IA e LGPD: os dados dos meus clientes vão para fora do Brasil?

Os assistentes de IA mais usados nos escritórios são de empresas dos Estados Unidos. Quem trata dados pessoais de clientes precisa saber para onde eles vão e com que base. Este guia resume o essencial e não substitui a leitura do contrato do seu fornecedor nem a orientação do seu encarregado.

Quando há transferência internacional

A LGPD trata do tema nos arts. 33 a 36. Há transferência internacional quando dados pessoais são enviados para um país estrangeiro ou para um organismo internacional, o que inclui guardar ou processar os dados em servidores fora do Brasil.

Os mecanismos que interessam a um escritório

1. Decisão de adequação

A transferência é livre para países que a ANPD reconheça como tendo proteção adequada. Em janeiro de 2026 a ANPD reconheceu a União Europeia e os demais países do Espaço Econômico Europeu. Os Estados Unidos não estão nessa lista.

2. Cláusulas-padrão contratuais

O Regulamento de Transferência Internacional de Dados (Resolução CD/ANPD nº 19, de agosto de 2024) aprovou as cláusulas-padrão contratuais brasileiras e deu um prazo de 12 meses, encerrado em agosto de 2025, para incluí-las nos contratos. Para um fornecedor de IA nos Estados Unidos, é esse o caminho habitual: veja se o contrato do plano empresarial traz as cláusulas da ANPD, e não apenas as europeias.

3. Consentimento específico e em destaque

A lei admite, mas é pouco prático para um escritório: seria preciso o consentimento de cada titular cujos dados aparecem nos documentos, e não só o do cliente.

O que conferir com o fornecedor

• Plano. As versões gratuitas e pessoais não costumam ter contrato de tratamento de dados. Use um plano empresarial.
• Contrato com o operador e cláusulas-padrão da ANPD: existem?
• Treinamento. Os seus dados são usados para treinar modelos? Nos planos empresariais, por padrão, não costumam ser.
• Localização e suboperadores. Onde ficam os dados e quem mais tem acesso.
• Retenção. Por quanto tempo ficam guardadas as conversas e os arquivos.

Por que isso não basta para o sigilo

A LGPD pergunta se o tratamento é regular e seguro. O sigilo profissional pergunta outra coisa: se você pode revelar aquele fato àquele terceiro. Um fornecedor com contrato e cláusulas em ordem continua sendo um terceiro. Veja o que dizem o sigilo profissional e a LGPD.

A solução prática: enviar sem identificar

Se o documento sai do escritório com códigos no lugar de CPF, CNPJ, nomes, dados bancários e endereços, e a tabela de correspondência fica no seu computador, o fornecedor recebe dados que não consegue ligar a ninguém. A transferência continua precisando de base, mas o que está em risco é muito menos, e a questão do sigilo deixa de se colocar da mesma forma. É a diferença entre pseudonimização e anonimização trabalhando a seu favor.

O Velado faz esse passo no seu computador e restaura os dados na resposta. Você pode experimentar no navegador e, para pôr a regra por escrito, usar o modelo de política de IA.