10 perguntas antes de dar à IA acesso aos dados da empresa
Um roteiro de perguntas, em linguagem simples, com os artigos da LGPD ao lado de cada uma. Um agente de IA lê arquivos, mexe em planilhas e executa tarefas. Isso vale ouro e também traz risco quando há dados de clientes e de funcionários. Responda sim, não ou não sei a 10 perguntas e veja se a sua empresa está pronta para seguir ou se vale conversar antes.
Ivan Lessa
@oivandigital · IA aplicada a negócios, sem hype
Para quem é
As 10 perguntas
Anote sim, não ou não sei para cada uma. Cada pergunta traz por que importa e o artigo da lei de onde ela vem.
Você sabe exatamente que dados vão para a IA?
Responda sim, não ou não sei: sua empresa listou quais informações o agente vai ler (nomes, CPF, e-mails, contratos, planilhas, prontuários)?
Por que importa: Dado pessoal é qualquer informação ligada a uma pessoa identificada ou identificável. Alguns são sensíveis (saúde, religião, opinião política, origem racial ou étnica, dado biométrico, entre outros) e têm regras mais rígidas. Um agente que lê uma pasta inteira pode ler tudo o que estiver nela.
Na lei: art. 5º, incisos I e II (o que é dado pessoal e dado sensível) e art. 11 (quando dado sensível pode ser tratado). Ler, copiar, enviar e guardar contam como tratamento: art. 5º, inciso X.
Existe um motivo claro e uma base legal para usar esses dados com a IA?
Sim, não ou não sei: você consegue explicar em uma frase para que a IA usa cada tipo de dado, e que o dado é só o necessário?
Por que importa: A lei pede um propósito específico e informado e que se use só o mínimo necessário. "Colocar tudo e ver o que acontece" não é um propósito. Cada uso também precisa se apoiar em uma das hipóteses que a lei prevê (consentimento, obrigação legal, contrato, legítimo interesse, entre outras).
Na lei: art. 6º, incisos I (finalidade), II (adequação) e III (necessidade); art. 7º (hipóteses para tratar dado pessoal); art. 11 (dado sensível).
Você sabe se o provedor da IA guarda ou treina o modelo com o que você envia?
Sim, não ou não sei: você leu, na página oficial do provedor, o que ele faz com os textos e arquivos enviados?
Por que importa: Alguns modelos, principalmente gratuitos, podem usar o que você escreve para melhorar o próprio modelo. Dado de cliente ou de funcionário enviado para isso sai do seu controle. Por isso o guia grátis da trilha usa só dados fictícios. Planos pagos e contratos empresariais costumam ter regras diferentes: confira em cada caso, a regra muda com o tempo.
Na lei: art. 6º, incisos I e II (usar dado só para a finalidade informada ao titular, o dono do dado) e inciso VII (segurança). Se o provedor tratar os dados em nome da sua empresa, ele é o operador (art. 5º, inciso VII) e deve seguir as instruções da empresa, que é a controladora (art. 39).
Você sabe em que país os dados ficam guardados?
Sim, não ou não sei: o provedor informa onde processa e armazena os dados? Se é fora do Brasil, existe uma garantia prevista na lei?
Por que importa: Mandar dado pessoal para servidores no exterior é transferência internacional. A lei só permite em casos específicos, como para país com proteção adequada ou quando a empresa oferece garantias, por exemplo cláusulas contratuais específicas ou cláusulas-padrão. Muitos serviços de IA processam fora do país.
Na lei: art. 5º, inciso XV (definição) e arts. 33 a 36 (casos em que é permitido e regras de garantia).
Existe contrato ou termos que protegem os dados da sua empresa?
Sim, não ou não sei: você tem um contrato ou termos de uso empresariais com o provedor que falam de confidencialidade, segurança, subcontratados e o que acontece com os dados no fim?
Por que importa: Conta pessoal gratuita costuma ter termos de consumidor, pensados para o uso de uma pessoa, não de uma empresa. Se a IA vazar ou usar mal o dado, a empresa responde perante os titulares e quem causar dano deve repará-lo.
Na lei: art. 39 (o operador segue as instruções do controlador), art. 42 (quem causa dano ao tratar dados pessoais deve repará-lo) e art. 46 (medidas de segurança técnicas e administrativas).
O agente só acessa o mínimo, e só pode ler, sem alterar nem apagar?
Sim, não ou não sei: você definiu quem na empresa pode usar o agente, a quais pastas e sistemas ele chega e se ele pode apenas ler ou também escrever, enviar e apagar?
Por que importa: Um agente executa: se tiver permissão, pode mudar ou apagar arquivos, mandar e-mails, mexer em planilhas. O caminho mais seguro é começar só com leitura, em uma pasta separada, com os dados mínimos, e liberar o resto depois de testar. Quanto menos acesso, menor o estrago de um erro.
Na lei: art. 6º, incisos III (necessidade), VII (segurança) e VIII (prevenção); art. 46 (medidas para evitar acesso não autorizado, perda, alteração e destruição) e art. 49 (os sistemas devem ser estruturados para cumprir esses requisitos).
Você consegue ver depois o que o agente fez?
Sim, não ou não sei: existe um registro do que ele leu, alterou ou enviou, de quem pediu e quando?
Por que importa: Sem registro, não dá para investigar um erro, responder a um cliente ou provar que a empresa agiu com cuidado. A lei pede que a empresa consiga demonstrar o que faz com os dados.
Na lei: art. 37 (manter registro das operações de tratamento) e art. 6º, inciso X (responsabilização e prestação de contas).
Você sabe o que fazer se os dados vazarem ou forem usados errado?
Sim, não ou não sei: há um plano simples, com quem avisar, quem decide e quem fala com a ANPD (Autoridade Nacional de Proteção de Dados) e com as pessoas afetadas?
Por que importa: Se houver incidente de segurança que possa causar risco ou dano relevante às pessoas, o controlador deve comunicar a ANPD e os titulares, descrevendo o ocorrido e as medidas tomadas. As infrações podem render sanções administrativas, de advertência até multa de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração.
Na lei: art. 48 (comunicação de incidente) e art. 52 (sanções administrativas).
As pessoas sabem que a IA trata os dados delas, e há revisão por uma pessoa nas decisões importantes?
Sim, não ou não sei: clientes e funcionários foram informados, de forma clara, de que uma IA participa do tratamento? Se o agente influencia decisões sobre pessoas (crédito, contratação, atendimento), alguém revisa?
Por que importa: Quem tem os dados tratados tem direito a informação clara e fácil de acessar. E quem for afetado por decisão tomada somente por tratamento automatizado pode pedir a revisão dela. A revisão por uma pessoa é boa prática de cuidado, mesmo quando a lei não a exige expressamente.
Na lei: art. 6º, inciso VI (transparência), art. 9º (acesso facilitado às informações sobre o tratamento) e art. 20 (direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado).
Existe alguém responsável por proteção de dados na empresa?
Sim, não ou não sei: há uma pessoa indicada como encarregado (canal entre a empresa, os titulares e a ANPD), com contato divulgado, que sabe que a empresa usa IA?
Por que importa: Sem responsável, as dúvidas das pessoas e as comunicações da ANPD ficam sem dono. A lei prevê que a ANPD pode estabelecer hipóteses de dispensa conforme o porte da empresa; por isso, vale conferir como isso se aplica ao seu caso.
Na lei: art. 41 (o controlador indica o encarregado; identidade e contato divulgados publicamente; atividades) e art. 5º, inciso VIII (definição).
Como pontuar
- 0 a 2 respostas "não sei"Está dentro do esperado para quem está começando. Anote o que faltou, descubra as respostas antes de ampliar o uso e vá devagar: comece só com leitura e dados mínimos.
- 3 ou mais "não sei"Vale conversar antes de seguir. Ainda não dá para saber onde estão os riscos, e é mais barato descobrir antes de dar acesso do que depois de um problema.
- Qualquer "não"Cada "não" é uma lacuna concreta a fechar, principalmente nas perguntas 1, 3, 6 e 8. Resolva antes de dar ao agente acesso a dado real.
- Todas "sim"Ótimo ponto de partida. Isso não prova que está tudo certo: guarde as respostas, revise quando mudar a ferramenta ou o contrato e continue testando com poucos dados.
Quem assina
Fontes (conferidas em 13/10/2026)
Quando conversar comigo
Isso é só a ponta do iceberg.
Na sua empresa de verdade entram modelos mais avançados, que não treinam com os seus dados, mais segurança e LGPD. Na Imersão de IA para o seu negócio, eu coloco a IA para trabalhar com limites definidos por você.
