Pular para o conteúdo

A Vantagem Humana

Ferramentas · gratuita · sem cadastro

Checklist de LGPD para uso de IA

Dezessete pontos, cada um com o artigo da LGPD ou a norma da ANPD que o exige. No fim, o quanto o uso de IA da sua empresa está coberto e as pendências em ordem de risco, com o que fazer em cada uma.

Abaixo há um exemplo respondido, com o resultado já montado. Troque pelas respostas da sua empresa.

Mapeamento

Sabemos quais ferramentas de IA recebem dados pessoais, de quem e para quê. art. 37

Sim Em parte Não Não se aplica

O uso de IA com conta pessoal ou ferramenta não aprovada está sob controle. art. 50

Sim Em parte Não Não se aplica

Base legal e finalidade

Cada uso de dado pessoal em IA tem base legal identificada. art. 7 · risco alto

Sim Em parte Não Não se aplica

Os dados vão para a IA só na finalidade informada e no mínimo necessário. art. 6, I e III

Sim Em parte Não Não se aplica

Dados sensíveis (saúde, biometria, religião, origem racial etc.) não vão para IA sem base legal específica. art. 11 · risco alto

Sim Em parte Não Não se aplica

Dados de crianças e adolescentes, se houver, têm tratamento no melhor interesse deles. art. 14 · risco alto

Sim Em parte Não Não se aplica

Fornecedores de IA

O contrato com o fornecedor define que ele trata os dados segundo as nossas instruções. art. 39

Sim Em parte Não Não se aplica

Os dados inseridos não são usados para treinar os modelos do fornecedor. art. 6, I; boa prática

Sim Em parte Não Não se aplica

Se o fornecedor processa dados fora do Brasil, a transferência internacional está coberta. art. 33; Res. CD/ANPD 19/2024 · risco alto

Sim Em parte Não Não se aplica

Direitos e transparência

O aviso de privacidade informa que usamos IA e fornecedores no tratamento dos dados. arts. 6, VI, e 9

Sim Em parte Não Não se aplica

Decisões automatizadas sobre pessoas podem ser revisadas, e sabemos explicar os critérios. art. 20 · risco alto

Sim Em parte Não Não se aplica

Conseguimos atender pedidos de acesso e eliminação quando o dado está numa ferramenta de IA. art. 18

Sim Em parte Não Não se aplica

Conversas e arquivos com dados pessoais são apagados quando a finalidade termina. arts. 15 e 16

Sim Em parte Não Não se aplica

Segurança e governança

O acesso às ferramentas de IA usa contas corporativas, com controle de quem entra e sai. art. 46 · risco alto

Sim Em parte Não Não se aplica

Há procedimento para quando dado pessoal for parar indevidamente numa ferramenta de IA. art. 48; Res. CD/ANPD 15/2024 · risco alto

Sim Em parte Não Não se aplica

Usos de IA de alto risco para os titulares têm relatório de impacto (RIPD). art. 38

Sim Em parte Não Não se aplica

O encarregado de dados (ou o canal com o titular, no pequeno porte) sabe como a empresa usa IA. art. 41; Res. CD/ANPD 2/2022

Sim Em parte Não Não se aplica

Ainda não tem regras de uso de IA escritas? O gerador de política de uso de IA monta a política com as cláusulas de LGPD.

Como o resultado é calculado

Cada ponto tem um peso pelo risco que representa para os titulares e para a empresa: alto vale 3, médio 2, baixo 1. "Sim" conta o peso inteiro, "em parte" conta metade, "não" não conta, e "não se aplica" sai da conta. O percentual é o obtido sobre o possível. Qualquer ponto de risco alto respondido com "não" coloca o resultado em exposição relevante, qualquer que seja o percentual.

Perguntas frequentes

A LGPD se aplica ao uso de inteligência artificial?

Sim. A LGPD vale para qualquer tratamento de dado pessoal, e inserir dado pessoal numa ferramenta de IA é tratamento. Valem as bases legais do art. 7, a proteção reforçada dos dados sensíveis (art. 11), o direito de revisão de decisões automatizadas (art. 20) e o dever de segurança (art. 46), entre outros.

Posso colocar dados de clientes no ChatGPT ou em outra IA?

Só com base legal, pelo mínimo necessário, em ferramenta com conta corporativa e contrato que trate o fornecedor como operador e não use os dados para treinar modelos. Dados sensíveis e de crianças exigem cuidado adicional. Se o fornecedor processa fora do Brasil, a transferência internacional precisa estar coberta, por exemplo pelas cláusulas-padrão da Resolução CD/ANPD nº 19/2024.

O que fazer se um dado pessoal for parar numa ferramenta de IA por engano?

Tratar como possível incidente de segurança: avaliar o risco aos titulares e, se houver risco ou dano relevante, comunicar a ANPD em até três dias úteis, conforme a Resolução CD/ANPD nº 15/2024, e os titulares afetados (art. 48 da LGPD).

Empresa pequena precisa de encarregado de dados para usar IA?

Agentes de tratamento de pequeno porte podem ser dispensados de indicar encarregado pela Resolução CD/ANPD nº 2/2022, mas continuam obrigados a manter um canal de comunicação com o titular e a cumprir a LGPD no uso de IA.

Este checklist substitui um parecer jurídico?

Não. Ele mostra onde estão as lacunas mais prováveis e em que ordem atacá-las. A adequação deve ser feita com o jurídico ou o encarregado de dados da empresa.

Referências: Lei 13.709/2018 (LGPD); Resoluções CD/ANPD nº 2/2022, 15/2024 e 19/2024. Este checklist não substitui orientação jurídica.