Projetos de IA costumam começar com uma prova de conceito rápida. As perguntas sobre dados pessoais, contratos e permissões aparecem depois, quando ajustar já custa caro.
Governança de IA não precisa ser pesada. Neste artigo, reunimos o que deve estar claro desde o primeiro dia.
A LGPD se aplica à IA
A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer tratamento de dados pessoais, inclusive com IA. Se o projeto envolve pessoas identificáveis, a lei se aplica ao treinamento, ao uso e ao armazenamento desses dados.
Alguns princípios merecem atenção especial em projetos de IA:
- Finalidade: os dados devem ser usados para um propósito legítimo e informado. Reaproveitar dados coletados para outra finalidade exige análise.
- Necessidade: usar apenas os dados necessários. Se o caso de uso funciona com dados anonimizados ou agregados, essa é a melhor opção.
- Transparência: as pessoas devem ser informadas de forma clara sobre como seus dados são tratados.
Todo tratamento precisa de uma base legal, como execução de contrato, cumprimento de obrigação legal, legítimo interesse ou consentimento, entre outras previstas na lei. Os dados sensíveis, como informações de saúde, biometria, origem racial ou convicção religiosa, têm regras mais restritas. Os direitos dos titulares também continuam valendo, incluindo acesso, correção e a possibilidade de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Relatório de impacto quando houver risco
Quando o tratamento pode gerar riscos relevantes aos titulares, a recomendação é elaborar um Relatório de Impacto à Proteção de Dados Pessoais (RIPD). Ele descreve os dados tratados, a finalidade, os riscos identificados e as medidas para reduzi-los. É especialmente importante quando a IA apoia decisões sobre pessoas, como seleção de candidatos.
Onde os dados são processados
Serviços de IA em nuvem podem processar dados fora do Brasil. A LGPD permite a transferência internacional em hipóteses específicas, e o projeto precisa saber em que região os dados ficam e qual mecanismo legal ampara a transferência. Vale consultar a documentação atual do fornecedor sobre residência de dados e as orientações vigentes da ANPD.
Contratos com fornecedores
Antes de contratar uma ferramenta ou plataforma de IA, leia os termos com atenção. As perguntas mais importantes são:
- os dados enviados são usados para treinar os modelos do fornecedor?
- por quanto tempo prompts, arquivos e respostas ficam armazenados?
- quem pode acessar esses dados do lado do fornecedor e em que situações?
- quais compromissos de segurança, confidencialidade e notificação de incidentes existem?
Versões corporativas costumam oferecer garantias diferentes das gratuitas.
Classificação da informação e permissões
Assistentes de IA integrados ao ambiente corporativo, como o Copilot no Microsoft 365, trabalham com as informações a que o usuário já tem acesso. Em outras palavras, a IA enxerga o que o usuário enxerga. Se há pastas compartilhadas com toda a empresa ou links abertos, a IA pode trazer à tona documentos que não deveriam estar acessíveis.
Antes de ampliar o uso, revise permissões em sites, pastas e equipes, e adote uma classificação da informação com rótulos de sensibilidade, como público, interno, confidencial e restrito. Ferramentas de proteção de dados podem aplicar regras automáticas a partir desses rótulos, conforme o licenciamento vigente.
Política de uso aceitável
Uma política curta deve indicar as ferramentas aprovadas, as informações permitidas em cada uma e a regra de que quem usa a IA responde pelo resultado.
Registro e auditoria
Soluções em produção devem registrar o que foi solicitado, respondido e executado, e por quem. Isso ajuda a investigar incidentes e demonstrar conformidade. O registro também pode conter dados pessoais e precisa de controle de acesso e prazo de retenção.
Papéis claros
Cada um precisa saber o seu papel:
- Dono do caso de uso: responsável de negócio pela finalidade, pelos resultados e pelas decisões sobre a solução.
- Encarregado (DPO): orienta sobre proteção de dados e é o canal com titulares e com a ANPD.
- Segurança da informação: avalia riscos técnicos, acessos e integrações.
- Jurídico: analisa contratos, bases legais e obrigações.
Revisão humana
Em decisões que afetam pessoas, como crédito, contratação, desligamento ou atendimento de reclamações, a IA deve apoiar e não decidir sozinha. Defina em quais etapas uma pessoa revisa, com que critérios e como essa revisão fica registrada.
Um comitê leve, não burocracia
Um pequeno comitê com negócio, tecnologia, segurança, jurídico e o encarregado pode avaliar novos casos com um checklist simples. Baixo risco segue rápido. Maior risco recebe análise mais profunda. O objetivo é velocidade com segurança, não uma fila de aprovações.
Como a InMinds pode ajudar
A InMinds é uma consultoria AI First e parceira Microsoft que apoia empresas a implantar IA com segurança. Ajudamos a estruturar a governança dos casos de uso, revisar permissões e classificação da informação, configurar proteções no ambiente Microsoft e desenhar soluções que respeitam a LGPD desde a concepção.
Quer começar seus projetos de IA com a governança certa? Conheça as nossas soluções com IA e dados e a nossa oferta de Segurança da Informação.
