Antes de enviar dados à IA, classifique o que pode sair da empresa
Tecnicamente, uma apresentação pública, um contrato, uma planilha financeira e um cadastro de clientes podem passar pela mesma interface de IA. Isso não significa que todos possam ser enviados ou tratados sob as mesmas regras. A Lei Geral de Proteção de Dados distingue dados pessoais de dados pessoais sensíveis e apresenta princípios como finalidade, necessidade, segurança e responsabilização. O contexto da aplicação também precisa entrar na avaliação operacional.
Usar IA, por si só, não define se uma informação pode ser enviada. A empresa precisa saber que dado será inserido, para qual finalidade, em qual solução e com que consequência se houver exposição, erro ou uso inadequado.
Classificar transforma uma proibição genérica em regra aplicável
Uma classificação interna organiza níveis de sigilo e acesso, como informações públicas, internas e confidenciais. A natureza do dado pessoal e a criticidade do processo são critérios complementares, não categorias que substituem essa classificação. O nome das categorias importa menos do que a capacidade da equipe de reconhecer o nível de cuidado necessário.
Na prática, tarefas sem dados internos podem usar ferramentas autorizadas com mais liberdade. Documentos confidenciais podem exigir solução aprovada, configuração específica ou revisão adicional. Dados pessoais sensíveis exigem atenção às regras aplicáveis da LGPD. Para informações confidenciais ou processos críticos, a empresa deve escalar a avaliação quando houver impacto sobre pessoas, finanças, continuidade operacional, decisões relevantes ou acesso a sistemas.
A decisão inclui a solução e o responsável
Classificar o dado não basta. A empresa também deve entender como o fornecedor trata as informações, quais controles existem, que configurações podem ser aplicadas e quais responsabilidades permanecem com a organização. Mesmo uma solução executada localmente pode estar conectada a bancos de dados, integrações ou serviços externos.
Um critério mínimo combina classificação e capacidade da solução: dados públicos podem seguir um fluxo autorizado; dados internos exigem ferramenta aprovada e acesso restrito; Dados pessoais sensíveis, informações confidenciais ou processos críticos podem exigir validação adicional ou bloqueio segundo a política interna e a avaliação de risco, considerando a finalidade, os direitos de uso, os controles da ferramenta e as exigências legais aplicáveis. A classificação não substitui essas verificações. Antes de autorizar, registre finalidade definida, autorização interna, ferramenta aprovada, controles técnicos e contratuais compatíveis e, quando cabível, avaliação de privacidade e segurança. Considere crítico o processo que afeta pessoas, finanças, continuidade operacional, decisões relevantes ou acesso a sistemas; quanto maior esse impacto, mais rigorosa deve ser a validação. Considere relevante toda aplicação que trate dados pessoais, dados confidenciais, integre sistemas ou possa produzir impacto material no processo. Cada aplicação relevante deve ter dados permitidos, responsável, limite de uso e gatilhos de revisão, como mudança de fornecedor, integração, finalidade ou tipo de dado tratado. O objetivo é registrar, orientar e supervisionar os usos autorizados.
O primeiro teste é mapear o uso atual
Comece por um inventário simples: quais áreas usam IA, para quais tarefas, com quais informações, em quais soluções e sob responsabilidade de quem? Depois, escolha um uso de baixo risco. Com o responsável designado pela aplicação e o canal interno de privacidade, segurança ou governança definido pela empresa, avalie se a equipe consegue reconhecer o que pode ser compartilhado e quando precisa pedir autorização.
Esse levantamento pode revelar usos não documentados e indicar onde a revisão deve ser mais rigorosa. Registre cada uso, atribua-lhe uma decisão, permitir, condicionar ou bloquear, e indique um responsável. Quanto mais sensível o dado ou maior o impacto do erro, maior deve ser a avaliação antes da escala.
Este conteúdo possui finalidade informativa e não substitui avaliação jurídica, de privacidade ou de segurança para aplicações específicas.
Fontes
Presidência da República, 14/08/2018. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm
Autoridade Nacional de Proteção de Dados (ANPD), 2024. https://www.gov.br/anpd/pt-br/centrais-de-conteudo/documentos-tecnicos-orientativos/radar_tecnologico_ia_generativa_anpd.pdf/@@display-file/file
Autoridade Nacional de Proteção de Dados (ANPD). https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-orientativo-sobre-seguranca-da-informacao-para-agentes-de-tratamento-de-pequeno-porte
Autoridade Nacional de Proteção de Dados (ANPD). https://www.gov.br/anpd/pt-br/centrais-de-conteudo/modelo_de_ropa_para_atpp.pdf/@@display-file/file