11 MINUTOS DE LEITURA
LGPD e inteligência artificial: o que o produto pede
Por:
Henrique Sabino
LGPD e inteligência artificial se encontram sempre que um produto com IA trata dado pessoal: no cadastro, no texto enviado ao modelo, no histórico da conversa ou numa decisão automática. A lei não proíbe a IA. Ela exige finalidade declarada, dado mínimo, segurança desde a concepção e revisão quando a máquina decide sozinha.
Existe uma diferença que muita conversa de projeto ignora. Usar IA para construir o software é uma coisa; colocar IA dentro do produto, lendo dado de quem usa, é outra, e é nessa segunda que a lei pesa. Na Wama, a IA entra em código e automação, com Claude Code e os agentes do Framer, e todo resultado passa por leitura humana antes de ir ao cliente. Quem está no ponto de criar um SaaS com IA e cobrar o primeiro cliente precisa resolver a parte da LGPD antes do lançamento, porque ela muda tela, banco de dados e contrato.
O que a LGPD exige de um produto com inteligência artificial?
A LGPD não tem um capítulo sobre IA, e não precisa. Os princípios do artigo 6º valem para qualquer tratamento: finalidade específica e informada ao titular, necessidade (o mínimo de dado para cumprir a finalidade) e transparência. Um recurso de IA que resume conversas de suporte precisa de uma finalidade escrita, e ela não autoriza usar as mesmas conversas para treinar outro modelo depois.
O ponto que mais afeta quem constrói está no artigo 46. Segundo o texto compilado da LGPD no Planalto, as medidas de segurança devem ser observadas desde a fase de concepção do produto ou do serviço até a sua execução. Em português de projeto: privacidade é requisito, não ajuste de véspera. A divisão de papéis entre a empresa e quem desenvolve, explicada no artigo sobre quem responde pelo dado, controlador ou operador, continua valendo quando um modelo de IA entra no meio.
Quando a decisão automatizada precisa de revisão?
A revisão entra quando o produto toma uma decisão unicamente com base em tratamento automatizado e essa decisão afeta os interesses de alguém. O artigo 20 da LGPD cita expressamente decisões que definem perfil pessoal, profissional, de consumo e de crédito. Nesses casos, o titular pode pedir revisão, e a empresa deve informar, quando solicitada, os critérios e os procedimentos usados.
No produto, isso aparece em lugares concretos: score que aprova ou recusa cadastro, triagem automática de candidatos, preço que muda por perfil, bloqueio de conta por suspeita. O texto vigente fala em revisão sem dizer quem revisa. Na leitura da Wama, a revisão que se sustenta é a feita por alguém com poder de mudar o resultado, o que exige fila, tela interna e registro de cada decisão (o que entrou, qual versão do modelo, o que saiu). Atendimento por IA tem regras próprias em alguns setores, como mostra o texto sobre o que a IA de atendimento pode fazer no app da fintech.
Para onde vai o dado quando o produto chama um modelo de IA?
O dado vai para o fornecedor do modelo, que normalmente trata a informação em nome da sua empresa e ocupa o papel de operador. A LGPD manda o operador seguir as instruções do controlador (artigo 39), e controlador e operador devem manter registro das operações de tratamento (artigo 37). Se o servidor do modelo fica fora do Brasil, há transferência internacional de dados.
Para esse caso, a Resolução CD/ANPD nº 19, de 23 de agosto de 2024, aprovou cláusulas-padrão contratuais e deu 12 meses, contados da publicação, para quem já usava cláusulas contratuais incorporar o texto da ANPD. O prazo acabou em 2025. Na Wama, o projeto é transferido para a conta do cliente e a assinatura fica no cartão dele. A mesma lógica vale para a conta da API de IA: no nome da empresa dona do produto, como o dono do código de um software sob medida.
O que decidir no projeto antes da primeira tela
A adequação custa menos quando entra como requisito, junto com o escopo. Na Wama, pedido com área logada e dado de usuário deixa de ser site e vira projeto de produto digital, e é nesse tipo de projeto que estas respostas precisam existir antes do design:
Mapa de dados por recurso de IA: o que entra no prompt, o que volta, onde fica guardado e por quanto tempo.
Finalidade e base legal por recurso: escritas, uma para cada uso, sem finalidade genérica.
Dado mínimo: o modelo recebe só o campo de que precisa, nunca o cadastro inteiro.
Aviso na interface: o usuário sabe quando fala com IA e o que ela faz com o que ele escreve.
Caminho de revisão: para decisões automáticas, um pedido de revisão que chega a alguém.
Retenção de conversas e registros: prazo definido e exclusão automática.
Boa parte desses itens vira componente visível, e a interface de um SaaS é o lugar onde a transparência aparece para o usuário.
Por que a ANPD vai olhar para IA até 2027
A fiscalização deixou de ser hipótese. A Resolução CD/ANPD nº 30, publicada no Diário Oficial de 24 de dezembro de 2025, aprovou o Mapa de Temas Prioritários para 2026 e 2027. O Tema 4 é inteligência artificial e tecnologias emergentes: 20 atividades de fiscalização sobre tratamento de dados pessoais nesse contexto, inclusive de crianças e adolescentes, metade até o primeiro semestre de 2027 e metade até o segundo.
A autoridade também mudou de estatura. Pela Lei nº 15.352, de 2026, a ANPD passou a se chamar Agência Nacional de Proteção de Dados, autarquia de natureza especial com autonomia funcional, técnica, decisória, administrativa e financeira. O tema vem sendo preparado há tempo: a tomada de subsídios sobre IA e revisão de decisões automatizadas, aberta de 6 de novembro de 2024 a 24 de janeiro de 2025, recebeu 99 contribuições. Quem planeja ligar a IA aos sistemas da empresa entra direto nesse radar.
Erros comuns
Aviso de privacidade genérico: um texto que não cita o recurso de IA não informa a finalidade de verdade.
Mandar o cadastro inteiro ao modelo: é mais fácil de programar e fere o princípio da necessidade.
Guardar conversas para treinar depois: finalidade nova pede base legal e aviso novos, não um arquivo eterno.
Decisão automática sem saída: recusar alguém sem caminho de revisão é o caso que o artigo 20 descreve.
Conta da API no nome de quem desenvolveu: o contrato com o fornecedor do modelo fica fora do controle de quem responde pelo dado.
Esses erros aparecem cedo no desenvolvimento de SaaS, quando a pressa de lançar empurra a arquitetura de dados para depois.
Perguntas frequentes
A LGPD proíbe usar inteligência artificial com dados de clientes?
Não. A LGPD não proíbe nenhuma tecnologia. Ela exige que o tratamento tenha finalidade legítima e informada, base legal, dado mínimo e segurança desde a concepção do produto. A IA entra nas mesmas regras de qualquer sistema, com atenção extra para decisões automatizadas, que dão ao titular o direito de pedir revisão.
Usar IA para desenvolver o software já exige adequação à LGPD?
Depende de onde o dado pessoal passa. A Wama desenhou o app da Cappta, uma instituição de pagamento, com apoio de IA no fluxo de construção, e isso é diferente de um produto que envia dado de usuário a um modelo. O que pesa é a IA tratando dado de pessoas reais em produção.
Um chatbot com IA precisa avisar que não é uma pessoa?
A LGPD não traz essa frase pronta, mas o princípio da transparência exige informação clara sobre o tratamento e sobre quem o realiza. Na prática, avisar que a conversa é com IA, dizer o que acontece com o texto enviado e oferecer um caminho até uma pessoa resolve a maior parte do risco.
Dado anonimizado pode ir para o modelo sem preocupação?
Só se a anonimização for real. A LGPD considera anonimizado o dado de um titular que não possa ser identificado, considerando os meios técnicos razoáveis e disponíveis. Trocar o nome por um código e manter e-mail, cidade e histórico de compra raramente cumpre essa definição, e aí a lei continua valendo.
Preciso de relatório de impacto para um produto com IA?
A ANPD pode exigir, pelo artigo 38, um relatório de impacto à proteção de dados com os tipos de dados, a metodologia de coleta e segurança e as medidas de mitigação de risco. Para produto com decisão automatizada ou dado sensível, vale ter o documento pronto antes de alguém pedir.
Se o seu produto vai colocar IA perto de dado de cliente, essas respostas custam menos quando são desenhadas junto com as telas. Converse com a Wama sobre o projeto antes da primeira linha de código.
