Política de privacidade e IA: o que ela precisa dizer

Sua política de privacidade não precisa citar a expressão “inteligência artificial”. A LGPD não a usa. O que ela precisa dizer é para que você usa os dados dos seus clientes, com quem os compartilha e como o titular exerce os direitos dele. E se alguém no escritório, ou na recepção de uma clínica, cola um processo ou uma ficha no ChatGPT, no Claude, no Copilot ou no Gemini, esse uso precisa caber no que a política já promete.

Este guia repassa o que a Lei Geral de Proteção de Dados (Lei 13.709/2018) pede, lida hoje no texto da Câmara dos Deputados, e depois, como critério nosso, o que vale revisar quando sua equipe trabalha com chats de IA. Não é modelo pronto nem assessoria jurídica.

O que a LGPD pede da política de privacidade

O art. 9 dá ao titular o direito ao acesso facilitado às informações sobre o tratamento dos dados dele, disponibilizadas de forma clara, adequada e ostensiva. É isso que a sua política de privacidade, ou aviso de privacidade, faz na prática. O princípio por trás está no art. 6, VI: a transparência, ou seja, informações claras, precisas e facilmente acessíveis sobre o tratamento e sobre quem o realiza.

Duas definições do art. 5 ajudam daqui para a frente. Tratamento é toda operação com dados pessoais: coletar, usar, armazenar, transmitir, eliminar (inciso X). Controlador é quem decide sobre o tratamento (inciso VI) e operador é quem trata os dados em nome do controlador (inciso VII). Se você quer o panorama completo da lei diante da IA, ele está no guia de LGPD e inteligência artificial.

O que ela precisa dizer: as sete informações do art. 9

O art. 9 enumera o conteúdo. A política deve informar, de forma clara:

• a finalidade específica do tratamento;
• a forma e a duração do tratamento, observados os segredos comercial e industrial;
• a identificação do controlador;
• as informações de contato do controlador;
• o uso compartilhado de dados pelo controlador e a finalidade;
• as responsabilidades dos agentes que realizarão o tratamento;
• os direitos do titular, com menção explícita aos direitos do art. 18.

O art. 18 é a lista que o titular pode exigir a qualquer momento: confirmação de que há tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados excessivos, portabilidade, eliminação dos dados tratados com consentimento, informação sobre com quem os dados foram compartilhados, informação sobre a possibilidade de negar o consentimento e revogação do consentimento. O atendimento é sem custo para o titular (art. 18, § 5º).

Outros dois pontos aparecem em quase toda política bem feita. O art. 9, § 3º, pede destaque quando o tratamento é condição para fornecer um produto ou serviço. E o art. 41, § 1º, manda divulgar publicamente a identidade e o contato do encarregado, de preferência no site do controlador.

Para microempresas, empresas de pequeno porte e startups, a Resolução CD/ANPD 2/2022 (art. 11) dispensa a indicação do encarregado, mas pede um canal de comunicação com os titulares. Como a própria resolução exclui quem faz tratamento de alto risco ou ultrapassa os limites de receita (art. 3), vale conferir se esse regime vale para você.

Quando a política precisa mudar

O art. 9, § 2º, trata da mudança de finalidade: se o consentimento é a base e a finalidade passa a ser incompatível com a original, o controlador informa o titular antes, e o titular pode revogar o consentimento. O art. 8, § 6º, soma a exigência de destacar o teor das alterações. E o art. 8, § 4º, lembra que o consentimento deve se referir a finalidades determinadas: autorizações genéricas são nulas.

Na prática, uma política escrita como “tratamos seus dados para prestar o serviço contratado” cobre bem a redação de um contrato. Cobre pior um uso que ela nunca mencionou. Quando um novo uso entra, é hora de reler o texto.

Compartilhamento ou operador: a diferença que importa

A lei fala em uso compartilhado (art. 9, V) e em operador (art. 5, VII). O art. 39 diz que o operador trata os dados segundo as instruções do controlador, que verifica se elas são cumpridas. Já o art. 33 trata da transferência internacional: ela só é permitida nos casos que a lei enumera, como os países com grau de proteção adequado, as cláusulas contratuais específicas ou padrão e o consentimento específico do titular.

Agora, o chat de IA. A lei não diz em qual dessas situações cai um fornecedor de IA, porque não fala de IA. É critério nosso: depende das condições do serviço que você contratou. Se o fornecedor trata os dados só para prestar o serviço a você, ele se parece mais com um operador. Se as condições o deixam usar os dados para fins próprios, convém analisar com mais cuidado, inclusive o fato de o servidor estar fora do país. Essa leitura dos termos cabe a quem assessora sua empresa.

Se a sua equipe é de uma prefeitura ou de um órgão público, veja também IA no setor público.

O que revisar se sua equipe usa chats de IA

O que segue é critério nosso, não uma lista da lei. Se alguém na equipe cola dados de clientes em um chat, confira na política:

1. Finalidade e necessidade. Os princípios do art. 6, I a III, pedem finalidades legítimas, específicas e informadas, e o mínimo de dados necessário. Se a política diz “elaborar contratos” e o chat é usado para isso, pode caber. Se é usado para algo que ela não menciona, vale atualizá-la.
2. Dados. Entram dados sensíveis no chat? O art. 11 trata deles com hipóteses próprias, e o que conta como sensível está em dados sensíveis na LGPD. Numa clínica, quase qualquer anotação os traz.
3. Compartilhamento e fornecedor. Conforme a seção anterior, a política talvez precise dizer que você usa fornecedores de tecnologia e, se for o caso, que os dados podem ser tratados fora do Brasil.
4. Segurança. O art. 46 manda adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados. Uma regra sobre o que pode ou não ser colado em um chat é uma medida administrativa, como mostra o modelo de política de uso de IA.
5. Decisões automatizadas. O art. 20 dá ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, inclusive as que definem o perfil profissional ou de crédito. Se você usa IA para triar candidatos ou solicitações, confira como atende esse direito.

Para saber o que cada ferramenta faz com o que a equipe cola:

• O que o Copilot faz com os seus dados
• O que o Gemini faz com os seus dados

Menos dados fora, menos a explicar

Há um jeito de simplificar a conversa: fazer com que os dados pessoais não saiam do computador. A Nonimo é um app para Windows e Mac, com extensão para o navegador. Você seleciona o texto, aperta uma tecla e, no seu computador, nomes, e-mails, CPF, CNPJ e telefones com +55 (além de data de nascimento e endereço, quando vêm com rótulo) viram marcadores. O chat recebe só o texto com marcadores, e a troca acontece no seu computador. Quando você copia a resposta da IA e aperta a mesma tecla, os dados voltam ao lugar.

O número do RG ou de um contrato você troca à mão por uma etiqueta antes de colar. Um exemplo, rodado no motor da Nonimo:

Antes:
Cliente: Nuria Solé Domènech, CPF 000.000.001-00
E-mail: cliente@example.com
Endereço: Rua Exemplo, 00, Bairro Inexistente, CEP 00000-000
Redija a contestação: o locador cobra os aluguéis de março a junho, mas a cliente pagou por transferência e guardou os comprovantes.

Depois:
Cliente: [PESSOA_1], CPF [CPF_1]
E-mail: [E-MAIL_1]
Endereço: [MORADA_1]
Redija a contestação: o locador cobra os aluguéis de março a junho, mas a cliente pagou por transferência e guardou os comprovantes.

Como critério prudente nosso, e não como regra da lei: se os dados pessoais não chegam ao fornecedor de IA, há menos a explicar na política sobre esse uso, e a conversa com quem assessora sua empresa fica mais curta. Se alguém já colou dados de clientes em um chat, como apagar o histórico do ChatGPT explica o que se apaga e o que o fornecedor guarda.

Um texto curto para a política

Se você já usa a IA com os dados ocultados antes de colar, uma frase como esta pode entrar na política. Adapte ao que você realmente faz:

Para elaborar alguns documentos, podemos usar ferramentas
de inteligência artificial. Antes de usá-las, substituímos,
em nossos próprios computadores, os dados que identificam
você (como nome, e-mail, CPF e telefone) por marcadores
genéricos, de modo que esses dados não são enviados aos
fornecedores dessas ferramentas. Todo resultado é revisado
por uma pessoa de nossa equipe.

Escreva só o que for verdade em cada computador da sua equipe. Uma frase que descreve o que você faz convence mais do que uma promessa ampla.

Quem contrata seguro cibernético costuma responder a perguntas sobre como a empresa trata os dados.

E a política para dentro da empresa?

A política de privacidade fala com o cliente. Para a equipe, o texto é outro: a política de uso de IA nas empresas.

E se você presta serviços e quer contar ao cliente como trabalha, a cláusula de IA no contrato de honorários é a peça gêmea.

A lei de IA ainda tramita no Congresso; veja em que pé está o PL 2338/2023.

Fontes

Todas consultadas em 17 de outubro de 2026.

• Câmara dos Deputados, Lei 13.709/2018 (LGPD), publicação original: arts. 5, 6, 8, 9, 11, 18, 33, 39, 41, 46 e 52.
• Câmara dos Deputados, Lei 13.853/2019, que deu ao art. 20 a redação em vigor.
• ANPD, Resolução CD/ANPD 2/2022: arts. 3 e 11.