O essencial
- A avaliação começa pelo uso pretendido e pelos dados que realmente precisam circular.
- Instruções, arquivos, registros de uso e saídas fazem parte do mapa operacional.
- O roteiro adapta princípios da LGPD e orientações da ANPD, sem concluir conformidade de um projeto.
A primeira decisão é o que precisa circular
Um piloto de IA pode começar com um arquivo de clientes ou um conjunto de currículos. Antes de enviá-los a uma ferramenta, a equipe precisa entender a finalidade do uso e quais informações são necessárias. A LGPD, Lei nº 13.709, de 14 de agosto de 2018, estabelece princípios como finalidade, adequação e necessidade para o tratamento de dados pessoais.
O Guia de Segurança da Informação para Agentes de Tratamento de Pequeno Porte da ANPD, versão de outubro de 2021, aborda controles de acesso, treinamento, contratos e serviços em nuvem. Ele fornece referências de boas práticas; não é uma aprovação de ferramentas de IA nem uma conclusão de que qualquer projeto que siga algumas medidas está em conformidade.
Faça um mapa do caminho completo
Como roteiro operacional, recomendamos desenhar o caminho desde a coleta até o descarte. Inclua os dados enviados nas instruções, os anexos, as respostas geradas e os registros de uso. Pergunte ao responsável pela aplicação onde cada etapa acontece e confirme as condições efetivamente contratadas com o fornecedor, em vez de presumir que todo produto da mesma marca funciona de forma idêntica.
- Qual tarefa justifica o uso e quais campos podem ser retirados antes do envio?
- Quem acessa as entradas, saídas e registros, e com quais permissões?
- Quais são as regras de retenção, eliminação, compartilhamento e uso para treinamento?
- Quem responde por dúvidas, solicitações de titulares e incidentes no projeto?
Combine o uso permitido antes de liberar a equipe
A ANPD recomenda acesso proporcional à necessidade e gestão das responsabilidades nos contratos com fornecedores. Nossa aplicação dessa orientação é manter um registro simples das ferramentas aprovadas, dos usos permitidos e dos responsáveis por revisar mudanças. Ter uma assinatura empresarial ou remover um nome do arquivo, isoladamente, não encerra a avaliação do fluxo.
Nos primeiros testes funcionais, dados sintéticos podem ajudar a verificar integrações sem reproduzir cadastros reais. Essa etapa não comprova desempenho sobre a operação nem dispensa avaliar o tratamento quando dados pessoais entrarem no processo. A decisão sobre hipótese legal, direitos dos titulares e demais requisitos deve considerar o caso concreto com as áreas responsáveis por privacidade, segurança e negócio.
Fontes e referências
- Planalto — Lei Geral de Proteção de Dados Pessoais, texto compilado
- ANPD — Guia de Segurança da Informação para Agentes de Tratamento de Pequeno Porte (outubro de 2021)
Texto produzido com apoio de IA e conferência das fontes indicadas. Recomendações e interpretações são identificadas como análise da Redação Peapply. Conheça nossa política editorial.
Sugerir uma correção