LGPD e governança em linguagem simples

Nesta aula

"É local, então a LGPD não se aplica" é a segunda frase mais perigosa deste curso.

Eu não sou advogado, e esta aula não substitui um. O que eu posso fazer é traduzir a lei para a linguagem de quem toca um negócio, e mostrar onde a IA local se encaixa. A boa notícia: rodar a IA dentro simplifica uma parte importante (o dado não vai para terceiro). A notícia realista: o resto continua valendo, e governança é o que transforma "a gente toma cuidado" em algo que se prova. No fim desta aula você escreve uma política de uso de uma página, que é o documento que a sua empresa mostra quando alguém perguntar "como vocês usam IA com os meus dados?".

• Ao final, você vai entender os conceitos da LGPD que importam para a IA local, em português claro.
• Vai saber montar uma trilha de auditoria, decidir o que registrar, por quanto tempo, e como atender um pedido de exclusão.
• Vai sair com um entregável: a política de uso da IA local, em uma página, pronta para revisão de quem responde pela LGPD.

A LGPD em seis ideias

A Lei Geral de Proteção de Dados é longa, mas o que você precisa para a IA local cabe em seis ideias.

1. Dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa: nome, CPF, e-mail, telefone, placa, foto, até um número de matrícula. Dado sensível é uma categoria à parte, com proteção maior: saúde, biometria, origem racial, religião, opinião política, vida sexual, entre outros. Clínica lida com dado sensível o dia inteiro.
2. Tratamento é qualquer coisa que se faz com o dado: coletar, guardar, ler, resumir, classificar, apagar. Passar um prontuário pela IA é tratamento. Guardar a conversa no histórico é tratamento.
3. Finalidade e necessidade. Todo tratamento precisa de um propósito claro e usa só o dado necessário para ele. É o princípio que a aula 8 aplicou: a IA que responde sobre procedimentos não precisa da lista de clientes.
4. Base legal. Cada tratamento precisa de uma justificativa prevista na lei. As mais comuns numa empresa pequena: execução de contrato (você processa o dado do cliente para prestar o serviço que ele contratou), obrigação legal (a contabilidade guarda a folha porque a lei manda), legítimo interesse (com ponderação) e consentimento (que é o mais frágil, porque pode ser retirado). Para dado sensível, as bases são mais restritas. A regra prática: a IA local usa a mesma base legal do tratamento original. Se a clínica pode ler o prontuário para atender o paciente, pode resumi-lo com IA para o mesmo fim. Não pode usá-lo para outra coisa.
5. Direitos do titular. A pessoa pode pedir para saber o que você tem, corrigir, e, em vários casos, apagar. A sua governança precisa conseguir atender.
6. Segurança e responsabilidade. A lei exige medidas de segurança e prestação de contas. Quem decide sobre o tratamento (a empresa) é o controlador e responde por ele. Há a figura do encarregado, a pessoa que faz a ponte com os titulares e com a autoridade (a ANPD). Em empresa pequena, costuma ser um sócio ou o responsável pela TI, com apoio jurídico.

Onde a IA local se encaixa

O Radar de setembro resume a vantagem: o que não sai da sua rede não vira transferência para terceiro, e isso simplifica obrigações legais. Na nuvem, você precisa avaliar o fornecedor, o contrato, onde os servidores ficam, o que ele faz com o dado. Na IA local, essa parte desaparece. O que não desaparece:

Dois cuidados específicos da IA. Primeiro, a saída também é dado: um resumo de prontuário gerado pela IA é dado sensível tanto quanto o prontuário. Segundo, a IA pode inventar dado pessoal: se ela "lembrar" um diagnóstico que não estava no texto, isso é um dado incorreto sobre uma pessoa, e você é responsável por ele. Por isso a instrução de "não inventar" e a exigência de fonte não são só qualidade: são conformidade.

Trilha de auditoria: o que registrar e o que não registrar

Trilha de auditoria é o registro de quem fez o quê, quando. Ela existe para duas coisas: investigar um incidente (alguém acessou o que não devia? a IA respondeu algo errado a um cliente?) e provar que as regras foram seguidas. Ela não existe para vigiar a produtividade de ninguém; usar assim quebra a confiança da equipe e cria um problema jurídico novo.

O que registrar

• Quem (a conta), quando (data e hora), qual modelo, qual coleção foi consultada.
• Ações administrativas: criação e desativação de contas, mudança de permissões, mudança de instruções fixas, envio e remoção de documentos.
• Falhas e incidentes: o que aconteceu, quem tratou, o que mudou depois (aula 13).

O dilema do conteúdo

A interface guarda o histórico das conversas, que é útil para a pessoa retomar o trabalho e para investigar um erro. Mas o histórico contém o conteúdo, e conteúdo contém dado pessoal. Então ele é, ao mesmo tempo, trilha de auditoria e dado a proteger. A solução não é "não guardar" (perde-se a auditoria) nem "guardar para sempre" (viola a necessidade). É: guardar por um prazo definido, com acesso restrito, e apagar quando o prazo vence.

Retenção e exclusão

Quando um titular pede exclusão, o dado dele pode estar em três lugares: coleção, histórico e backup. A política precisa dizer como se localiza e se apaga em cada um, e em quanto tempo. É por isso que retenção curta ajuda: quanto menos você guarda, menos você precisa achar.

A política de uso de uma página

Política de IA que ninguém lê não existe. Uma página, dez itens, linguagem de gente. Este é o esqueleto que eu uso; cada item vira uma ou duas frases.

1. Para que usamos a IA local. As tarefas, da tabela da aula 1.
2. Com quais dados e com qual base legal. Uma linha por tarefa que envolve dado pessoal.
3. O que pode ser colado. Dado interno e de clientes, dentro da finalidade de cada tarefa.
4. O que não pode. Senhas e credenciais; dado de terceiros sem necessidade; documentos sigilosos fora da coleção autorizada; nada de copiar resposta com dado pessoal para canais externos.
5. Quem acessa o quê. Contas individuais; coleções por nível; ex-funcionário desativado no dia.
6. Como conferimos. Resposta com fonte; nada com dado de cliente sai sem revisão humana.
7. O que registramos e por quanto tempo. Trilha e histórico, com prazos.
8. Como atendemos pedidos de titulares. Quem recebe, onde procura, em quanto tempo responde.
9. O que fazer se algo der errado. A quem avisar, em quanto tempo (aula 13).
10. Quem responde por isso. Nome da pessoa responsável e do encarregado, e a data da próxima revisão.

Você pode rascunhar com a própria IA local (o esqueleto não tem dado pessoal, mas as tarefas são da sua empresa, e a IA local sabe delas pela coleção):

O rascunho sai em um minuto. A revisão de quem responde pela LGPD (ou de um advogado) é o que dá validade. Não pule essa etapa: a IA rascunha, a pessoa assina.