E1 · Escolher o caso e classificar o dado
10 minDescreva o caso e liste os dados. Sem caso, abra o resumo de atendimento da Horizonte.
Pronto quando: cada dado do caso tem um tipo: público, interno, pessoal ou sensível.
Aula 5 · 20 min
Dados, LGPD e escolha de fornecedor: para onde o dado pode ir
Toda vez que alguém cola uma conversa de cliente numa IA, o dado viaja: para um servidor, às vezes fora do Brasil, às vezes para treinar o modelo de outra empresa. A LGPD vale também quando quem lê é uma IA. Esta aula dá um jeito simples de decidir para onde cada dado pode ir e com que fornecedor.
Começar a aula
Nesta aula você vai
- 1Os 4 tipos de dado e o que cada um permite
- 2Fechado por API, aberto local ou nenhum: prós e contras
- 3Os artigos da LGPD que mais aparecem em projeto de IA
- 4A matriz dado × fornecedor × licença
Objetivo: decidir para onde um dado pode ir (modelo fechado, aberto local ou nenhum) e preencher a matriz dado × fornecedor × licença de 1 caso.
01Do dado à decisão
Três perguntas na ordem. A resposta mais restritiva vence.
Clique em cada pergunta.
Anonimizar resolve muita coisa: "Mercadinho Boa Vista, Seu Antônio, (19) 9..." vira "Cliente A, pedido de 10 caixas".
02A LGPD que aparece em projeto de IA
Não é parecer jurídico: é o mínimo para saber quando chamar o jurídico.
1. Art. 5º
Dado pessoal é o que identifica ou pode identificar uma pessoa. Sensível inclui saúde, origem racial, convicção religiosa, opinião política, biometria e genética.
Conversa de atendimento quase sempre tem dado pessoal: nome, telefone, endereço.
2. Art. 7º e 11
Todo tratamento precisa de uma base legal: consentimento, execução de contrato, obrigação legal, legítimo interesse, entre outras. O dado sensível tem regras mais estreitas (art. 11).
Pergunta prática: "com base em quê mandamos isto para a IA?" Se ninguém sabe responder, pare.
3. Arts. 33 a 36
Mandar dado pessoal para um servidor fora do Brasil é transferência internacional e só pode em hipóteses previstas, como cláusulas contratuais aprovadas pela ANPD.
Usar uma API hospedada nos EUA ou na China com dado de cliente entra aqui.
4. Art. 20 e 46
O titular pode pedir revisão de decisão tomada só por meio automatizado que afete seus interesses (art. 20), como uma recusa de crédito.
A empresa precisa de medidas de segurança para proteger os dados (art. 46): chave exposta e planilha aberta são o oposto disso.
03Modelos para copiar
A matriz de decisão e o prompt para anonimizar.
Matriz dado × fornecedor × licença
MATRIZ DE DADOS — <caso>, <data> O caso: <o que se quer fazer com IA> Dados envolvidos: <lista> → tipo: <público | interno | pessoal | sensível> | Opção | Para onde vai o dado | País do servidor | Contrato / acordo de dados | Usa para treinar? | Licença (se aberto) | Custo | Risco | |---|---|---|---|---|---|---|---| | A. Modelo fechado por API | | | | | — | | | | B. Modelo aberto local | computador da empresa | Brasil | — | não | <licença> | | | | C. Anonimizar antes | | | | | | | | | D. Não usar IA | — | — | — | — | — | | | Base legal (LGPD art. 7º ou 11): <qual e por quê> Transferência internacional? <sim/não; se sim, que hipótese do art. 33> Quem foi ouvido: <encarregado de dados / jurídico / TI> Decisão: <opção> porque <motivo em uma frase>
Prompt · anonimizar antes de enviar
Reescreva o texto abaixo trocando todo dado pessoal por códigos: - nomes de pessoas → Cliente A, Cliente B... - CPF, telefone, e-mail, endereço → [removido] - nome de empresa cliente → Empresa 1, Empresa 2... Mantenha produtos, quantidades, datas e o sentido da conversa. No fim, liste o que você trocou, sem repetir os dados originais. TEXTO: <cole aqui>
Simulação: exemplo ilustrativo
Caso: resumo diário das conversas de WhatsApp da Horizonte. Dados: nome, telefone, CPF e endereço de clientes → pessoal. Hoje: enviado a um serviço gratuito fora do Brasil, sem contrato, com termos que permitem usar os dados para treinar. Decisão: parar já; opção C (anonimizar antes) com fornecedor com contrato, ou B (modelo aberto local).
- "É só um resumo": o resumo é feito a partir da conversa inteira, que vai junto.
- Plano gratuito em dado de cliente: os termos costumam permitir usar o que você manda.
- Achar que modelo aberto resolve tudo: a licença pode limitar o uso, e alguém precisa manter a máquina segura.
04Modelo aberto local ficou viável
Em agosto de 2026 a Alibaba publicou o Qwen3.8-27B com licença Apache 2.0, que permite uso comercial; segundo a empresa, com quantização ele roda até num notebook. Para uma PME, isso abre uma opção de custo fixo em que o dado não sai da empresa.
Mas aberto não é o mesmo que livre de risco. Leia a licença: algumas têm teto de receita ou são só para pesquisa. Veja quem publicou o modelo e de onde ele veio, e lembre que a máquina local também precisa de segurança.
05Prática: a matriz de um caso
Use um caso da sua empresa. Sem caso real? Use o resumo de atendimento da Horizonte (F10).
E2 · Preencher as 4 opções
20 minPara a opção A, procure nos termos do fornecedor: país do servidor, retenção e uso para treino. Para a B, a licença de um modelo aberto.
Pronto quando: a matriz tem as 4 linhas preenchidas; onde não achou a informação, está escrito "não informado".
E3 · Decidir com base legal
10 minEscreva a decisão, a base legal e quem precisa ser ouvido.
Pronto quando: a decisão cabe numa frase e cita a base legal e a pessoa que precisa ser ouvida.
06Teste o que aprendeu
A explicação aparece depois da sua resposta.
Pergunta 1 de 3
A Juliana quer colar conversas com nome e telefone de clientes num app gratuito de resumo. O que fazer primeiro?competência
Correto
Conversa com nome e telefone é dado pessoal. Antes de enviar: destino, contrato, uso para treino e base legal. Anonimizar reduz muito o risco. O erro comum é achar que "só resumir" não é tratamento de dado.Não é essa
Conversa com nome e telefone é dado pessoal. Antes de enviar: destino, contrato, uso para treino e base legal. Anonimizar reduz muito o risco. O erro comum é achar que "só resumir" não é tratamento de dado.Rever: Do dado à decisãoPergunta 2 de 3
Mandar dado de cliente para uma API com servidor nos EUA é, pela LGPD:competência
Correto
É transferência internacional e precisa de uma hipótese prevista, como cláusulas contratuais aprovadas pela ANPD. O erro comum é tratar "nuvem" como se não tivesse país.Não é essa
É transferência internacional e precisa de uma hipótese prevista, como cláusulas contratuais aprovadas pela ANPD. O erro comum é tratar "nuvem" como se não tivesse país.Rever: A LGPD que aparece em projeto de IAPergunta 3 de 3
Um modelo aberto roda no computador da empresa. O que ainda precisa conferir?
Correto
Local resolve a viagem do dado, não a licença nem a segurança da máquina. O erro comum é confundir "aberto" com "sem regra".Não é essa
Local resolve a viagem do dado, não a licença nem a segurança da máquina. O erro comum é confundir "aberto" com "sem regra".Rever: Modelo aberto local ficou viávelTeste concluído
Você acertou {a} de {n}. Acertando todas, a aula é marcada como concluída.Escolha uma alternativa. A explicação aparece depois da sua tentativa.
07Resumo da aula
Três perguntasQue dado é? Para onde iria? Com que contrato e licença?
LGPD vale para IABase legal, transferência internacional (arts. 33–36), segurança (art. 46).
AnonimizarTrocar nome por código resolve muitos casos.
Aberto localDado não sai, mas licença, procedência e máquina segura continuam.
Fontes e para ir além
Lei Geral de Proteção de Dados (Lei 13.709/2018), texto oficialANPD: transferência internacional de dadosAlibaba Cloud: Qwen3.8-27B, Apache 2.0, roda em notebook com quantização (08/2026)The Next Web: o modelo pequeno da Alibaba que roda em notebook (08/2026)Empresa-laboratório: resumo de atendimento (F10)