Governança, LGPD e rótulo de IA

Aula 1 · Quem responde pelos dados (8 min)

1. A organização responde perante a LGPD. A ANPD, no guia de agentes de tratamento (versão 2.0, abril de 2022), diz que os indivíduos subordinados, tais como os funcionários, não são considerados controladores, e que empregados não devem ser considerados operadores (o Radar Tecnológico da ANPD admite que, em certos casos, a própria pessoa pode ser considerada agente de tratamento).
2. Controlador é quem decide sobre o tratamento. Operador é quem trata em nome do controlador (LGPD, art. 5º, VI e VII). Conversar com uma IA com dado de cliente é uma operação de tratamento, palavra que a lei usa para coleta, uso, armazenamento e outras operações (art. 5º, X).
3. A ANPD já olhou o prompt. No Radar Tecnológico sobre IA generativa (nº 3, novembro de 2024), a autoridade lista o que as pessoas colocam em prompts: e-mails, interações com clientes, registros médicos. Diz também que quem compartilha dados de outros titulares com o sistema pode, conforme o contexto, ser considerado agente de tratamento.
4. Cada tratamento precisa de uma base. O art. 7º diz que o tratamento "somente poderá ser realizado" nas hipóteses que lista, entre elas o consentimento (inciso I) e o legítimo interesse (inciso IX). Para dado sensível, o art. 11 tem lista própria. Qual base serve ao seu caso é pergunta para advogado.
5. Finalidade e necessidade (art. 6º, I e III): use o dado para um propósito claro e o mínimo necessário. É o mesmo "mínimo" do “Segurança, dados e custo”, agora como regra da empresa.

Aula 2 · Suas regras de dados (12 min)

A tabela abaixo é uma proposta de trabalho da DNACX, não texto de lei. Ela aplica os princípios da Aula 1. Ajuste à sua realidade e valide com seu advogado.

Quatro pontos para decidir por escrito:

1. Qual conta para qual faixa. Cada fornecedor trata dado de forma diferente em cada tipo de conta. A Anthropic diz que, por padrão, não usa entradas e saídas dos seus produtos comerciais para treinar modelos, com exceção de feedback enviado ou permissão dada, e trata as contas de consumo (Free, Pro e Max) em outro artigo. O Google diz que contas de trabalho ou escola "podem estar sujeitas a termos diferentes" e que parte das conversas pode ser revisada por pessoas, por isso orienta a não inserir informação confidencial que você não queira que um revisor veja. Regra do curso: antes de colocar dado de cliente, leia os termos do plano exato que você contrata e registre a data da leitura.
2. Quem pode usar o quê. Uma lista de ferramentas aprovadas e uma de proibidas.
3. Dado sensível: por padrão, vermelho.
4. Regra de dúvida: na dúvida, trata como vermelho e pergunta ao responsável.

Aula 3 · Quando algo dá errado (8 min)

1. Segurança: o art. 46 manda os agentes de tratamento adotarem medidas de segurança técnicas e administrativas. Na prática, para IA: contas individuais, senha forte, acesso removido de quem sai da empresa.
2. Registro: o art. 37 diz que controlador e operador devem manter registro das operações de tratamento. A Aula 5 é a versão mínima disso para o uso de IA.
3. Incidente: o art. 48 manda o controlador comunicar a ANPD e o titular de "incidente de segurança que possa acarretar risco ou dano relevante aos titulares". A página da ANPD lista três critérios cumulativos: a ocorrência foi confirmada, envolve dados pessoais sujeitos à LGPD e pode acarretar risco ou dano relevante. A página da ANPD informa que o prazo é de três dias úteis, pela Resolução CD/ANPD nº 15, de 24/04/2024 (arts. 6º e 9º), ressalvado prazo diferente em lei específica. A comunicação pode ser em duas etapas: a preliminar, sozinha, não basta para cumprir o art. 48, e a complementação tem vinte dias úteis, a contar da comunicação. Como o prazo é curto, defina agora, por escrito, quem na empresa recebe o aviso de incidente e quem fala com o advogado.
4. Encarregado: o art. 41 diz que "o controlador deverá indicar encarregado pelo tratamento de dados pessoais". Leve ao advogado a pergunta de como isso se aplica ao tamanho e ao tipo da sua empresa.
5. Consequência: o art. 52, II prevê multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração. É o teto, não o valor esperado. Citar o teto serve para dimensionar o assunto, não para assustar.

Aula 4 · Quando avisar que foi feito com IA (10 min)

O que as fontes oficiais abertas dizem, ponto a ponto:

1. LGPD: o art. 20 trata da revisão de decisões tomadas unicamente por tratamento automatizado.
2. CONAR (Guia de Marketing e Publicidade por Influenciadores Digitais, 2026): as regras do Código aplicam-se à publicidade "independentemente das tecnologias" de produção, inclusive IA. As partes da cadeia da publicidade continuam responsáveis pelo resultado (seção 1.3.1). O próprio guia afirma, em nota, que não cria dever novo de aviso (disclosure) sobre o uso de IA. Sobre influenciador virtual, o guia registra a relevância da transparência ao consumidor em diretrizes internacionais.
3. Instagram (Meta): a Meta diz que exige o uso da sua ferramenta de aviso para vídeo fotorrealista ou áudio realista criado ou alterado digitalmente, e que pode aplicar penalidades. A tela de publicação do Instagram, vista pela DNACX em 26 e 27/10/2026, diz que o rótulo é necessário para fotos e vídeos realistas feitos com IA, e o interruptor vem desligado.
4. YouTube: exige divulgar conteúdo feito ou alterado com IA que pareça realista (pessoa real dizendo ou fazendo o que não fez, evento real alterado, cena realista que não ocorreu). Não exige para conteúdo não realista, edição estética, nem uso de IA em roteiro, miniatura ou ideias. Quem deixa de divulgar com frequência pode sofrer penalidades.

Árvore de decisão proposta (da DNACX, a partir dessas regras):

1. O conteúdo é realista (foto, vídeo ou voz que pode ser tomado por real)? Se sim, a plataforma pede o aviso: ligue o rótulo, ou registre quem decidiu não ligar.
2. Mostra uma pessoa real dizendo ou fazendo algo que ela não disse nem fez, ou voz clonada? A decisão de avisar fica com o responsável, no momento de publicar. Ter autorização da pessoa é conversa com advogado.
3. É publicidade com depoimento, endosso ou simulação de resultado? O risco é induzir a erro: confira o conteúdo contra a realidade, avise, e guarde a prova do que é verdadeiro.
4. É texto, roteiro, ideia ou arte claramente ilustrativa? As plataformas lidas não pedem aviso, e você decide.
5. Conteúdo de outra pessoa ou de cliente: combine por escrito quem decide o rótulo.

Exemplo de política escrita, da DNACX para o Instagram: carrossel gerado por código, sem imagem realista de IA, não leva rótulo pelo texto da tela. Peça com voz clonada ou animação gerada é conteúdo gerado, e o rótulo é um interruptor que vem desligado: a decisão de ligá-lo fica com o responsável, no momento de publicar. Copie a estrutura, não os critérios: troque pelos seus.

Aula 5 · Registro mínimo de uso (7 min)

Monte esta tabela numa planilha. Uma linha por ferramenta ou uso.

Revise o registro a cada três meses ou quando entrar uma ferramenta nova. Esse registro é um começo prático. Ele não substitui o registro de operações do art. 37. O formato exigido, valide com advogado.