Segurança e LGPD em projetos de IA: lista de verificação prática

A primeira objeção a um projeto de IA quase nunca é técnica. É a pergunta do jurídico ou da TI: "e os nossos dados?". A resposta precisa ser concreta. Esta é a lista de verificação que uso para tratar LGPD, inteligência artificial e empresas antes de ligar qualquer agente.

Não é parecer jurídico. É a lista prática de controles que a equipe de implantação deve garantir, para que o jurídico e o encarregado de dados da empresa possam validar com segurança.

Por que IA exige atenção extra com LGPD?

IA exige atenção extra porque o agente lê muita informação de uma vez e pode cruzar dados que antes ficavam separados. Um e-mail, um contrato e uma planilha de RH, juntos, revelam mais do que cada um sozinho.

Além disso, há um terceiro envolvido: o provedor do modelo de IA. Para onde vão os dados, por quanto tempo ficam e para que podem ser usados são perguntas que precisam de resposta escrita.

Qual é a lista de verificação de LGPD e inteligência artificial nas empresas?

São oito itens. Os seis primeiros são obrigatórios antes de o agente entrar em produção.

1. Dados da empresa separados

Os dados de cada empresa ficam em ambiente próprio, isolado de outros clientes do fornecedor. Documentos, conversas e registros não se misturam. Pergunte ao fornecedor onde os dados ficam armazenados e quem tem acesso.

2. Sem treino de modelos de terceiros

O contrato com o provedor do modelo deve garantir que os dados enviados não são usados para treinar ou melhorar modelos. As versões corporativas dos principais provedores oferecem essa garantia. As versões gratuitas e pessoais, em geral, têm regras diferentes. Leia os termos de cada uma.

3. Permissões por perfil

O agente acessa só o que precisa para a tarefa, e cada usuário vê só o que já podia ver antes. Se um vendedor não tem acesso à folha de pagamento no sistema, não pode passar a ter pelo agente.

• Liste quais sistemas e pastas o agente lê.
• Liste quais ele pode alterar.
• Herde as permissões do usuário que está perguntando, sempre que possível.

4. Registro de tudo

Cada ação do agente fica registrada: o que leu, o que respondeu, o que alterou, quem pediu e quem aprovou. Esse registro serve para auditoria, para responder a um titular que pergunta o que foi feito com seus dados e para investigar um erro.

5. Base legal definida

Cada uso de dado pessoal precisa de uma base legal prevista na LGPD, como execução de contrato, obrigação legal ou legítimo interesse. Dados sensíveis, como saúde, têm regras mais restritas. Essa definição é do jurídico ou do encarregado de dados, mas a equipe do projeto precisa entregar a lista de quais dados o agente trata e para quê.

6. Contrato com fornecedores

O contrato deve deixar claro quem é controlador e quem é operador dos dados, quais subcontratados existem, onde os dados ficam, prazo de retenção, como é feita a exclusão no fim do contrato e o que acontece em caso de incidente.

7. Minimização

Envie ao modelo só o necessário. Se o agente precisa analisar uma cotação, não precisa do CPF do vendedor do fornecedor. Quando possível, retire ou mascare dados pessoais antes do processamento.

8. Transparência com as pessoas

Colaboradores e clientes devem saber quando estão falando com um agente e para que os dados são usados. Atualize a política de privacidade e os comunicados internos.

Como organizar a lista de verificação na prática?

A tabela abaixo é a que preencho com a TI e o jurídico no início de cada projeto:

Como escrever uma política de uso de IA para a equipe?

Uma política de uso de IA é um documento curto que diz quais ferramentas estão liberadas, que tipo de dado pode ser usado em cada uma e quem procurar em caso de dúvida. Ela resolve o uso informal, que costuma existir antes de qualquer projeto.

1. Liste as ferramentas aprovadas, com a versão corporativa de cada uma.
2. Classifique os dados em três níveis: público, interno e restrito. Dados pessoais e sensíveis ficam no nível restrito.
3. Diga o que pode ir para cada ferramenta em cada nível.
4. Indique um contato para dúvidas e para comunicar incidentes.

Uma página bem escrita vale mais do que um manual que ninguém lê.

Quando fazer um relatório de impacto?

Quando o agente trata dados sensíveis ou toma decisões que afetam pessoas, vale fazer um relatório de impacto à proteção de dados. Exemplos: agentes de RH, de saúde, de crédito ou de análise de candidatos.

O relatório descreve quais dados são tratados, os riscos e as medidas para reduzi-los. Ele também força a equipe a pensar nos riscos antes, e não depois do incidente. A decisão de fazer ou não é do encarregado de dados.

O que mais dá errado?

• Uso informal antes do projeto. Funcionários já colam dados em ferramentas pessoais. Uma política de uso aceitável resolve parte do problema.
• Agente com acesso amplo demais "para facilitar" no piloto, que depois vai para produção assim.
• Registro sem prazo de retenção, guardando dados pessoais para sempre.
• Contrato genérico, que não fala de IA nem de subcontratados.

Segurança e LGPD bem resolvidas aceleram o projeto, porque tiram a objeção da mesa logo no início. Isso vale ainda mais em processos com dados de pessoas, como mostro em IA no RH. Na Horia, essa lista de verificação é preenchida no diagnóstico, antes de qualquer agente acessar dado real.