Política de IA sem controle é teatro de compliance

A governança que cabe num PDF não governa nada

Existe um ritual corporativo se consolidando no Brasil: a empresa decide adotar IA, o jurídico redige uma "Política de Uso de Inteligência Artificial", o RH manda por e-mail, todo mundo dá o aceite eletrônico — e a diretoria dorme tranquila achando que está em conformidade com a LGPD.

Não está. E essa é a tese deste artigo: política de IA sem controle técnico é teatro de compliance. O documento existe para o auditor; o risco continua existindo para o titular do dado. A Lei nº 13.709/2018 não pede que a empresa tenha uma política. Pede que ela comprove por que usa IA, com quais dados, com quais controles e com qual supervisão. São coisas muito diferentes — e a distância entre elas é onde moram as multas, os incidentes e os processos.

O risco pouco discutido é justamente esse: a governança virando camada documental. A organização registra políticas, mas não controla de fato prompts, conectores, permissões, retenção e saída do modelo. Acha que está protegida por ter um PDF assinado, enquanto times inteiros seguem colando dados de clientes em ferramentas externas, sem rastreabilidade de quem acessou o quê e por qual justificativa.

O teste dos quatro artigos

A LGPD não menciona inteligência artificial uma única vez. E não precisa. Quatro artigos da lei funcionam como um teste operacional para qualquer sistema de IA que trate dados pessoais — e é um teste que se responde com sistemas, não com parágrafos.

O artigo 20 garante ao titular o direito de solicitar revisão por pessoa natural em decisões tomadas unicamente por tratamento automatizado. Pergunta prática: se um cliente pedir hoje a revisão humana de uma decisão que sua IA tomou — um crédito negado, um currículo descartado, uma triagem reclassificada —, sua empresa consegue reconstruir qual decisão foi tomada, com quais dados, e entregar essa revisão? Se a resposta depende de "vamos verificar com a TI", você não passa no teste.

O artigo 38 prevê relatório de impacto à proteção de dados para operações de alto risco. Um sistema de IA que decide sobre crédito, saúde ou emprego é candidato óbvio. Quantas empresas brasileiras fizeram esse relatório antes de colocar o modelo em produção — e não depois, como formalidade retroativa?

O artigo 46 exige medidas de segurança técnicas e administrativas. Técnicas. Não basta a política dizer "é proibido enviar dados sensíveis a ferramentas de IA"; é preciso haver classificação de dados, bloqueio de conectores e controle de acesso que tornem a violação difícil, não apenas desaconselhada.

E o artigo 48 trata da comunicação de incidentes à ANPD e aos titulares. Se um funcionário expôs dados de pacientes num chatbot público há três meses, sua empresa saberia? Sem logs de inferência e monitoramento de uso, a resposta honesta é não — e incidente que você não detecta é incidente que você não comunica, o que agrava a infração em vez de evitá-la.

Onde o papel descola da prática

O descolamento fica evidente nos casos concretos. A documentação da OpenAI informa que o conteúdo do cliente no ChatGPT Enterprise não é usado para treinar modelos por padrão. Ótimo — mas esse controle só protege quem contratou a versão enterprise. A política interna pode dizer "use apenas ferramentas aprovadas", enquanto metade da equipe usa a versão gratuita no celular pessoal. O documento está certo; a realidade, não.

O Microsoft Copilot para Microsoft 365 é ainda mais didático. O posicionamento do produto destaca que a IA herda os controles de identidade e as permissões dos arquivos do tenant. Traduzindo: a segurança do copiloto é exatamente a segurança do seu ambiente atual. Se as permissões do SharePoint estão bagunçadas há cinco anos — e em quase toda empresa estão —, a política de IA mais bem escrita do país não impede que o modelo responda com base em documentos que aquele usuário nunca deveria ter enxergado. A governança da IA não é uma camada nova; é a sua governança de dados existente, agora com um multiplicador em cima.

O recrutamento é o caso clássico de risco. Ferramentas de triagem de currículos tomam decisões automatizadas sobre pessoas usando dados pessoais — situação que aciona diretamente o artigo 20 e exige revisão humana, documentação e controle de vieses. Uma política que diz "o RH deve revisar as decisões da ferramenta" não vale nada se, na prática, o recrutador apenas carimba o ranking que o sistema entregou. Revisão humana que não pode discordar não é revisão; é assinatura.

No setor financeiro, bancos e fintechs já entenderam isso na marra: IA para fraude, atendimento e crédito precisa vir acompanhada de trilhas de auditoria e supervisão humana real, porque decisões automatizadas afetam titulares e geram risco regulatório direto sob a LGPD. O restante do mercado ainda trata esses controles como burocracia opcional.

O DPO deixou de ser um cargo jurídico

O artigo 41 da LGPD estrutura o encarregado de dados como canal entre controlador, titulares e ANPD. Na era pré-IA, muita empresa tratou o DPO como função decorativa — um advogado que responde e-mails da ANPD. Com IA em produção, isso ficou insustentável.

O DPO virou a ponte operacional entre jurídico, TI, negócio e regulador. É ele quem precisa saber quais casos de uso de IA existem na empresa, qual a classificação de risco de cada um, onde estão os logs e o que acontece quando algo dá errado. Um encarregado que não sabe listar os sistemas de IA em operação na própria empresa é o sintoma mais claro de que a governança é de papel.

Há, é verdade, uma lacuna real: a LGPD cobre dados pessoais, mas não resolve sozinha responsabilidade pelo output de IA generativa, transparência algorítmica ou padronização de auditoria de modelos — pontos que o debate regulatório brasileiro reconhece como pendentes. Mas usar essa lacuna como desculpa para não fazer o básico é inverter a lógica. O básico já está na lei. E já é exigível.

O que isso significa para empresas brasileiras

A boa notícia: a LGPD não proíbe IA. A notícia incômoda: ela transfere para a empresa o ônus da prova. Para sair do compliance de papel, o caminho é tratar cada artigo da lei como um requisito de engenharia, não como um capítulo de documento:

Classifique casos de uso por risco, e não por ferramenta. Um chatbot de FAQ e um modelo de triagem de currículos não podem viver sob a mesma regra.
Faça a revisão humana ser verificável: quem revisou, quando, e com poder real de reverter a decisão da máquina. Se ninguém nunca discorda do modelo, a revisão não existe.
Arrume as permissões antes de ligar o copiloto. A IA herda a bagunça do seu ambiente — e a amplifica.
Mantenha logs de inferência e teste sua capacidade de resposta: simule um pedido de revisão do artigo 20 e um incidente do artigo 48. Cronometre.

A pergunta que todo gestor deveria fazer não é "temos uma política de IA?". É "se a ANPD bater na porta amanhã, conseguimos provar o que a política promete?". Empresas dos setores jurídico, de saúde e financeiro — onde os dados são sensíveis por definição — não têm o luxo de responder a essa pergunta depois do incidente. O PDF é o começo da governança. Quem para nele está apenas documentando o próprio risco.

Sua política de IA é um PDF. A LGPD vai pedir prova.