Uso de IA e dados de clientes: como evitar multas da ANPD

Resposta direta: se os colaboradores da sua empresa usam ferramentas de inteligência artificial generativa (assistentes de texto, chatbots, tradutores, geradores de planilha) inserindo dados de clientes nas conversas, a empresa está fazendo tratamento de dados pessoais — e a LGPD (Lei 13.709/2018) se aplica integralmente, com um agravante: dados colados numa ferramenta pública podem sair do controle da empresa, ser usados para treinar modelos de terceiros e configurar vazamento, com dever de comunicar a ANPD e os próprios clientes em 3 dias úteis.

Evitar multa e vazamento não exige proibir a IA — exige governança: saber quais ferramentas a equipe usa (inclusive as não autorizadas), definir o que pode e o que não pode entrar nelas, ter base legal para cada tratamento, contratos adequados com os fornecedores e um plano de resposta a incidentes que caiba no prazo da ANPD. E o momento de fazer isso é agora: em 2026 a ANPD foi convertida em agência reguladora, com estrutura de fiscalização reforçada — e a inteligência artificial está expressamente no mapa de temas prioritários da autoridade para 2026–2027. Vamos por partes.

Por que compliance digital virou prioridade em 2026

Três movimentos se somaram:

1. A ANPD ganhou musculatura. No início de 2026, a autoridade foi transformada em agência reguladora, com autonomia, carreira própria de fiscalização e postura declaradamente mais punitiva — a fase "educativa" da LGPD ficou para trás. Entre as infrações mais autuadas estão ausência de base legal, vazamentos, falta de transparência e falhas em atender direitos dos titulares;
2. A IA generativa entrou na rotina de trabalho — muitas vezes sem que a direção da empresa saiba (o chamado shadow AI: contas pessoais gratuitas usadas para tarefas corporativas);
3. Clientes e parceiros começaram a exigir compliance em contrato. Cláusulas de proteção de dados, auditoria e vedação de uso de IA sobre informações confidenciais já aparecem em contratos B2B — o custo de não ter governança deixou de ser só regulatório e passou a ser comercial e reputacional.

O risco nº 1: dados de clientes em ferramentas de IA

O cenário típico não é um ataque hacker sofisticado — é um atalho de boa-fé: o vendedor cola a carteira de clientes na IA para "segmentar a base"; o financeiro sobe uma planilha com CPFs para "organizar a cobrança"; o RH pede um parecer sobre o atestado de um empregado (dado de saúde — sensível, com proteção reforçada pelo art. 11 da LGPD).

Os problemas jurídicos disso, em cadeia:

• Desvio de finalidade: o cliente forneceu os dados para uma finalidade (executar o contrato) e eles foram usados em outra, sem base legal;
• Compartilhamento com terceiro (o fornecedor da IA) sem contrato de operador, sem verificação de onde os dados são armazenados e sem cobertura para transferência internacional (arts. 33 a 36 da LGPD);
• Perda de controle: em ferramentas gratuitas, os termos de uso podem permitir que o conteúdo das conversas treine os modelos — dados do seu cliente podem, no limite, reaparecer para outros usuários;
• Incidente de segurança: se dado pessoal ficou exposto, nasce o dever de comunicação à ANPD e ao titular, e a empresa que nem sabe que a ferramenta era usada descobre o problema tarde demais.

O que a LGPD exige da sua empresa

O básico da governança de dados — que a ANPD verifica antes de multar:

1. Inventário de dados (data mapping): quais dados pessoais a empresa trata, onde ficam, quem acessa, por quanto tempo;
2. Base legal para cada tratamento (art. 7º; art. 11 para dados sensíveis) — consentimento é só uma das dez hipóteses, e raramente a melhor para a atividade empresarial;
3. Encarregado (DPO) designado e canal de contato com titulares — a ausência de canal efetivo já motivou notificações em massa da ANPD;
4. Segurança da informação (arts. 46 a 49): controle de acesso, criptografia, registro de operações — e, agora, controle sobre quais ferramentas de IA podem tocar dados pessoais;
5. Contratos com operadores (art. 39): todo fornecedor que trata dados por conta da empresa — inclusive plataformas de IA corporativas — precisa de cláusulas de proteção de dados;
6. Relatório de impacto (RIPD/DPIA) para tratamentos de maior risco — e usar IA sobre dados de clientes em escala é um candidato natural.

Vazou. E agora? O prazo de 3 dias úteis

Desde a Resolução CD/ANPD 15/2024, o controlador que sofre incidente de segurança com risco ou dano relevante aos titulares deve:

1. Comunicar a ANPD em até 3 dias úteis, contados de quando soube que o incidente afetou dados pessoais, pelo formulário eletrônico da autoridade;
2. Comunicar os titulares afetados no mesmo prazo de 3 dias úteis;
3. Poder complementar as informações em até 20 dias úteis, de forma fundamentada;
4. Documentar tudo — inclusive os incidentes que avaliar como sem risco relevante, pois a avaliação pode ser questionada depois.

Três dias úteis é muito pouco para quem não tem plano pronto. É por isso que o plano de resposta a incidente (quem avalia, quem decide, quem redige a comunicação, quem aciona o jurídico) precisa existir antes do problema — como também mostramos, na escala da pessoa física, no guia sobre conta de Instagram hackeada.

Quais são as sanções da ANPD

O leque do art. 52 da LGPD, aplicado conforme a dosimetria da ANPD:

• Advertência, com prazo para correção;
• Multa de até 2% do faturamento do último exercício, limitada a R$ 50 milhões por infração — e a autoridade já aplica também multa diária por descumprimento de medidas determinadas;
• Publicização da infração — o dano reputacional oficializado;
• Bloqueio ou eliminação dos dados da infração e, nos casos graves, suspensão ou proibição da atividade de tratamento.

E as sanções administrativas não esgotam o risco: titulares lesados podem pleitear indenização na Justiça (individual ou coletiva), e contratos com cláusula de compliance podem ser rescindidos pelo parceiro.

E a regulação da IA? O que já vale hoje

O Marco Legal da IA (PL 2338/2023) foi aprovado pelo Senado em dezembro de 2024 e, em julho de 2026, ainda tramita na Câmara dos Deputados — com idas e vindas sobre quem será a autoridade competente. Inspirado no modelo europeu, o texto classifica sistemas por nível de risco e prevê sanções próprias de até R$ 50 milhões.

A conclusão prática, porém, não muda com o calendário do Congresso: quem usa IA sobre dados pessoais já está regulado hoje pela LGPD. Esperar o marco legal para organizar a casa é inverter a ordem — a empresa que estrutura a governança agora chega pronta à lei nova, em vez de correr atrás dela.

Checklist: política de uso de IA e governança de dados

1. Mapeie o uso real de IA na empresa — inclusive contas pessoais e ferramentas gratuitas (shadow AI);
2. Publique uma política de uso de IA: o que pode, o que não pode (dados de clientes, dados sensíveis, segredos de negócio), quais ferramentas são homologadas;
3. Prefira versões corporativas das ferramentas, com contrato, opção de não usar os dados para treinamento e armazenamento adequado;
4. Revise os contratos com fornecedores de tecnologia (art. 39) e com clientes (cláusulas de confidencialidade e proteção de dados);
5. Treine as equipes — a maioria dos incidentes nasce de boa-fé e desconhecimento, não de má intenção;
6. Tenha plano de resposta a incidente testado, com os papéis definidos e o prazo de 3 dias úteis no centro;
7. Documente as decisões (bases legais, RIPD, atas) — em fiscalização, governança que não está no papel não existe.

Estruturar essa governança — política de IA, contratos, resposta a incidente, defesa em processo sancionador da ANPD — é trabalho da área de Direito Digital do escritório, com atendimento em todo o Brasil nos casos que tramitam eletronicamente.

Se a sua empresa usa IA no dia a dia e você não sabe dizer, hoje, quais dados de clientes passam por essas ferramentas — ou se recebeu notificação da ANPD ou enfrenta um incidente —, fale com o escritório: analisamos o seu caso e explicamos, em linguagem clara, o que fazer e em que ordem.

---

Este artigo tem caráter exclusivamente informativo e educativo, nos termos do Provimento 205/2021 da OAB, e não substitui a análise individual do seu caso. Regras da LGPD, Resolução CD/ANPD 15/2024 (comunicação de incidentes) e status do PL 2338/2023 conferidos em julho de 2026.