A finalidade original não cobre qualquer uso futuro
Empresas de praticamente todos os setores acumulam, hoje, volumes expressivos de dados de clientes — histórico de compras, interações de atendimento, preferências declaradas. Nós observamos, na prática de compliance, uma tentação recorrente: usar esse acervo para treinar modelos próprios de inteligência artificial, sob a lógica de que “o dado já é nosso, então podemos usá-lo como quisermos”. Essa lógica, porém, ignora um princípio central da LGPD.
A LGPD estabelece o princípio da finalidade como um dos pilares do tratamento de dados pessoais: a coleta precisa ter um propósito específico, explícito e informado ao titular, e o tratamento posterior não pode extrapolar essa finalidade sem nova base legal. Isso significa que dados coletados para processar um pedido de compra, por exemplo, não podem simplesmente migrar para o treinamento de um modelo de recomendação sem que essa nova finalidade seja comunicada.
Apesar disso, é comum que times de dados e produto enxerguem essa transição como um detalhe técnico interno, sem perceber que, do ponto de vista legal, trata-se de uma mudança substancial na relação com o titular. Um varejista que treina um algoritmo de precificação dinâmica usando o histórico de navegação de clientes cadastrados, sem aviso prévio sobre esse uso, está operando exatamente nessa zona de risco.
O episódio que expôs os limites desse tipo de uso
O tema deixou de ser teórico quando a autoridade de proteção de dados brasileira suspendeu, de forma preventiva, a nova política de privacidade de uma grande rede social que passou a autorizar o uso de fotos e textos publicados pelos próprios usuários para treinar tecnologias de inteligência artificial generativa. A suspensão só foi revertida depois que a plataforma apresentou um plano de conformidade, incluindo notificação prévia clara aos titulares e um mecanismo simplificado de oposição ao uso dos dados.
Esse caso ilustra bem o padrão que a fiscalização tende a repetir: o problema não foi usar dados para treinar IA em si, mas fazer isso sem transparência adequada nem caminho real para o titular recusar. Uma empresa do setor de telecomunicações que já enfrentou situação semelhante — ao anunciar o uso do histórico de atendimento para treinar um assistente virtual sem aviso destacado — precisou recuar e reformular a comunicação antes de seguir com o projeto.
Uso indevido versus uso legítimo: onde está a linha
Essa distinção, ainda assim, não resolve sozinha o problema prático de qual base legal escolher — e é aqui que a maioria das empresas trava.
Bases legais possíveis: quando cada uma se aplica
Diferentes bases legais previstas na LGPD podem amparar o treinamento de modelos com dados pessoais, mas cada uma exige um conjunto próprio de cuidados documentais. O quadro abaixo resume as três alternativas mais relevantes para esse cenário:
| Base legal | Quando se aplica | Exigência documental | Principal risco se malfeita |
|---|---|---|---|
| Consentimento específico | Quando é possível pedir autorização explícita e destacada para o uso em IA | Registro do consentimento, texto exato apresentado, canal de revogação | Nulidade se o consentimento estiver diluído em termos gerais |
| Legítimo interesse | Quando o benefício do tratamento é proporcional ao impacto sobre o titular | Relatório de Impacto à Proteção de Dados (RIPD) documentando a análise | Uso considerado desproporcional em caso de questionamento |
| Anonimização | Quando o dado pode ser tratado sem identificar o titular | Comprovação técnica de que a reidentificação é inviável | Técnica insuficiente que permite reidentificação |
Vale destacar que a anonimização, embora reduza consideravelmente o risco regulatório, não é uma solução automática: técnicas superficiais de mascaramento podem ser revertidas, principalmente quando combinadas com outras bases de dados externas.
O papel do relatório de impacto na base do legítimo interesse
Quando a empresa opta pelo legítimo interesse como base legal, o Relatório de Impacto à Proteção de Dados Pessoais deixa de ser um documento opcional e passa a ser praticamente indispensável. Esse relatório precisa demonstrar que o benefício do treinamento — seja para a empresa, seja para o próprio titular, como a melhoria de um serviço — supera o risco à privacidade envolvido, considerando o volume de dados usados e a sensibilidade das informações.
Um banco que treina um modelo de detecção de fraude usando o histórico transacional de seus correntistas, por exemplo, tem argumentos mais sólidos para sustentar o legítimo interesse do que uma empresa de mídia que usa os mesmos dados para simplesmente aumentar o engajamento publicitário. A proporcionalidade entre benefício e risco muda conforme a finalidade declarada.
Transparência e o direito de oposição não são formalidades
Independentemente da base legal escolhida, a LGPD garante ao titular o direito de se opor a tratamentos realizados com fundamento no legítimo interesse, além do direito de solicitar informações claras sobre como seus dados estão sendo usados. Ignorar esse direito, oferecendo apenas um aviso genérico em política de privacidade extensa, tende a ser interpretado como transparência insuficiente.
Empresas que estruturam esse processo de forma cuidadosa costumam notificar os titulares por canais diretos — e-mail, aplicativo, mensagem no próprio produto —, explicando de forma objetiva qual dado será usado, para qual finalidade e como recusar. Esse cuidado adicional, embora exija esforço operacional, reduz significativamente o risco de questionamento posterior por parte da autoridade ou dos próprios titulares.
O que muda quando o dado é sensível
Dados sensíveis — como informações de saúde, biometria ou dados de crianças e adolescentes — exigem um nível ainda maior de cautela. Nesses casos, o legítimo interesse geralmente não é uma base legal aceitável, e a empresa precisa recorrer a hipóteses mais restritas, como o consentimento específico do titular ou, em contextos determinados, o exercício regular de direitos.
Um serviço de saúde digital que pretenda treinar um modelo de triagem de sintomas usando o histórico clínico de pacientes, portanto, dificilmente conseguirá sustentar esse tratamento apenas com base no legítimo interesse — sendo necessário buscar consentimento específico e destacado para essa finalidade, com toda a documentação de segurança reforçada que dados sensíveis exigem.
Riscos de ignorar essas exigências
Empresas que decidem treinar modelos sem seguir essas etapas se expõem a múltiplas frentes de risco. Do ponto de vista regulatório, a ANPD já demonstrou disposição para adotar medidas preventivas — como a suspensão imediata de um tratamento — antes mesmo de ouvir a empresa investigada, o que pode paralisar um projeto de IA em andamento por tempo indeterminado.
Do ponto de vista reputacional, o dano tende a ser ainda mais duradouro: usuários que descobrem que seus dados foram usados sem aviso claro raramente voltam a confiar na mesma proporção, mesmo depois que a empresa corrige o problema. Contudo, o risco mais subestimado talvez seja o técnico — modelos treinados sobre uma base legal frágil podem precisar ser descontinuados ou retreinados do zero caso a irregularidade seja identificada, gerando prejuízo direto ao investimento já realizado no projeto.
Conclusão
Usar dados de clientes para treinar modelos de IA não é proibido pela LGPD, senão a inovação baseada em dados simplesmente inviabilizaria qualquer avanço tecnológico legítimo. O que a lei exige é que essa decisão seja tomada com base legal clara, documentação adequada e transparência real com o titular — elementos que, juntos, transformam um projeto de risco em uma iniciativa sustentável.
Para aprofundar temas relacionados, vale consultar os artigos Legítimo interesse na LGPD: como documentar essa base legal corretamente e Anonimização de dados: técnicas, limites e riscos de reidentificação no blog da DPOnet.
Perguntas frequentes (FAQ)
Dúvidas comuns sobre o uso de dados de clientes para treinar modelos de IA
1. Posso treinar um modelo de IA usando dados de clientes sem pedir nova autorização?
Depende da finalidade original da coleta. Se o treinamento de IA não estava previsto quando o dado foi coletado, geralmente é necessário buscar nova base legal — consentimento específico, legítimo interesse documentado ou anonimização adequada.
2. O legítimo interesse serve para qualquer tipo de treinamento de IA?
Não. O legítimo interesse exige proporcionalidade entre o benefício do tratamento e o risco ao titular, documentada em um Relatório de Impacto à Proteção de Dados, e geralmente não se aplica a dados sensíveis.
3. Dados anonimizados eliminam completamente o risco jurídico?
Reduzem significativamente o risco, mas não o eliminam por completo. Técnicas de anonimização insuficientes podem ser revertidas, especialmente quando combinadas com outras bases de dados externas.
4. O que a empresa deve fazer se quiser usar dados sensíveis para treinar um modelo?
Deve buscar uma base legal mais restrita que o legítimo interesse, como o consentimento específico e destacado do titular, além de reforçar as medidas de segurança exigidas para esse tipo de dado.
