Pseudonimização e anonimização na LGPD: qual a diferença

Anonimizar e pseudonimizar costumam ser usados como se fossem a mesma coisa. Para a LGPD não são, e a diferença decide o quanto você ganha ao tirar os nomes de um texto: dado anonimizado sai do alcance da lei, dado pseudonimizado continua dentro, só que com mais proteção.

Este guia explica o que a lei diz, mostra o teste mais simples para saber em qual dos dois casos você está e como aproveitar isso para usar ChatGPT, Claude, Copilot ou Gemini com casos reais de clientes. O pano de fundo geral está em o que é a LGPD.

O que é anonimização segundo a LGPD

A Lei nº 13.709/2018 tem duas definições que andam juntas, no art. 5º:

III - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

Duas expressões merecem atenção. Meios técnicos razoáveis e disponíveis: a lei não exige uma anonimização impossível de quebrar, e sim uma que resista aos meios razoáveis da época. E direta ou indireta: o dado precisa deixar de apontar para a pessoa também por caminhos indiretos, como combinar informações.

O art. 12 dá a consequência prática. Os dados anonimizados não são considerados dados pessoais para os fins da lei, salvo quando o processo de anonimização for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido. O § 1º explica o que é razoável: fatores objetivos, como o custo e o tempo para reverter o processo, as tecnologias disponíveis e o uso exclusivo de meios próprios. O § 3º diz que a Agência Nacional de Proteção de Dados (ANPD) poderá dispor sobre padrões e técnicas de anonimização e verificar a sua segurança.

O que é pseudonimização

A palavra aparece uma vez no texto, e a definição está no art. 13, § 4º. O artigo trata de estudos em saúde pública por órgãos de pesquisa, e o parágrafo diz:

a pseudonimização é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.

Repare no “senão pelo uso de informação adicional”. É a diferença inteira. Na anonimização não há caminho de volta com meios razoáveis. Na pseudonimização há, e ele está nas mãos do controlador, guardado à parte e protegido.

O Estudo Preliminar da ANPD sobre o tema, de dezembro de 2023, resume assim: para pseudonimizar, o dado pessoal é substituído por um identificador ou informação adicional que permite a vinculação, e essas informações adicionais devem ser mantidas separadamente dos dados pseudonimizados e protegidas com medidas técnicas e organizacionais. O mesmo estudo afirma que a pseudonimização não é o mesmo que anonimização e que ela é encorajada na LGPD como medida de proteção de dados.

Por que a diferença importa

• Anonimizado: não é dado pessoal (art. 12), então as obrigações da lei não incidem sobre aquele conjunto, desde que a anonimização seja real e permaneça assim.
• Pseudonimizado: continua sendo dado pessoal para quem guarda a chave. Você ainda precisa de base legal (art. 7º), de finalidade e de segurança, mas ganha uma camada a mais de proteção, que a lei valoriza. O art. 13, por exemplo, pede anonimização ou pseudonimização, sempre que possível, nos estudos de saúde pública.

Há ainda hipóteses em que a lei privilegia a anonimização: estudos por órgão de pesquisa (arts. 7º, IV, e 11, II, c), conservação de dados após o fim do tratamento para uso exclusivo do controlador, vedado o acesso por terceiro e desde que anonimizados (art. 16, IV), e o direito do titular de pedir a anonimização de dados desnecessários, excessivos ou tratados em desconformidade (art. 18, IV).

O teste da volta

Quase tudo o que se faz com um chat de IA é pseudonimização. Você troca o nome do cliente por uma etiqueta, cola o texto e, quando chega a resposta, recoloca o nome. Essa volta é a que decide. Uma pergunta resolve a maioria dos casos: quando você terminar, vai poder saber de quem falava o texto?

• Se a resposta é não, para ninguém, você anonimizou. É o caso de um modelo de contrato, uma dúvida geral ou números agregados.
• Se a resposta é sim, porque você guarda uma tabela de correspondência, o texto continua associável à pessoa para você. É pseudonimização, e a lei a trata como medida de proteção, não como saída do alcance da LGPD.

A segunda opção não é pior. É a que você quer quando precisa que a resposta da IA sirva para o caso concreto. O que importa é onde a tabela mora. Se ela fica no seu computador e ao chat só chega o texto com etiquetas, quem recebe o texto não tem como saber de quem se trata, contanto que o contexto também não entregue.

Identificadores diretos e indiretos

O estudo da ANPD distingue duas categorias, e a distinção ajuda a revisar um texto antes de colar:

• Identificador direto é o dado que, sozinho, identifica uma pessoa. O exemplo típico é o nome completo. O estudo cita também o CPF, que a Lei nº 14.534/2023 considera número suficiente para identificar o cidadão nas bases de serviços públicos.
• Identificador indireto é o que sozinho não identifica, mas, combinado com outros, pode apontar para alguém: idade, nacionalidade, CEP, características físicas, endereço de IP. Em conjunto, podem formar uma combinação única.

Isso é o que a lei quer dizer com “direta ou indireta”. Cortar o nome e o CPF resolve o direto. O indireto está no cargo, na unidade, na data exata, no valor exato, na doença rara.

Um exemplo

Isto é o que alguém de um escritório de advocacia colaria tal qual:

Cliente: Nuria Solé Domènech CPF: 000.000.001-00 Pediu a revisão do contrato de locação da sala comercial; o locador mandou uma notificação.

E isto é o que chega ao chat depois de trocar os dados por marcadores (saída do Nonimo, com dados fictícios):

Cliente: [PESSOA_1] CPF: [CPF_1] Pediu a revisão do contrato de locação da sala comercial; o locador mandou uma notificação.

Para redigir a resposta à notificação, a IA não precisa de mais. Quando você copia o que ela devolve, [PESSOA_1] volta a ser o nome da sua cliente, na sua tela.

Se o texto dissesse também “a única sala do prédio com consultório de oncologia”, o nome já não seria necessário para reconhecê-la. É a parte que mais se esquece: o contexto. Em processos, acontece o mesmo, como vemos em sigilo profissional do advogado e IA.

Numa escritura, os identificadores são os comparecentes: veja IA em cartórios.

Quando dá para anonimizar de verdade

Há muitos usos de IA em que você não precisa da volta, e aí anonimizar é possível e mais simples:

• Modelos e minutas. Uma carta de cobrança, um contrato-padrão ou a estrutura de uma petição não precisam de dado de ninguém.
• Dúvidas gerais. Como se calcula uma multa de mora, que prazo vale para um trâmite. Descreva o caso em abstrato.
• Números agregados. “No trimestre recebemos quarenta pedidos de locação e rejeitamos doze” pode não identificar ninguém se o universo for grande. Com uma carteira de dez clientes, o mesmo número já diz muito.

Nos três, o que você manda cumpre a definição do art. 5º, III, e não há tabela para proteger.

Três formas de desfazer a proteção sem perceber

Trocar os nomes pouco adianta se a chave acaba no mesmo lugar do texto. Isso acontece de três jeitos:

1. Na mesma conversa. Você cola o texto com etiquetas, mas uma hora antes tinha colado o e-mail original “para dar contexto”. O chat já tem as duas peças.
2. Com a própria tabela. Você pede à IA que ajude a organizar a lista de correspondências ou a preencher um formulário com ela.
3. Com a memória e os projetos. Alguns chats lembram dados entre conversas ou guardam os arquivos enviados. O processo com nomes da semana passada continua lá quando hoje você cola o caso com etiquetas. Veja como apagar o histórico do ChatGPT.

E há uma quarta, que nem chega a ser anonimização: a tarja preta desenhada sobre um PDF que deixa o texto intacto por baixo. Quando é preciso entregar um documento, o que funciona é tarjar o PDF de modo que o texto saia de verdade.

Dados sensíveis: a etiqueta não muda a categoria

Um laudo com o nome trocado continua sendo, para você, informação de saúde de uma pessoa que você consegue identificar. Para você, portanto, seguem valendo as regras de dados sensíveis na LGPD, com as hipóteses mais estreitas do art. 11.

O que muda é o que o chat recebe. Se o diagnóstico chega sem nome, sem CPF e sem nada que permita saber de quem é, o provedor recebe um dado clínico que não consegue associar a ninguém. Quanto mais sensível o tema, mais contexto convém cortar: datas aproximadas, idade em faixa, a unidade de fora. Para esses casos, o caminho indicado é o app, porque o tratamento acontece no seu computador.

Num consultório ou numa clínica, a etiqueta também precisa de revisão: veja IA para médicos e clínicas.

O que conferir antes de colar um texto

Uma lista curta, na ordem em que costuma falhar:

1. Identificadores diretos. Nome, CPF, RG, e-mail, celular, endereço, número de cliente ou de processo.
2. Identificadores indiretos. Cargo, unidade, bairro, datas exatas, valores exatos, doenças pouco comuns.
3. Arquivos e metadados. Em um documento, o autor e o título também são dados: veja como remover os metadados de um PDF.
4. A conversa. Que não haja uma mensagem anterior com os dados reais.

Para o detalhe de cada tipo de dado, veja que dados ocultar antes de usar a IA.

Se você advoga, avise o cliente de que usa IA com uma cláusula de IA no contrato de honorários.

O que faz o Nonimo

O Nonimo é um app para Windows e Mac que faz a troca no seu computador antes de o texto chegar ao chat. Você seleciona o trecho, aperta a tecla e nomes, CPF, CNPJ válido, e-mails, endereços e datas de nascimento com rótulo, CNH com a abreviação nº e telefones com +55 viram marcadores como [PESSOA_1], [CPF_1] ou [E-MAIL_1]. Você cola o texto no ChatGPT, no Claude, no Copilot ou no Gemini.

Quando você copia a resposta e aperta a mesma tecla, cada marcador recupera o valor. A correspondência fica no seu computador, e nada do seu texto vai para o Nonimo.

Nos termos deste guia, o Nonimo faz a versão com volta, isto é, pseudonimização, e é assim que o descrevemos. À IA chega um texto que não diz de quem fala; você conserva o caminho de volta ao caso. Antes de colar, você tira à mão o número do RG, os celulares sem o +55 e o que o contexto possa entregar, como o cargo, a unidade ou o valor exato. Com os identificadores já trocados, essa revisão fica bem mais rápida.

Se o que você tem é um arquivo, veja como anonimizar dados em CSV e TXT.

E se um texto com dados reais já chegou a um chat, os passos para resolver estão em incidente de segurança na LGPD.

Quando um cliente pergunta como você protege os dados na IA, veja o questionário de segurança sobre IA.

Fontes

Consultadas em 17 de outubro de 2026.

• Lei nº 13.709, de 14 de agosto de 2018 (LGPD), texto atualizado na base de legislação da Câmara dos Deputados: www2.camara.leg.br/legin. Art. 5º, III e XI; art. 7º, IV; art. 11, II, c; art. 12 e §§ 1º a 3º; art. 13, caput e § 4º; art. 16, IV; art. 18, IV.
• ANPD, Estudo Preliminar Anonimização e Pseudonimização para a proteção de dados pessoais, versão 1.0, dezembro de 2023: gov.br/participamaisbrasil. Itens 13 a 21, 61 e 81. Página da consulta à sociedade, de 30/1 a 14/3/2024: Consulta à Sociedade.