IA e LGPD: como usar dados de cliente em marketing sem tomar multa
IA e LGPD colidem no ponto mais banal do trabalho: colar dado de cliente num prompt. Isso é transmissão a terceiro, pode configurar transferência internacional e fere o princípio de segurança do Art. 46. A saída não é proibir IA, é separar o que pode entrar num modelo do que precisa ficar num ambiente controlado, com consentimento e finalidade documentados antes de qualquer copy sair do forno.
Posso jogar dado de cliente no ChatGPT?
Na prática, não, pelo menos não do jeito que a maioria faz. Quando um profissional cola nome, e-mail, histórico de compra ou qualquer dado identificável de um cliente numa ferramenta de IA pública, três coisas acontecem ao mesmo tempo.
O dado é transmitido a um terceiro, o provedor da IA. Pode haver transferência internacional, já que os servidores raramente estão no Brasil. E a empresa deixa de cumprir o princípio de segurança do Art. 46 da LGPD, que exige medidas técnicas para proteger dados pessoais contra acesso não autorizado.
Isso não é teoria. O Netskope Threat Labs Report: Brazil 2026 encontrou que 64% das violações de políticas de dados em aplicações de IA generativa no país envolvem dados regulados. Isso acontece num contexto em que 100% das organizações analisadas já usam alguma ferramenta de GenAI, com o uso saltando de 50% para 71% em um ano.
O problema de shadow AI não é hipotético nem pequeno. Um levantamento da BPMoney mostrou que 38% dos profissionais brasileiros usam ferramentas de IA não fornecidas pela empresa.
Em escala global, o Microsoft/LinkedIn Work Trend Index ouviu mais de 31 mil profissionais em 31 países, incluindo o Brasil. Encontrou que 75% dos trabalhadores do conhecimento já usam IA generativa no trabalho, e 78% deles trazem suas próprias ferramentas sem passar pela TI.
IA e privacidade: onde exatamente mora o risco?
O risco não está na IA em si. Está na falta de fronteira entre dado que pode circular livremente e dado que precisa ficar dentro de um perímetro controlado. Marketing lida com o segundo tipo o tempo todo: base de CRM, histórico de navegação, comportamento de compra, ticket de suporte.
O custo de errar essa fronteira é mensurável. O IBM Cost of Data Breach Report 2025, que analisou 600 organizações globais, apurou que violações originadas em shadow AI custam em média US$ 670 mil a mais que outros incidentes: US$ 4,63 milhões contra US$ 3,96 milhões. Mais grave ainda, 97% das organizações que sofreram violações em modelos ou aplicações de IA relataram ausência de controles de acesso adequados. A IA não causa o prejuízo. A ausência de controle sobre o que entra nela, sim.
Tem outro ângulo pouco falado: as próprias ferramentas de IA generativa, hoje, não dão conta sozinhas de cumprir a LGPD. Uma pesquisa da FGV avaliou sete ferramentas reconhecidas de IA generativa contra 14 critérios básicos da LGPD e de outras normas da ANPD.
Apenas 2 dos 14 critérios são atendidos por todas as ferramentas analisadas, e nenhuma cumpre o conjunto completo. Confiar cegamente na política de privacidade do provedor de IA não é estratégia de compliance, é aposta.
O que muda com a ANPD virando agência reguladora?
Em fevereiro de 2026, o Congresso converteu a Medida Provisória 1.317/2025 na Lei nº 15.352/2026, transformando a ANPD em Agência Nacional de Proteção de Dados, com autonomia funcional, técnica, decisória, administrativa e financeira. Autonomia financeira e administrativa costuma vir acompanhada de mais capacidade operacional para fiscalizar, não menos.
Em dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários para 2026-2027, com quatro eixos de fiscalização: direitos dos titulares, com foco em dados biométricos, de saúde e financeiros, proteção de crianças e adolescentes, poder público e inteligência artificial. Só no eixo de direitos dos titulares estão previstas 40 ações fiscalizatórias. IA deixou de ser um tema lateral na pauta da ANPD e virou eixo nomeado.
As multas seguem as mesmas do texto da lei: até 2% do faturamento do último exercício, limitadas a R$ 50 milhões por infração. Mas o volume de fiscalização subiu de patamar. A ANPD já notificou 20 grandes empresas e, só em junho de 2026, abriu 19 novos processos sancionadores. O risco jurídico de usar IA com dado de cliente sem cuidado deixou de ser abstrato.
Resumindo o quadro: em 2026 a IA e a LGPD se cruzam em três frentes concretas. Primeiro, a lei que virou a ANPD em agência com autonomia financeira e técnica, o que historicamente aumenta capacidade de fiscalizar. Segundo, um mapa de prioridades que nomeia inteligência artificial como eixo próprio, ao lado de direitos dos titulares, crianças e poder público, com dezenas de ações já previstas para 2026-2027. Terceiro, um histórico recente de aplicação prática: 20 grandes empresas notificadas e 19 processos sancionadores abertos só em um mês. A multa máxima continua em R$ 50 milhões por infração, mas o que mudou foi a probabilidade de ser fiscalizado, não o teto da pena.
| Critério | Ferramenta de IA pública (ChatGPT, Gemini etc) | Ambiente controlado (API com contrato, sandbox, dado anonimizado) |
|---|---|---|
| Onde o dado processado fica | Servidores do provedor, jurisdição incerta | Definido em contrato, pode ficar em nuvem nacional |
| Rastreabilidade de consentimento | Praticamente nenhuma | Pode ser vinculada ao registro de consentimento original |
| Risco de vazamento por terceiro | Alto, dado sai do perímetro da empresa | Baixo, dado trafega sob acordo de confidencialidade |
| Custo de conformidade | Baixo no curto prazo, alto no incidente | Investimento inicial maior, exposição menor |
| Veredito | Serve para teste, rascunho, dado fictício | É o caminho correto para dado real de cliente |
Como funciona o consentimento first-party pra IA?
Aqui vale separar dois conceitos que às vezes se misturam.
O consentimento coletado para "receber ofertas por e-mail" não autoriza automaticamente usar aquele mesmo dado para treinar um modelo de IA ou alimentar um prompt de personalização. A LGPD trabalha com o princípio da finalidade: o uso do dado precisa estar dentro do escopo para o qual o titular consentiu.
Se a empresa quer usar dado de cliente para treinar ou ajustar um modelo de IA, isso precisa estar explícito na política de privacidade e, idealmente, num consentimento específico para esse fim.
O problema é que a maioria das empresas brasileiras ainda nem resolveu a transparência básica. Um estudo da TOTVS em parceria com a H2R Pesquisas Avançadas mostrou que 98% das companhias brasileiras coletam dados de clientes, mas apenas 73% informam claramente a finalidade dessa coleta. Um quarto das empresas já falha antes mesmo de colocar IA na equação.
Sequência prática para marketing não virar porta de entrada de multa
- Mapear a finalidade original do consentimentoVerificar se o dado que você quer usar em IA foi coletado com autorização para esse tipo de uso, ou se precisa de novo consentimento
- Classificar o dado antes de qualquer promptSeparar dado anonimizado ou fictício, que pode ir para ferramenta pública, de dado identificável, que não pode
- Formalizar contrato com o provedor de IAExigir cláusula de confidencialidade, localização do processamento e prazo de retenção antes de integrar qualquer API
- Auditar shadow AI internamenteLevantar quais ferramentas de IA os times de marketing e CS usam sem passar por TI ou jurídico
- Documentar tudoRegistrar decisão de uso, base legal e ferramenta escolhida, porque a ANPD fiscaliza processo, não só resultado
+ O que fazer
- Anonimizar ou pseudonimizar antes de usar dado em IA pública
- Formalizar contrato com cláusula de proteção de dados com o provedor
- Treinar time de marketing sobre o que não pode virar prompt
− O que evitar
- Colar planilha de CRM inteira num chat de IA generativa
- Assumir que "todo mundo faz assim" é defesa jurídica
- Ignorar shadow AI achando que só afeta TI
O risco de IA e LGPD não está na tecnologia, está no hábito de tratar dado de cliente como se fosse dado qualquer um.
Gui LoureiroIsso trava a inovação em marketing?
Não trava, redireciona. A diferença entre uma empresa que usa IA com segurança e uma que vira estatística de vazamento não é o volume de IA que usa. É ter um perímetro claro.
Não é sobre ter ou não ter IA. É sobre ter sistema de dado, consentimento e auditoria por trás dela, isso é o que separa quem leva o tema a sério de quem improvisa.
Para o profissional de marketing, o ganho é indireto mas real. Quem entende esse perímetro se torna a pessoa que a empresa chama antes de aprovar qualquer ferramenta nova, não depois do incidente.
Dúvidas sobre ia e lgpd: como usar dados de cliente em marketing
- Security Leaders / Netskope Threat Labs Report: Brazil 2026 — dado sobre 64% das violações de política envolvendo dados regulados e crescimento do uso de GenAI no Brasil
- BPMoney — 38% dos profissionais brasileiros usam IA sem autorização da empresa
- RH Pra Você (citando Microsoft/LinkedIn Work Trend Index e IBM Cost of Data Breach Report 2025) — dados globais de shadow AI, custo de vazamento e uso de IA sem aprovação de TI
- GreenLegis Blog (citando pesquisa da FGV) — avaliação de sete ferramentas de IA generativa contra critérios da LGPD
- bCompliance — conversão da ANPD em agência reguladora e Mapa de Temas Prioritários 2026-2027
- Turivius — valores de multa da LGPD e números de fiscalização da ANPD
- Economic News Brasil (citando estudo TOTVS/H2R Pesquisas Avançadas) — dados sobre coleta e transparência de finalidade no uso de dados de clientes
Qual é o seu teto?
Descubra onde sua operação está na curva de IA e qual é a menor ação pra subir de nível.
Continue no tema
