Checklist LGPD: Como Avaliar Se Suas Ferramentas de IA Jurídica Estão em Conformidade

Por Que Isso Não É Opcional

Quando você envia documento de cliente para ferramenta de IA, quando processa dados pessoais em plataforma de análise processual, quando usa chatbot para responder questões jurídicas, você está tratando dados pessoais como controlador ou operador segundo LGPD. A responsabilidade legal é sua, não do fornecedor da tecnologia.

Violações de LGPD podem resultar em multas de até 2% do faturamento da empresa (limitado a cinquenta milhões de reais por infração), além de danos reputacionais e processos de clientes por vazamento de informações confidenciais. Verificar conformidade antes de contratar ferramenta não é burocracia, é diligência profissional essencial.

Checklist de 10 Perguntas Críticas

Antes de contratar ou continuar usando qualquer ferramenta de IA que processa dados jurídicos, faça estas perguntas ao fornecedor e exija respostas documentadas.

1. Onde os dados são armazenados fisicamente?

Resposta aceitável: Servidores no Brasil ou em países com nível adequado de proteção segundo ANPD. Se dados ficam fora do Brasil, deve haver cláusulas contratuais específicas de proteção ou certificações apropriadas.

2. Os dados são criptografados em trânsito e em repouso?

Resposta aceitável: Sim, com protocolos atualizados (TLS 1.2 ou superior para trânsito, AES-256 ou equivalente para repouso). Fornecedor deve especificar padrões técnicos.

3. Quem tem acesso aos dados enviados para a plataforma?

Resposta aceitável: Apenas sistemas automatizados ou, quando necessário acesso humano, apenas pessoal autorizado com registro de acesso. Fornecedor deve ter política clara de controle de acesso.

4. Os dados são usados para treinar modelos de IA?

Resposta aceitável: Não, ou apenas de forma anonimizada e agregada após consentimento explícito. Se resposta for sim sem essas qualificações, é red flag crítico. Seus documentos confidenciais não podem virar dados de treinamento acessíveis a outros usuários.

5. Qual é a política de retenção e exclusão de dados?

Resposta aceitável: Dados são retidos apenas pelo tempo necessário para prestação do serviço, com exclusão definitiva após término do contrato ou mediante solicitação. Fornecedor deve especificar prazos e procedimentos.

6. Como posso exercer direitos dos titulares (acesso, correção, exclusão)?

Resposta aceitável: Procedimentos claros e documentados para atender solicitações de titulares sobre seus dados pessoais processados pela plataforma.

7. Existem subcontratados que processam os dados?

Resposta aceitável: Lista completa de subcontratados (servidores, processadores, etc.) com confirmação de que todos têm conformidade equivalente com LGPD.

8. Qual o procedimento em caso de incidente de segurança?

Resposta aceitável: Política documentada de resposta a incidentes, incluindo notificação ao cliente em tempo adequado para que possa cumprir suas próprias obrigações de notificação à ANPD e titulares.

9. Existe DPO (Encarregado de Dados) identificado?

Resposta aceitável: Sim, com dados de contato públicos. Empresas sérias sobre LGPD têm DPO designado formalmente.

10. Posso ver o contrato de processamento de dados (DPA - Data Processing Agreement)?

Resposta aceitável: Sim, e o contrato deve incluir cláusulas específicas sobre obrigações do fornecedor como operador de dados, responsabilidades em caso de violação, e direitos de auditoria.

Red Flags Absolutos

Alguns sinais indicam que ferramenta não deve ser usada sob nenhuma circunstância com dados reais de clientes:

Red flag 1: Fornecedor não consegue responder claramente onde dados ficam armazenados. Se nem sabem onde seus dados estão, como podem protegê-los?

Red flag 2: Termos de uso genéricos que não mencionam LGPD ou proteção de dados. Empresa que leva privacidade a sério tem documentação específica sobre conformidade.

Red flag 3: Fornecedor afirma usar seus dados para melhorar produto sem opção de opt-out. Seus documentos confidenciais não são material de treino.

Red flag 4: Impossibilidade de excluir dados definitivamente após término do serviço. Você precisa ter controle sobre ciclo de vida completo dos dados.

Red flag 5: Falta de transparência sobre práticas de segurança. "Confia em nós" não é resposta aceitável para questões de segurança da informação.

Documentando Conformidade

Conformidade precisa ser documentada formalmente para fins de auditoria interna e externa.

Mantenha arquivo com: cópia do contrato incluindo DPA, respostas escritas do fornecedor às dez perguntas do checklist, certificações de segurança da plataforma (ISO 27001, SOC 2, etc.), política de privacidade da ferramenta, registro de quando e por que escolheu aquele fornecedor específico.

Se fornecedor atualiza políticas ou infraestrutura, essas mudanças devem ser documentadas e reavaliadas para conformidade contínua.

Sua Parte na Proteção

Ferramenta em conformidade não é suficiente se você não usa apropriadamente.

Sua responsabilidade inclui: Não enviar mais dados que o necessário para funcionalidade específica. Anonimizar ou pseudonimizar dados quando possível antes de processar. Treinar equipe sobre uso apropriado da ferramenta. Ter política interna clara sobre quais tipos de dados podem ser processados em quais ferramentas. Revisar periodicamente se ferramenta ainda está em conformidade.

LGPD não proíbe uso de IA ou tecnologia avançada. Exige apenas que uso seja feito com respeito a direitos de privacidade e com segurança adequada. Ferramentas conformes existem e são acessíveis. Usar ferramenta não-conforme é escolha, não necessidade.

Conformidade com LGPD em ferramentas de IA não é obstáculo à inovação. É requisito mínimo de profissionalismo no tratamento de dados de clientes.

Sobre a Wis Legal: Plataforma brasileira de inteligência artificial aplicada à análise processual, desenvolvida por advogados para advogados. Transformamos dados processuais em estratégia jurídica com conformidade total à LGPD.