LGPD e IA na prática: o que a sua empresa pode e não pode fazer com os dados

Uma pergunta que talvez você nunca tenha se feito

Imagine que você colou a lista de clientes da sua empresa dentro de um ChatGPT da vida e pediu: "me ajude a escrever uma mensagem de cobrança para cada um desses nomes".

Parece esperto. Rápido. Prático.

Mas pare um segundo e pense: para quem você acabou de entregar os nomes, telefones e valores devidos dos seus clientes?

Essa é a pergunta que quase ninguém faz — e é exatamente a pergunta que a LGPD faz por você.

Por que isso importa (e por que agora)

A IA chegou às pequenas e médias empresas de um jeito que ninguém previu. Hoje, um dono de padaria usa IA para responder clientes no WhatsApp. Um contador usa IA para resumir documentos. Uma loja usa IA para criar promoções com base no histórico de compras.

Em todos esses casos existe um ingrediente em comum: dados de pessoas reais.

E aqui está o ponto que muda tudo. A lei brasileira não pergunta se a sua empresa é grande ou pequena. Ela pergunta se você trata dados de pessoas. Se a resposta é sim — e para quase toda empresa é —, a LGPD vale para você.

A boa notícia? Cumprir a lei não é complicado. Na maioria das vezes, é questão de bom senso organizado. É isso que vamos destravar aqui.

O que é a LGPD, em uma frase

LGPD é a sigla de Lei Geral de Proteção de Dados (Lei nº 13.709, de 2018). Ela funciona como um regulamento de trânsito para as informações das pessoas.

Assim como no trânsito você pode dirigir, mas com regras — cinto, velocidade, sinalização —, na LGPD você pode usar os dados dos seus clientes, mas com regras: pedir permissão quando necessário, usar só para o que combinou e proteger bem.

Não é uma lei que proíbe usar dados. É uma lei que ensina a usar sem atropelar ninguém.

Três palavras que abrem a lei inteira

Você não precisa decorar a LGPD. Precisa entender três ideias. Com elas, 90% das dúvidas se resolvem sozinhas.

1. Dado pessoal. É qualquer informação que identifica alguém: nome, CPF, telefone, e-mail, endereço, foto. Se dá para saber de quem é, é dado pessoal.

2. Dado sensível. É um tipo especial, mais delicado: saúde, religião, opinião política, origem racial, vida sexual, biometria. Esses pedem cuidado redobrado. Pense neles como a "carga frágil" do caminhão.

3. Finalidade. É o motivo pelo qual você coletou o dado. E aqui está o coração da lei: você só pode usar o dado para o fim que combinou. Se o cliente deu o telefone para receber a nota fiscal, você não pode sair mandando propaganda sem avisar.

Guarde essa frase: "Combinado não sai caro." A LGPD é, no fundo, sobre manter o combinado com quem confiou os dados a você.

Onde a IA entra nessa história

A Inteligência Artificial é faminta por dados. Quanto mais informação você dá a ela, mais útil ela fica. E é justamente aí que mora o cuidado.

Quando você digita algo dentro de uma ferramenta de IA, esse texto sai da sua empresa e vai para o servidor de outra companhia — muitas vezes fora do Brasil. É como mandar um documento pelo correio: uma vez postado, ele saiu das suas mãos.

Então a pergunta prática vira esta: o que pode e o que não pode ir para dentro de uma IA?

Vamos separar isso de forma bem clara.

O que a sua empresa PODE fazer com IA e dados

Pode usar IA com dados que não identificam ninguém. Números de vendas totais, tendências, textos genéricos, ideias, rascunhos. Se não dá para saber de quem é, o risco é baixo.

Pode usar IA depois de "despersonalizar" os dados. Em vez de "João da Silva, CPF tal, deve R$ 300", escreva "cliente deve R$ 300". A IA ajuda igual, e você não expôs ninguém. Essa técnica simples — tirar o nome antes de perguntar — resolve boa parte dos casos.

Pode usar IA com dados pessoais quando tem uma base legal. A lei prevê situações em que o uso é permitido: quando a pessoa consentiu, quando é necessário para cumprir um contrato com ela, para cumprir uma obrigação legal, entre outras. Traduzindo: se existe um motivo legítimo e combinado, o uso é possível.

Pode usar ferramentas de IA com contrato empresarial. Muitas plataformas oferecem versões para empresas que se comprometem a não usar os seus dados para treinar os modelos delas. Para quem lida com informação de cliente, essa é quase sempre a escolha certa — vale entender qual IA usar no seu negócio antes de decidir.

O que a sua empresa NÃO PODE fazer

Não pode jogar dados sensíveis numa IA aberta sem cuidado. Prontuários, exames, dados de saúde de funcionários — isso é carga frágil. Exige proteção reforçada e, na maioria dos casos, permissão específica.

Não pode usar o dado para um fim diferente do combinado. Coletou o e-mail para enviar o boleto? Então não vale alimentar uma IA que dispara marketing sem avisar o cliente. Mudou a finalidade, precisa de nova base legal.

Não pode terceirizar a responsabilidade. Muita gente pensa: "mas foi a IA que fez". Não importa. Perante a lei, a responsabilidade pelo dado é de quem o coletou — ou seja, da sua empresa. A ferramenta é só o caminhão; o dono da carga é você.

Não pode ignorar um pedido do cliente. A pessoa tem o direito de saber quais dados você guarda, corrigir o que estiver errado e pedir a exclusão. Se ela pedir, você precisa atender.

E se a empresa não cumprir? (sem alarmismo, só o fato)

Existe uma autoridade responsável por fiscalizar a LGPD: a ANPD (Autoridade Nacional de Proteção de Dados). Desde 1º de agosto de 2021, ela pode aplicar sanções.

As punições previstas na lei vão da mais leve à mais pesada: advertência com prazo para corrigir; multa; publicização da infração; e, em casos graves, bloqueio ou eliminação dos dados envolvidos.

Sobre a multa, um número que costuma assustar — e que vem direto do texto da lei (art. 52): ela pode chegar a até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração.

Mas atenção ao espírito da coisa. A lei não foi feita para caçar o pequeno empresário de boa-fé. A própria ANPD prioriza orientar antes de punir, e a advertência com prazo para corrigir costuma vir primeiro. O objetivo não é o medo. É a cultura de cuidado.

Um jeito simples de organizar a casa

Você não precisa de um departamento jurídico para começar. Precisa de método. Aqui vai um caminho em quatro passos, do tamanho de uma PME:

Passo 1 — Faça um "inventário" dos dados. Liste, numa folha só, quais dados de pessoas a sua empresa guarda e por quê. Cadastro de cliente? Folha de pagamento? Lista de WhatsApp? Só de enxergar isso, metade dos riscos aparece.

Passo 2 — Pergunte "por que eu tenho isso?". Todo dado precisa de um motivo. Se não há motivo, não guarde. Dado que você não tem é dado que ninguém rouba.

Passo 3 — Crie a regra do "tira o nome antes". Combine com a equipe: nada de dado que identifica pessoa vai para uma IA aberta sem antes remover nome, CPF e telefone. Vira hábito rápido.

Passo 4 — Escolha ferramentas sérias. Prefira plataformas de IA com versão empresarial e política clara de privacidade. Leia o que elas fazem com o seu dado. Custa dez minutos e evita muita dor de cabeça. Se quiser aprofundar, veja o que uma empresa precisa saber sobre segurança de dados e IA.

Para onde isso caminha

Nos próximos anos, três movimentos tendem a se firmar.

Primeiro, transparência vira diferencial de venda. Empresas que mostram cuidado com dados ganham a confiança do cliente. Privacidade deixa de ser burocracia e vira reputação.

Segundo, as ferramentas de IA vão ficar mais "conformes" por padrão — com opções de manter dados no Brasil e de não treinar modelos com o que você digita. O mercado está correndo nessa direção.

Terceiro, a fiscalização deve amadurecer. À medida que a IA se espalha, a atenção sobre o uso de dados aumenta. Quem organizar a casa agora chega na frente e sem sustos.

Uma última reflexão

Proteger dados não é sobre esconder informação. É sobre respeito.

Cada nome na sua lista de clientes é uma pessoa que confiou em você. A LGPD só coloca no papel algo que todo bom empresário já sente: quem cuida da informação das pessoas, cuida das pessoas.

A Inteligência Artificial é uma ferramenta poderosa. Usada com esse cuidado, ela não é um risco — é uma vantagem. E a diferença entre as duas coisas cabe numa pergunta simples, que vale fazer antes de cada clique:

"Eu gostaria que fizessem isso com os meus dados?"

Se a resposta for sim, siga em frente. Você está no caminho certo.

---