempos, e não feita uma vez só. Ao comparar modelos abertos e fechados, o local de processamento muda bastante; o tema aparece em modelo aberto ou fechado para empresa.

Retenção e trilha de auditoria

Retenção é por quanto tempo o dado fica guardado, tanto no fornecedor quanto nos registros do próprio agente. Guardar mais do que o necessário aumenta o risco sem trazer benefício. A empresa deve definir um prazo para cada tipo de registro e uma rotina para apagar.

A trilha de auditoria é o outro lado. Ela registra o que o agente fez: qual pedido recebeu, quais dados consultou, qual resposta gerou e quem aprovou. Com esse rastro, é possível atender uma dúvida de um cliente, investigar um erro e mostrar ao jurídico como o tratamento acontece.

Há uma tensão a administrar: o registro ajuda na auditoria, mas também guarda dado. A solução é registrar o necessário para rastrear a ação, com acesso restrito, e não copiar conteúdo sensível sem motivo.

Pessoa na decisão e transparência

Quando o resultado de uma tarefa afeta uma pessoa, como um crédito, uma candidatura ou um atendimento de saúde, a decisão não deve ficar sozinha com o agente. O desenho adequado coloca uma pessoa para revisar e responder pelo resultado. O agente de IA avisa quando precisa de alguém, e esse aviso faz parte do projeto.

Transparência também conta. A pessoa atendida deve saber, quando for o caso, que está falando com um agente de IA, e a empresa deve conseguir explicar em linguagem simples como o dado dela é usado. O que a regra exige em cada situação é pergunta para o jurídico.

Outro cuidado é com quem acessa o agente por dentro da empresa. Credenciais compartilhadas e permissões amplas anulam boa parte do esforço. O modo de ligar o agente aos sistemas com permissão mínima aparece no artigo sobre MCP.

Um roteiro para começar com segurança

Um caminho que costuma funcionar começa pela escolha de um processo com pouco dado sensível. Mapeie os dados, defina o que o modelo realmente precisa, escolha o fornecedor com base em contrato e configuração, e só então faça um teste com amostra controlada.

Em paralelo, defina o que fica registrado, por quanto tempo e quem acessa. Estabeleça o ponto em que uma pessoa revisa. E escreva, em linguagem simples, o que foi decidido, para que o jurídico e o responsável pela proteção de dados possam validar antes da produção.

A escolha do modelo entra nessa conversa como uma das variáveis, junto com tarefa, risco e custo, como mostra o artigo sobre como escolher o modelo de IA por tarefa.

Um exemplo hipotético do dia a dia

Este é um exemplo hipotético, só para ilustrar. Uma clínica quer um agente que organize pedidos de remarcação de consulta recebidos por mensagem. O mapeamento mostra que a mensagem traz nome, telefone e, às vezes, o motivo da consulta.

A equipe decide que o agente precisa apenas do pedido de data e do código do agendamento. O motivo da consulta é removido antes do envio ao modelo, e o nome é trocado por um código interno. O agente devolve a intenção do paciente e a sugestão de horário, e o sistema da clínica faz a ligação de volta ao cadastro.

Casos fora do padrão, como urgência ou reclamação, vão para uma pessoa. Cada ação fica registrada, com acesso restrito e prazo definido para apagar. Antes de seguir, o jurídico da clínica conferiu o contrato do fornecedor e a configuração escolhida.

Como a Empresa Grid aborda o tema

A Empresa Grid faz diagnóstico antes da proposta, e o mapeamento dos dados do processo entra nele. Olhamos que informações circulam, quais sistemas e canais participam e o que precisa ficar com uma pessoa. A escolha do modelo é decidida ali, por tarefa, dado e risco.

Não prometemos conformidade pronta nem substituímos o jurídico. Nosso papel é desenhar o fluxo de modo que a minimização, o registro e a revisão humana estejam previstos, e deixar claro o que a empresa precisa validar com quem responde pela proteção de dados.

Em regra, a solução é integrada aos sistemas que a empresa já usa. O que é possível depende do sistema e do acesso, e se confirma no diagnóstico. Veja o método, o glossário e a visão geral do hub em tecnologias de IA para automação. Se quiser conversar sobre o seu processo, use a página de contato.

Perguntas frequentes

Posso mandar dados de clientes para um modelo de IA?

Depende do contrato do fornecedor, de onde o dado é processado e da configuração. Confira na documentação oficial e com o jurídico. Como regra de prudência, envie só o necessário para a tarefa.

O fornecedor usa meus dados para treinar o modelo?

Varia conforme o fornecedor e o tipo de contratação. A resposta está nos termos e na documentação oficial, e deve ser reconferida de tempos em tempos.

Anonimizar resolve o problema?

Ajuda muito, mas não é automático nem sempre completo. Dados soltos podem identificar alguém quando combinados. Valide a técnica usada com o responsável pela proteção de dados.

Quem responde se o agente errar?

A empresa continua responsável pelo processo. Por isso o desenho prevê registro das ações e uma pessoa na decisão sempre que o resultado afeta alguém.

Um modelo aberto resolve a questão?

Pode mudar onde o dado é processado, mas traz outras responsabilidades, como operar e proteger a infraestrutura. A escolha pesa tarefa, dado e risco, e se define no diagnóstico.