Política de uso de IA e LGPD: o que a empresa pequena precisa escrever, com modelo de cláusulas

A ANPD pôs a inteligência artificial entre os quatro temas prioritários de fiscalização de 2026 e 2027. Para a empresa pequena, a política cabe em duas páginas e começa pela lista do que nunca entra na ferramenta.

Redação Aceleração Eficaz · 1º de novembro de 2026 · 9 min de leitura

Uma política de uso de IA compatível com a LGPD, numa empresa pequena, responde a cinco perguntas: quais ferramentas estão liberadas, que dados nunca entram nelas, com que base legal o dado de cliente é tratado, quem revisa o que a máquina decide e o que o contrato com o fornecedor garante. O texto cabe em duas páginas.

A pressa tem data. Em 24 de dezembro de 2025, a Agência Nacional de Proteção de Dados (ANPD) publicou o Mapa de Temas Prioritários de fiscalização para 2026 e 2027. Um dos quatro temas é a inteligência artificial no tratamento de dados pessoais, com ações como acompanhar o uso secundário de dados para publicidade direcionada.

A agência também mudou de natureza: desde a Lei nº 15.352, de 2026, o artigo 55-A da LGPD a define como autarquia de natureza especial. A escolha das ferramentas está no guia de primeiros passos com IA para pequenas empresas. Aqui o assunto é o papel que acompanha essa escolha.

O que a ANPD já disse sobre IA

O caso mais didático é o da Meta. Em 2 de julho de 2024, a ANPD suspendeu por medida preventiva a política de privacidade, em vigor desde 26 de junho, que permitia usar posts públicos do Facebook e do Instagram para treinar IA generativa. A multa diária por descumprimento foi fixada em R$ 50 mil.

As constatações preliminares foram quatro: hipótese legal inadequada, falta de informação clara sobre a mudança, obstáculos excessivos para o usuário se opor e dados de crianças e adolescentes sem salvaguardas. A base escolhida pela Meta era o legítimo interesse. A ANPD lembrou que ela não vale para dado sensível e que ninguém esperava ver posts antigos treinando IA.

A suspensão caiu em 30 de agosto de 2024, depois de a Meta aceitar um plano de conformidade. Ela teria de avisar por e-mail e no aplicativo, oferecer um formulário simples de oposição, esperar 30 dias depois dos avisos e deixar de fora as contas de menores de 18 anos. Para quem escreve uma política, o roteiro está aí: aviso antes, oposição fácil e criança fora.

Em novembro de 2024, o terceiro volume da série Radar Tecnológico tratou de IA generativa. O estudo trata da raspagem de dados da web e do conteúdo sintético que pode conter informação pessoal, mas a própria ANPD avisa que a série não firma posição institucional.

Sobre decisões automatizadas, a regra ainda está em construção. A Nota Técnica nº 12/2025 consolidou a tomada de subsídios aberta de 6 de novembro de 2024 a 24 de janeiro de 2025, com 124 participantes, e registra divergência sobre a necessidade de revisão humana. A nota não foi localizada no portal da ANPD; a cópia consultada está no site da Secretaria da Segurança Pública da Bahia.

Para a empresa pequena, o texto que mais pesa é a Resolução CD/ANPD nº 2, de 2022. Ela dá ao MEI, à microempresa, à empresa de pequeno porte e à startup regras mais leves, menos para quem faz tratamento de alto risco. Pelo artigo 4º, alto risco é somar um critério geral (larga escala, ou efeito significativo sobre direitos dos titulares) a um específico. Tecnologia emergente ou inovadora é um dos específicos, como a decisão só automatizada e o dado sensível ou de criança, adolescente e idoso.

Pela letra da norma, uma clínica que triasse pacientes com IA somaria dois critérios específicos, IA e dado de saúde, a um efeito direto sobre cada pessoa. A loja que pede ao assistente um texto de vitrine fica longe disso, e a política avisa quando a empresa muda de lado.

A política em sete itens

O artigo 13 da mesma resolução permite ao agente de pequeno porte adotar uma política simplificada de segurança da informação. O guia da ANPD para esses agentes sugere revisá-la a cada um ou dois anos. Os itens abaixo podem entrar nesse documento ou num anexo dele.

1. Ferramentas liberadas, sempre em conta da empresa

A política lista as ferramentas aprovadas e veta as demais para qualquer tarefa com dado de cliente. A diferença entre plano pessoal e empresarial está nos termos de uso. Na Anthropic, as conversas dos planos de consumo só entram no treino se o usuário permitir, segundo a central de privacidade da empresa. Nos produtos comerciais, nem há essa escolha: "por padrão, não usaremos suas entradas ou saídas dos nossos produtos comerciais para treinar nossos modelos", diz a página dos planos comerciais, em tradução livre.

Há um detalhe que pouca gente lê. Nos dois tipos de plano, quem clica no polegar para cima ou para baixo faz a Anthropic guardar a conversa inteira por até cinco anos. Nos planos comerciais, essa avaliação autoriza o uso daquela conversa no treino. A política deve proibir o clique em conversa com dado pessoal.

No Google Workspace, o compromisso publicado é que o conteúdo do cliente não passa por revisão humana nem treina modelos de IA generativa fora do domínio sem permissão. O inventário das ferramentas que cada pessoa já usa por conta própria abre o Raio-X do método da Aceleração Eficaz, em que as plataformas entram como uma das três linhas de custo, ao lado de gente e fornecedores.

2. O que nunca entra numa ferramenta de IA

A lista de proibidos vem da própria lei e dos contratos que a empresa já assinou. Mesmo com plano empresarial, ficam fora:

dados pessoais sensíveis, que o artigo 5º define: origem racial ou étnica, religião, opinião política, filiação a sindicato, saúde, vida sexual, dado genético ou biométrico;
dados de crianças e adolescentes, cujo tratamento o artigo 14 manda fazer no melhor interesse deles;
senhas e códigos de acesso, cujo compartilhamento a ANPD manda proibir;
documentos que o contrato com o cliente classifica como confidenciais;
a base inteira de clientes exportada do sistema, quando a tarefa pede só algumas colunas.

O último item segue o princípio da necessidade, do artigo 6º. O checklist da ANPD para agentes de pequeno porte sugere pseudonimização: trocar nome e CPF por um código antes de mandar a planilha para análise. Dado sensível até pode ser tratado com consentimento específico e destacado, pelo artigo 11, mas aí a empresa soma um critério na régua de alto risco.

3. Uma base legal para cada uso

Cada uso de IA com dado de cliente precisa de uma das hipóteses do artigo 7º. Três interessam aqui: a execução de contrato, quando a IA ajuda a entregar o que o cliente comprou; o consentimento; e o legítimo interesse.

O legítimo interesse foi justamente a base que a ANPD recusou à Meta na análise preliminar. O guia da ANPD sobre o tema, de fevereiro de 2024, pede um teste em três fases (finalidade, necessidade e balanceamento com salvaguardas), registro da operação, como manda o artigo 37, e atenção à expectativa legítima do titular. Na política, o resultado é um quadro com uma linha por uso: tarefa, dado, base legal e quem aprovou.

4. Decisão sobre pessoa tem revisão humana

O artigo 20 da LGPD dá ao titular o direito de pedir revisão de decisões tomadas só por tratamento automatizado que afetem seus interesses, incluídas as que definem perfil de consumo e de crédito. Quando pedido, o controlador deve informar os critérios da decisão. A regra da política é curta: nenhuma decisão sobre crédito, preço individual, contratação ou cancelamento sai só da IA, e uma pessoa com nome assina a revisão.

Pela mesma lógica, o robô que nega um pedido precisa de uma saída para atendente. Esse ponto aparece no texto sobre automação de atendimento. Agentes que agem sozinhos, como os que respondem e-mail, estão no guia sobre agentes de IA.

5. Registro das operações

A Resolução nº 2 permite ao agente de pequeno porte manter de forma simplificada o registro das operações de tratamento, e a ANPD oferece um formulário modelo, em Excel e em PDF, na mesma página do guia de segurança. Cada ferramenta de IA aprovada vira uma linha: que dado entra, para quê, com que base e por quanto tempo. A resolução também dá prazo em dobro para responder aos pedidos dos titulares.

6. Contas protegidas e equipe treinada

O guia de segurança sugere autenticação de dois fatores, por aplicativo autenticador, token, SMS ou e-mail, nos serviços em nuvem com dados pessoais. O checklist acrescenta o princípio do menor privilégio e a proibição de dividir conta ou senha entre funcionários. Em ferramenta de IA, isso quer dizer uma conta por pessoa, nunca um login da equipe inteira, e acesso só às pastas e conectores que a função pede.

O guia também pede treino da equipe. Uma hora com a lista do item 2 na tela basta para começar.

7. Incidente tem prazo

Colar a lista de clientes numa conta pessoal pode configurar incidente de segurança. A regra geral da ANPD manda comunicar à agência e aos titulares, em três dias úteis, o incidente que possa causar risco ou dano relevante, com até vinte dias úteis para complementar. O agente de pequeno porte tem prazo em dobro. A política fixa um prazo interno de horas, e não de dias, para quem viu o erro avisar o responsável.

Cláusulas para o contrato com o fornecedor de IA

Quando a empresa manda dados de cliente para uma ferramenta, ela é a controladora e o fornecedor é o operador, obrigado pelo artigo 39 a tratar os dados segundo as instruções recebidas. Pelo artigo 42, o operador responde junto pelos danos quando descumpre a lei ou as instruções lícitas. O checklist da ANPD pede contratos com cláusulas de segurança sobre a relação entre os dois e a proibição de tratamento incompatível com as instruções.

Se o servidor do fornecedor fica fora do Brasil, entra o artigo 33, que só permite a transferência internacional em casos listados. Um deles são as cláusulas-padrão contratuais. A Resolução CD/ANPD nº 19, de 2024, aprovou o texto dessas cláusulas, exige que sejam adotadas na íntegra e sem alteração e deu 12 meses, contados de 23 de agosto de 2024, para quem já usava cláusulas contratuais incorporá-las.

A lista abaixo serve de modelo para conferir o contrato ou o adendo de proteção de dados do fornecedor:

Tratamento dos dados só para prestar o serviço contratado e conforme as instruções da empresa.
Nenhum uso de entradas, saídas ou arquivos para treinar modelos sem autorização por escrito.
Prazo máximo de retenção e apagamento de tudo ao fim do contrato, com confirmação por escrito.
Aviso de incidente à empresa em até 24 horas, para que ela cumpra o prazo da ANPD.
Lista dos suboperadores, com aviso prévio antes de incluir ou trocar algum.
Indicação do país onde os dados são processados e, se for fora do Brasil, as cláusulas-padrão da ANPD sem alteração.
Criptografia em trânsito, autenticação de dois fatores e controle de acesso por usuário.
Ajuda para atender, no prazo, pedidos de acesso, correção e eliminação feitos pelos titulares.
Acordo de nível de serviço que cubra a segurança dos dados armazenados, como o guia da ANPD sugere para serviços em nuvem.
Direito de pedir informações e relatório de auditoria sobre o cumprimento das cláusulas.

A leitura da Aceleração Eficaz é que a empresa pequena não negocia cláusula com os grandes fornecedores de modelos. Ela lê os termos comerciais e o adendo de proteção de dados de cada plano, marca quais dos dez itens já estão cobertos e escolhe o plano pelo que falta. Se o fornecedor revende acesso a esses modelos, peça os dois contratos.

O ciclo de fiscalização do mapa da ANPD vai até o fim de 2027. Se o PL 2338/2023, hoje numa comissão especial da Câmara, virar lei como saiu do Senado, a mesma agência passa a coordenar o sistema nacional de regulação de IA, como mostra o texto sobre o marco legal da IA.

Perguntas frequentes

Empresa pequena precisa de encarregado de dados para usar IA?

Não é obrigada. O artigo 11 da Resolução CD/ANPD nº 2/2022 dispensa o agente de tratamento de pequeno porte de indicar encarregado, desde que ele mantenha um canal de comunicação com o titular, como um e-mail informado no site. Se indicar mesmo assim, a ANPD conta a escolha como política de boas práticas e governança na hora de avaliar uma infração. A dispensa não vale para quem faz tratamento de alto risco.

Qual a multa da LGPD para quem usa IA de forma irregular?

A LGPD não tem multa própria para IA. As sanções do artigo 52 valem para qualquer tratamento irregular e vão da advertência à multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, passando por multa diária, publicização da infração e bloqueio ou eliminação dos dados. Na dosagem, contam a boa-fé, a cooperação e a adoção de boas práticas, e a Resolução nº 2 inclui aí a política simplificada de segurança.

A política de uso de IA vale para o celular pessoal do funcionário?

Vale para qualquer aparelho que acesse dado da empresa. O checklist de segurança da ANPD para agentes de pequeno porte sugere separar, quando possível, os celulares de uso pessoal dos de uso da empresa, exigir autenticação de vários fatores nesses aparelhos e ter como apagar à distância os dados pessoais guardados neles. Na política, isso vira uma regra simples: ferramenta de IA com dado de cliente só em aparelho e conta que a empresa controla.

Por quanto tempo a empresa pode guardar as conversas com a IA?

A LGPD não fixa prazo em dias. O artigo 15 encerra o tratamento quando a finalidade foi alcançada ou o dado deixou de ser necessário, e o artigo 16 manda eliminar os dados depois disso, com exceções como o cumprimento de obrigação legal ou regulatória. A política define um prazo para cada tipo de uso e confere se a ferramenta permite apagar o histórico dentro dele, inclusive nas contas de cada funcionário.