LGPD, PL 2338, EU AI Act, governança e rastro de auditoria.
A pergunta corporativa nº 1 sobre IA não é técnica: "posso mandar dado de cliente para esse modelo?". Responder exige entender o que a LGPD trata como tratamento de dado, o que o marco legal brasileiro em discussão exige, por que o AI Act europeu alcança empresa brasileira, e o que precisa ficar registrado para uma auditoria conseguir reconstruir uma decisão automatizada.
Agrupados pela trilha de origem — o tema atravessa 4 trilhas.
As consultas de maior intenção deste tema, respondidas aqui.
Depende de três coisas verificáveis: se há base legal para esse tratamento, se o contrato com o fornecedor cobre o uso e a retenção, e se o dado poderia ser minimizado ou anonimizado antes de sair. Enviar dado pessoal para um modelo é tratamento de dado como qualquer outro — a novidade é o destino, não a obrigação. A resposta prática costuma ser: pode, com base legal, contrato e minimização.
Afeta quando o resultado do sistema é usado na União Europeia, porque o alcance da norma segue o efeito e não a sede — o mesmo desenho da LGPD em relação a dado de brasileiro. Na prática isso apanha produto vendido para cliente europeu e serviço cujo resultado é consumido lá. Ignorar por estar no Brasil é a leitura errada mais comum.
O suficiente para reconstruir a decisão: qual modelo e versão, qual prompt e contexto entraram, qual saída veio, quem ou o que agiu a partir dela, e quando. Sem isso não há como responder "por que o sistema recusou este caso" seis meses depois — e essa pergunta é exatamente a que auditoria e reclamação de usuário fazem. Registro é decisão de arquitetura, não de conformidade.