LGPD

É a lei brasileira que regula o tratamento de dados pessoais. Os pontos que mais afetam IA são: as bases legais (consentimento, execução de contrato, legítimo interesse, entre outras); os princípios de finalidade, necessidade e transparência; os direitos do titular, incluindo acesso, correção, eliminação e revisão de decisões automatizadas (Art. 20); o relatório de impacto (RIPD) para tratamentos de risco; os papéis de controlador (quem decide) e operador (quem executa), sendo que fornecedores de modelo costumam ser operadores; e a obrigação de comunicar incidentes de segurança à ANPD. Vazamento de dados pessoais por um sistema de IA é incidente reportável.

Em Produto, antes de lançar uma capacidade de IA, vale verificar: base legal para cada dado usado; RIPD se houver dado sensível ou decisão automatizada com efeito relevante; contrato com o fornecedor de modelo cobrindo o tratamento e o não uso dos dados para treino; e canal para o titular pedir revisão humana. O Art. 20 é especialmente importante para IA: garante o direito à revisão de decisões automatizadas, o que exige um fluxo de contestação com humano. Por exemplo, um modelo de crédito automatizado precisa oferecer ao cliente o caminho para pedir revisão da decisão por uma pessoa.

Use LGPD para dados de pessoas no Brasil. Use GDPR para dados de pessoas na União Europeia. Use EU AI Act para sistemas de IA vendidos ou usados na União Europeia, independentemente dos dados. Uma forma simples de diferenciar: LGPD e GDPR regulam os dados; AI Act regula o sistema.

Lei 13.709, sancionada em 14 de agosto de 2018, em vigor desde setembro de 2020; inspirada no GDPR europeu. Fiscalizada pela ANPD.

Lei 13.709/2018 (LGPD); ANPD, Guia orientativo sobre tratamento de dados pessoais