LGPD e inteligencia artificial: lo que pide el producto

La LGPD, la ley de protección de datos de Brasil, y la inteligencia artificial se encuentran cada vez que un producto con IA trata datos personales: en el registro, en el texto enviado al modelo, en el historial de la conversación o en una decisión automática. La ley no prohíbe la IA. Exige una finalidad declarada, datos mínimos, seguridad desde el diseño y revisión cuando la máquina decide sola.

Hay una diferencia que muchas conversaciones de proyecto ignoran. Usar IA para construir el software es una cosa; poner IA dentro del producto, leyendo datos de quien lo usa, es otra, y es en la segunda donde pesa la ley. En Wama, la IA entra en código y automatización, con Claude Code y los agentes de Framer, y todo resultado pasa por revisión humana antes de llegar al cliente. Quien está a punto de crear un SaaS con IA y cobrarle al primer cliente tiene que resolver la parte de la LGPD antes del lanzamiento, porque cambia pantallas, base de datos y contrato.

¿Qué exige la LGPD de un producto con inteligencia artificial?

La LGPD no tiene un capítulo sobre IA, y no lo necesita. Los principios del artículo 6 valen para cualquier tratamiento: finalidad específica e informada al titular, necesidad (el mínimo de datos para cumplir la finalidad) y transparencia. Una función de IA que resume conversaciones de soporte necesita una finalidad escrita, y esa finalidad no autoriza a usar las mismas conversaciones para entrenar otro modelo después.

El punto que más afecta a quien construye está en el artículo 46. Según el texto compilado de la LGPD en el sitio del Planalto, las medidas de seguridad deben observarse desde la fase de concepción del producto o servicio hasta su ejecución. En lenguaje de proyecto: la privacidad es un requisito, no un ajuste de última hora. La división de roles entre la empresa y quien desarrolla, explicada en el artículo sobre quién responde por los datos, controlador u operador, sigue valiendo cuando un modelo de IA entra en el medio.

¿Cuándo necesita revisión una decisión automatizada?

La revisión entra cuando el producto toma una decisión únicamente con base en un tratamiento automatizado y esa decisión afecta los intereses de alguien. El artículo 20 de la LGPD cita expresamente las decisiones que definen perfiles personales, profesionales, de consumo y de crédito. En esos casos, el titular puede pedir una revisión, y la empresa debe informar, cuando se le solicite, los criterios y procedimientos usados.

En el producto, esto aparece en lugares concretos: un score que aprueba o rechaza un registro, la selección automática de candidatos, un precio que cambia según el perfil, el bloqueo de una cuenta por sospecha. El texto vigente habla de revisión sin decir quién revisa. En la lectura de Wama, la revisión que se sostiene es la que hace alguien con poder para cambiar el resultado, lo que exige una cola, una pantalla interna y el registro de cada decisión (qué entró, qué versión del modelo, qué salió). La atención al cliente con IA tiene reglas propias en algunos sectores, como muestra el texto sobre lo que puede hacer la IA de atención en la app de la fintech.

¿A dónde van los datos cuando el producto llama a un modelo de IA?

Los datos van al proveedor del modelo, que normalmente trata la información en nombre de tu empresa y ocupa el rol de operador. La LGPD obliga al operador a seguir las instrucciones del controlador (artículo 39), y controlador y operador deben mantener un registro de las operaciones de tratamiento (artículo 37). Si el servidor del modelo está fuera de Brasil, hay una transferencia internacional de datos.

Para ese caso, la Resolución CD/ANPD n.º 19, del 23 de agosto de 2024, aprobó cláusulas contractuales estándar y dio 12 meses, contados desde la publicación, para que quienes ya usaban cláusulas contractuales incorporaran el texto de la ANPD. El plazo terminó en 2025. En Wama, el proyecto se transfiere a la cuenta del cliente y la suscripción queda en su tarjeta. La misma lógica vale para la cuenta de la API de IA: a nombre de la empresa dueña del producto, como el dueño del código de un software a medida.

Qué decidir en el proyecto antes de la primera pantalla

La adecuación cuesta menos cuando entra como requisito, junto con el alcance. En Wama, un pedido con área de usuarios y datos de usuarios deja de ser un sitio web y se convierte en un proyecto de producto digital, y es en este tipo de proyecto donde estas respuestas tienen que existir antes del diseño:

1. Mapa de datos por función de IA: qué entra en el prompt, qué vuelve, dónde se guarda y por cuánto tiempo.

2. Finalidad y base legal por función: escritas, una para cada uso, sin finalidades genéricas.

3. Datos mínimos: el modelo recibe solo el campo que necesita, nunca el registro completo.

4. Aviso en la interfaz: el usuario sabe cuándo habla con una IA y qué hace ella con lo que escribe.

5. Camino de revisión: para las decisiones automáticas, una solicitud de revisión que llega a una persona.

6. Retención de conversaciones y registros: plazo definido y eliminación automática.

Buena parte de estos ítems se convierte en componentes visibles, y la interfaz de un SaaS es el lugar donde la transparencia se le muestra al usuario.

Por qué la ANPD va a mirar la IA hasta 2027

La fiscalización dejó de ser una hipótesis. La Resolución CD/ANPD n.º 30, publicada en el Diario Oficial del 24 de diciembre de 2025, aprobó el Mapa de Temas Prioritarios para 2026 y 2027. El Tema 4 es inteligencia artificial y tecnologías emergentes: 20 actividades de fiscalización sobre el tratamiento de datos personales en ese contexto, incluidos los de niños y adolescentes, la mitad hasta el primer semestre de 2027 y la otra mitad hasta el segundo.

La autoridad también cambió de estatura. Por la Ley n.º 15.352, de 2026, la ANPD pasó a llamarse Agência Nacional de Proteção de Dados (Agencia Nacional de Protección de Datos), un organismo público de naturaleza especial con autonomía funcional, técnica, decisoria, administrativa y financiera. El tema se viene preparando desde hace tiempo: la consulta sobre IA y revisión de decisiones automatizadas, abierta del 6 de noviembre de 2024 al 24 de enero de 2025, recibió 99 contribuciones. Quien planea conectar la IA a los sistemas de la empresa entra directo en ese radar.

Errores comunes

• Un aviso de privacidad genérico: un texto que no menciona la función de IA no informa de verdad la finalidad.

• Mandar el registro completo al modelo: es más fácil de programar y viola el principio de necesidad.

• Guardar conversaciones para entrenar después: una finalidad nueva pide una base legal y un aviso nuevos, no un archivo eterno.

• Una decisión automática sin salida: rechazar a alguien sin un camino de revisión es el caso que describe el artículo 20.

• La cuenta de la API a nombre de quien desarrolló: el contrato con el proveedor del modelo queda fuera del control de quien responde por los datos.

Estos errores aparecen temprano en el desarrollo de SaaS, cuando la prisa por lanzar empuja la arquitectura de datos para después.

Preguntas frecuentes

¿La LGPD prohíbe usar inteligencia artificial con datos de clientes?

No. La LGPD no prohíbe ninguna tecnología. Exige que el tratamiento tenga una finalidad legítima e informada, una base legal, datos mínimos y seguridad desde la concepción del producto. La IA entra en las mismas reglas que cualquier sistema, con atención extra a las decisiones automatizadas, que dan al titular el derecho de pedir una revisión.

¿Usar IA para desarrollar el software ya exige adecuarse a la LGPD?

Depende de por dónde pasan los datos personales. Wama diseñó la app de Cappta, una institución de pago, con apoyo de IA en el flujo de construcción, y eso es distinto de un producto que envía datos de usuarios a un modelo. Lo que pesa es la IA tratando datos de personas reales en producción.

¿Un chatbot con IA tiene que avisar que no es una persona?

La LGPD no trae esa frase lista, pero el principio de transparencia exige información clara sobre el tratamiento y sobre quién lo realiza. En la práctica, avisar que la conversación es con una IA, decir qué pasa con el texto enviado y ofrecer un camino hacia una persona resuelve la mayor parte del riesgo.

¿Los datos anonimizados pueden ir al modelo sin preocupación?

Solo si la anonimización es real. La LGPD considera anonimizados los datos de un titular que no pueda ser identificado, considerando los medios técnicos razonables y disponibles. Cambiar el nombre por un código y mantener el correo, la ciudad y el historial de compras rara vez cumple esa definición, y entonces la ley sigue aplicando.

¿Necesito un informe de impacto para un producto con IA?

La ANPD puede exigir, por el artículo 38, un informe de impacto a la protección de datos con los tipos de datos, la metodología de recolección y seguridad y las medidas de mitigación de riesgos. Para un producto con decisiones automatizadas o datos sensibles, conviene tener el documento listo antes de que alguien lo pida.

Si tu producto va a poner la IA cerca de los datos de clientes, estas respuestas cuestan menos cuando se diseñan junto con las pantallas. Habla con Wama sobre el proyecto antes de la primera línea de código.