Dados Pessoais e Inteligência Artificial: Fronteiras Regulatórias

A expansão da inteligência artificial sobre volumes massivos de dados pessoais impõe desafios regulatórios urgentes que exigem atenção redobrada de empresas, governos e cidadãos.

O Cenário Atual: Dados Pessoais como Insumo da Inteligência Artificial

Vivemos um momento em que sistemas de inteligência artificial processam quantidades extraordinárias de informações pessoais a cada segundo. Desde algoritmos de recomendação em plataformas digitais até ferramentas de análise preditiva utilizadas por instituições financeiras e órgãos públicos, os dados pessoais tornaram-se o principal combustível de modelos computacionais que influenciam decisões cotidianas. Nesse contexto, analisamos como as fronteiras regulatórias precisam acompanhar a velocidade dessas transformações tecnológicas para garantir que direitos fundamentais não sejam sacrificados em nome da inovação.

A Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) estabeleceu no Brasil um marco normativo robusto para o tratamento de dados pessoais, incluindo princípios como finalidade, adequação, necessidade e transparência. Contudo, quando confrontamos essas exigências com o funcionamento de sistemas de inteligência artificial, percebemos que a aplicação prática desses princípios enfrenta obstáculos consideráveis. Modelos de aprendizado de máquina, por exemplo, frequentemente operam como “caixas-pretas”, dificultando a explicação das decisões automatizadas aos titulares dos dados, conforme previsto no artigo 20 da LGPD.

No plano internacional, observamos movimentos regulatórios significativos. A União Europeia aprovou o Regulamento de Inteligência Artificial (AI Act), que classifica sistemas de IA por níveis de risco e impõe obrigações proporcionais a cada categoria. Essa abordagem baseada em risco dialoga diretamente com a proteção de dados pessoais, pois sistemas classificados como de “alto risco” (utilizados em recrutamento, crédito, saúde e segurança pública) estão sujeitos a requisitos rigorosos de transparência, supervisão humana e avaliação de impacto. Verificamos que essa tendência regulatória europeia tem influenciado debates legislativos em diversos países, inclusive no Brasil.

Due Diligence de Dados: Uma Necessidade Estratégica

A due diligence de dados consiste em um processo sistemático de verificação, avaliação e mapeamento das práticas de coleta, armazenamento, tratamento e compartilhamento de dados pessoais dentro de uma organização. Quando aplicada ao contexto da inteligência artificial, essa análise ganha camadas adicionais de complexidade, pois é necessário examinar não apenas os dados em si, mas também os algoritmos que os processam, as finalidades para as quais foram treinados e os potenciais impactos discriminatórios que podem gerar.

No ambiente corporativo brasileiro, a due diligence de dados tornou-se indispensável em operações de fusões e aquisições, captação de investimentos e parcerias estratégicas. Investidores e parceiros comerciais cada vez mais exigem demonstrações concretas de conformidade com a LGPD antes de formalizar negócios. Organizações que utilizam inteligência artificial sem um processo estruturado de due diligence expõem-se a riscos jurídicos, financeiros e reputacionais significativos, incluindo sanções administrativas pela Autoridade Nacional de Proteção de Dados (ANPD), que podem alcançar até 2% do faturamento da empresa no Brasil (limitadas a R$ 50 milhões por infração).

Analisamos que um processo eficaz de due diligence de dados voltado à inteligência artificial deve contemplar, no mínimo, os seguintes elementos: inventário completo dos conjuntos de dados utilizados para treinamento e operação dos modelos; verificação das bases legais que amparam cada operação de tratamento; análise dos mecanismos de consentimento (quando aplicável); avaliação de riscos de viés algorítmico e discriminação; documentação dos processos de tomada de decisão automatizada; e mapeamento dos fluxos transfronteiriços de dados, especialmente relevante quando os modelos de IA são hospedados ou treinados em servidores localizados no exterior.

Além disso, a due diligence deve incluir uma avaliação técnica da segurança dos sistemas de IA contra ataques adversariais, vazamentos de dados de treinamento e técnicas de inferência que permitam a reidentificação de titulares a partir de dados supostamente anonimizados. Pesquisas recentes demonstram que modelos de linguagem de grande porte podem, em determinadas circunstâncias, reproduzir trechos de dados pessoais presentes em seus conjuntos de treinamento, o que levanta questões jurídicas complexas sobre responsabilidade e conformidade regulatória.

A due diligence de dados aplicada à inteligência artificial não é apenas uma formalidade jurídica, mas um instrumento estratégico de governança que protege organizações contra riscos regulatórios crescentes e fortalece a confiança de consumidores e parceiros comerciais.

Fronteiras Regulatórias: O Marco Legal Brasileiro em Construção

O Brasil ainda não possui uma legislação específica e abrangente sobre inteligência artificial, embora diversos projetos de lei tramitem no Congresso Nacional. O Projeto de Lei nº 2.338/2023, que propõe um marco regulatório para a IA no país, tem sido objeto de intensos debates entre setores da sociedade civil, da academia, do setor privado e do governo. Acompanhamos com atenção as discussões sobre a necessidade de equilibrar a promoção da inovação tecnológica com a proteção de direitos fundamentais, incluindo a privacidade e a proteção de dados pessoais.

Enquanto esse marco legal não se consolida, a LGPD permanece como o principal instrumento normativo aplicável ao tratamento de dados pessoais por sistemas de inteligência artificial. O artigo 20 da LGPD, que garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado, representa uma das disposições mais relevantes nesse contexto. A regulamentação desse dispositivo pela ANPD tem potencial para definir parâmetros mais claros sobre transparência algorítmica e explicabilidade de decisões automatizadas.

A ANPD publicou, ao longo dos últimos anos, documentos orientativos que tangenciam a relação entre proteção de dados e inteligência artificial. Destacamos o Guia Orientativo sobre Tratamento de Dados Pessoais para Fins Acadêmicos e para a Realização de Estudos e Pesquisas, que aborda questões relevantes sobre o uso de dados em projetos de pesquisa envolvendo IA. Verificamos também que a Autoridade tem buscado estabelecer diálogos com reguladores de outros países e organismos internacionais para harmonizar abordagens regulatórias.

No âmbito setorial, reguladores específicos já impõem requisitos relacionados ao uso de inteligência artificial e dados pessoais. O Banco Central, por meio de normativos sobre política de segurança cibernética e requisitos para contratação de serviços de processamento e armazenamento de dados, estabelece obrigações que impactam instituições financeiras que utilizam IA para análise de crédito, prevenção a fraudes e atendimento ao cliente. A Agência Nacional de Saúde Suplementar (ANS) e o Conselho Federal de Medicina (CFM) também têm se posicionado sobre o uso de sistemas de IA na área da saúde, reconhecendo tanto os benefícios quanto os riscos associados ao tratamento de dados sensíveis de pacientes.

Riscos Concretos e Medidas de Mitigação

A intersecção entre dados pessoais e inteligência artificial gera riscos que vão além das violações tradicionais de privacidade. O viés algorítmico, por exemplo, pode perpetuar e amplificar discriminações históricas relacionadas a gênero, raça, idade e condição socioeconômica. Quando um sistema de IA utilizado para triagem de currículos é treinado com dados que refletem padrões discriminatórios do passado, as decisões automatizadas tendem a reproduzir essas distorções em escala, afetando direitos fundamentais de grupos vulneráveis.

Outro risco relevante envolve o chamado “efeito de resfriamento” (chilling effect) sobre liberdades civis. A percepção de vigilância constante por sistemas de IA, como reconhecimento facial em espaços públicos ou monitoramento de comunicações, pode inibir o exercício legítimo de direitos como a liberdade de expressão, de reunião e de associação. Analisamos que esse fenômeno exige uma reflexão regulatória profunda sobre os limites do uso de inteligência artificial por órgãos de segurança pública e pelo setor privado.

Para mitigar esses riscos, recomendamos que organizações adotem práticas de governança de dados e de IA que incluam: a realização periódica de Relatórios de Impacto à Proteção de Dados Pessoais (RIPD), conforme previsto na LGPD; a implementação de avaliações de impacto algorítmico que identifiquem e mensurem potenciais efeitos discriminatórios; a adoção de mecanismos de supervisão humana em decisões automatizadas de alto impacto; a capacitação contínua de equipes técnicas e jurídicas sobre as implicações regulatórias do uso de IA; e a criação de canais efetivos para que titulares de dados possam exercer seus direitos, incluindo o de obter informações claras sobre a lógica dos processos automatizados.

Perspectivas Futuras e Recomendações Práticas

O cenário regulatório para dados pessoais e inteligência artificial continuará em rápida evolução nos próximos anos. A tendência global aponta para uma convergência entre regulações de proteção de dados e regulações específicas de IA, criando um arcabouço normativo integrado que exigirá das organizações uma abordagem holística de conformidade. Verificamos que empresas que investem antecipadamente em programas de governança de dados e de IA posicionam-se de forma mais competitiva, reduzindo riscos e gerando valor a partir da confiança que transmitem ao mercado.

No contexto brasileiro, a aprovação de um marco regulatório para inteligência artificial representará um divisor de águas. Independentemente do modelo regulatório adotado (baseado em risco, em direitos ou híbrido), é previsível que a interoperabilidade com a LGPD seja um dos pilares centrais da nova legislação. Organizações que já possuem programas maduros de conformidade com a LGPD terão uma base sólida para adaptar-se às novas exigências.

Recomendamos que gestores e profissionais do direito acompanhem atentamente os desdobramentos legislativos e regulatórios nessa área, invistam em capacitação técnica multidisciplinar e adotem uma postura proativa de conformidade. A due diligence de dados aplicada à inteligência artificial não deve ser encarada como um custo ou um obstáculo burocrático, mas como um investimento estratégico em sustentabilidade e resiliência organizacional. O momento de preparar-se para as fronteiras regulatórias que se aproximam é agora, e não quando as sanções já estiverem sendo aplicadas.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.