Isaque Victor cursos gratuitosNesta aula
Governança é só isto: saber quem usa, para quê, com qual dado e por quanto tempo.
Você vai aprender o mínimo de LGPD que quem cuida de uma IA precisa saber. Sem juridiquês e sem decorar artigo.
- Explicar base legal com um exemplo
- Registrar o que a IA faz com dados pessoais
- Definir quanto tempo guardar os registros
A LGPD em três ideias
A Lei Geral de Proteção de Dados diz que dado pessoal só pode ser usado com um motivo. Para a IA da sua empresa, três ideias bastam:
- Motivo: para que você usa o dado? A lei chama isso de base legal.
- Só o necessário: use o mínimo de dado para a tarefa.
- Prestar contas: você precisa conseguir mostrar o que fez.
Imagine uma clínica que usa a IA para resumir prontuários. O motivo é cuidar da saúde do paciente. O mínimo é o prontuário daquele paciente, e não a ficha financeira. E ela sabe mostrar quem usou e quando.
Os registros de uso
Registro (log) é o caderno em que o sistema anota quem usou a IA, quando e com qual documento. É a sua prova. Se um paciente perguntar quem viu o prontuário dele, o registro responde.
Mas atenção: o registro pode guardar o texto que a pessoa digitou. Se alguém colou um CPF numa pergunta, o CPF está no registro. Então o registro também é dado pessoal e precisa de cuidado.
Três regras para o registro
| Regra | Na prática |
|---|---|
| Quem vê | Só o responsável e a diretoria |
| Por quanto tempo | Prazo escrito. Passou, apaga |
| Onde fica | Dentro da empresa, com backup |
Decisão tomada só por máquina
Se uma decisão que afeta uma pessoa, como crédito ou contratação, é tomada só pela IA, ela pode pedir revisão e explicação. Por isso, na empresa, uma pessoa deve revisar o que a IA decidiu antes de virar resposta final.
A política de uma página
Escreva em uma folha: quais usos de IA existem, que dados cada um toca, quem é o responsável, quem pode ver os registros e por quanto tempo eles ficam. Entregue à equipe e guarde uma cópia assinada. Uma página lida vale mais que vinte páginas engavetadas.
Quando alguém quiser um uso novo, a pergunta é a mesma: para quê, com qual dado e quem responde por isso?
O que fazer num vazamento
Se perceber que um dado pessoal saiu para quem não devia, não esconda. Anote o que aconteceu, quando e quem foi afetado. Avise o responsável e a diretoria no mesmo dia. A rotina da aula 13 detalha esse passo a passo. O ponto aqui é cultural: quem avisa rápido evita o pior, e a equipe só avisa se não tiver medo de ser punida.
Treine a equipe em dois minutos
Antes de liberar a IA, junte todo mundo e diga três frases. O que pode colar na conversa. O que não pode. A quem avisar se colar errado. Pessoas seguem regras que entendem, e dois minutos de conversa evitam muito problema depois. Repita quando entrar alguém novo.
Coisa de profissional
A LGPD, no artigo 37, manda o controlador e o operador manterem registro das operações de tratamento de dados pessoais que realizam. Isso vale especialmente quando o motivo é o legítimo interesse. Na prática, o log da sua IA local não é um luxo de TI: ele ajuda a cumprir essa obrigação. Mas o mesmo log guarda o que as pessoas digitaram. Quem entende de governança trata o registro como dado pessoal: acesso restrito, prazo para apagar e nenhuma cópia solta.
Prática · 12 min
- Escreva a política de uma página com usos, dados, responsável e prazo.
- Defina quem pode ler os registros de uso.
- Marque na agenda a data de apagar os registros antigos.
Resumo
- Dado pessoal precisa de um motivo, o mínimo necessário e prestação de contas.
- Registro de uso é a sua prova, mas também é dado pessoal.
- Defina quem vê, por quanto tempo e onde fica.
- Decisão só de máquina pode ser revista por uma pessoa.
Fontes
Lidas em 30 de outubro de 2026.
- Lei 13.709/2018 (LGPD): artigo 20, revisão de decisão tomada só por tratamento automatizado.
- LGPD (Lei 13.709/2018), artigo 37: controlador e operador mantêm registro das operações de tratamento (tradução em inglês consultada).
Quiz da aula
Três situações para aplicar o que viu.