LGPD e inteligência artificial na advocacia: o que precisa ser mapeado

A LGPD regula o tratamento, não um rótulo tecnológico

A LGPD não depende de o produto se apresentar como inteligência artificial. Se uma solução acessa texto identificável, extrai entidades, produz resumo associado a uma pessoa ou mantém histórico por número de processo, há operações que precisam ser analisadas. Da mesma forma, nem toda atividade de IA envolve dados pessoais. Uma revisão de linguagem sobre texto efetivamente anônimo pode ficar fora de parte do escopo, mas anonimização exige avaliação técnica e contextual, não simples retirada do nome.

Comece desenhando o fluxo. Identifique de onde os dados vêm, quais campos e documentos entram, que transformação ocorre, onde o resultado é armazenado, quem recebe, por quanto tempo permanece e como é eliminado. Inclua entradas menos óbvias: prompts, registros de uso, feedback, arquivos de suporte, telemetria, modelos configurados pelo escritório, OCR, metadados e cópias de segurança. Um diagrama simples costuma revelar tratamentos que a descrição comercial omite.

Depois, separe operações por finalidade. Preparar defesa em processo, administrar usuários, prevenir fraude, gerar estatística interna e melhorar um serviço são objetivos distintos. Eles podem demandar bases jurídicas, prazos, destinatários e informações diferentes. A finalidade deve ser específica o suficiente para orientar decisões. Expressões como aprimorar experiência ou usar tecnologia dificilmente justificam, sozinhas, o tratamento amplo de autos completos.

Defina controlador, operador e cadeia de fornecedores

Controlador é quem toma as principais decisões referentes ao tratamento; operador trata dados em nome do controlador e conforme suas instruções. Esses papéis são funcionais. O contrato pode descrevê-los, mas não muda os fatos. Em uma mesma relação, uma empresa pode atuar como operadora para os autos do cliente e como controladora para dados de conta, faturamento ou segurança definidos por ela. A análise deve ser feita operação por operação.

O Guia Orientativo para Definições dos Agentes de Tratamento e do Encarregado, publicado pela ANPD, está em sua versão 2.0 de 2022 e possui natureza orientativa. Ele ajuda a interpretar os conceitos e a relação com suboperadores, mas não substitui o exame do caso. Escritórios devem identificar também consultorias, infraestrutura, suporte, serviços de armazenamento e componentes que possam receber dados ou acessá-los em manutenção.

O contrato deve transformar o mapa em obrigações: objeto e duração, finalidade, tipo de dado, instruções, confidencialidade, segurança, subcontratação, direitos dos titulares, auditoria proporcional, incidente, transferência, devolução e exclusão. Se o fornecedor pretende usar conteúdo para finalidade própria, essa situação não deve ficar escondida em uma cláusula ampla. É preciso analisar compatibilidade, transparência e responsabilidade por esse uso.

• Não aceite o rótulo contratual sem confrontá-lo com decisões reais.
• Liste suboperadores e estabeleça mecanismo de aviso para mudanças.
• Diferencie dados do processo de dados administrativos da conta.
• Defina como o escritório comprovará instruções e pedidos de exclusão.
• Verifique quem responderá ao titular e quem fornecerá evidências.

Escolha a base legal por finalidade e categoria de dado

Consentimento é uma das bases legais, não uma solução padrão. Em relações jurídicas, a LGPD prevê o exercício regular de direitos em processo judicial, administrativo ou arbitral para dados pessoais comuns e, em hipótese própria, para dados sensíveis. Dependendo da operação, também podem ser pertinentes obrigação legal, execução de contrato, proteção da vida, tutela da saúde ou legítimo interesse. A escolha exige correspondência com fatos, requisitos e limites de cada hipótese.

Dados sensíveis recebem disciplina específica. Origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, genética e biometria vinculadas a pessoa natural não podem ser tratados com base em legítimo interesse. Um processo pode reunir várias dessas categorias, além de dados de pessoas que não contrataram o advogado. Por isso, classificar apenas o assunto da ação é insuficiente; os documentos efetivamente usados precisam ser considerados.

Quando o legítimo interesse for cogitado para dados não sensíveis, faça teste estruturado de finalidade, necessidade, balanceamento e salvaguardas, observando o guia orientativo da ANPD publicado em 2024. Não o use como atalho para finalidades inesperadas ou excessivas. A expectativa legítima do titular, o impacto e a possibilidade de oposição precisam entrar na análise. Para autos usados na defesa de direitos, outra base pode refletir melhor a operação.

A autorização do cliente para uma ferramenta também não deve ser confundida com base legal. A Recomendação OAB 001/2024 orienta transparência e autorização informada em contexto profissional, mas é recomendação, não lei. Mesmo uma autorização escrita não elimina necessidade, segurança, direitos de terceiros ou dever de sigilo. O registro pode integrar a governança da relação, enquanto a base da LGPD precisa ser definida tecnicamente.

Aplique princípios antes, durante e depois do uso

Finalidade, adequação e necessidade funcionam como critérios de desenho. A equipe não deve enviar a íntegra porque é mais fácil se capítulos ou campos bastam. Livre acesso, qualidade e transparência pedem informações compreensíveis sobre tratamento e correção de dados. Segurança e prevenção exigem medidas técnicas e administrativas. Não discriminação impede usos abusivos. Responsabilização e prestação de contas exigem prova de que essas escolhas foram feitas.

Minimização em IA pode ocorrer na origem, na seleção de documentos, no prompt, no acesso por usuário, na saída e no prazo de retenção. Pseudônimos reduzem exposição, porém chaves, contexto e documentos correlatos podem permitir identificação. A equipe deve evitar chamar de anônimo o que apenas teve nome ocultado. Quando anonimização efetiva não for possível, o material continua sujeito à LGPD e às salvaguardas adequadas.

Retenção precisa estar ligada a uma finalidade. Dados necessários à defesa de direitos podem ter período diferente de registros de suporte ou conteúdo temporário de processamento. A exclusão deve abranger cópias operacionais e orientar fornecedores, respeitadas obrigações e limitações de backup documentadas. Mudança de plano, encerramento do contrato e saída de colaborador são momentos críticos para revogar acessos e confirmar destino dos dados.

• Colete apenas documentos relevantes ao objetivo definido.
• Evite reutilizar prompts e peças identificáveis em treinamento interno.
• Explique a finalidade em linguagem acessível aos públicos afetados.
• Defina prazo ou critério de retenção por operação.
• Mantenha evidências de revisão, contrato, treinamento e correções.

Trate transparência e decisões automatizadas com precisão

O artigo 20 da LGPD assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo decisões destinadas a definir perfil pessoal, profissional, de consumo, crédito ou aspectos de personalidade. Nem toda sugestão de IA é uma decisão desse tipo. Uma minuta revisada de modo substancial por advogado não se torna automaticamente uma decisão exclusivamente automatizada.

Por outro lado, colocar uma pessoa nominalmente no fluxo não basta. A revisão precisa ser significativa: o profissional deve compreender objetivo e limitações, acessar dados e fontes, alterar ou rejeitar a saída e responder pela conclusão. Se a recomendação é seguida mecanicamente por volume ou meta, a supervisão pode ser apenas formal. Documentar critérios de revisão ajuda a demonstrar como a decisão realmente ocorre.

Quando houver decisão automatizada relevante, prepare informações claras sobre critérios e procedimentos, observados segredos comercial e industrial. Transparência não significa revelar código-fonte em toda situação, mas explicar dados usados, lógica geral, finalidade, efeitos e canal de contestação de forma útil. Mesmo fora do artigo 20, informar limitações e presença de IA pode ser necessário para cumprir boa-fé, dever profissional ou expectativa legítima.

Verifique transferência internacional e mudanças na cadeia

Serviços em nuvem podem armazenar ou acessar dados fora do Brasil, envolver empresas estrangeiras ou prestar suporte a partir de outro país. A LGPD disciplina transferência internacional em seu artigo 33 e seguintes. A Resolução CD/ANPD 19/2024 está vigente e regulamenta mecanismos como cláusulas-padrão contratuais, além de outros instrumentos previstos. O texto oficial deve orientar o enquadramento e a adaptação contratual.

Perguntar apenas onde fica o servidor pode ser insuficiente. Considere acesso remoto, replicação, suporte, suboperadores, recuperação de desastre e treinamento. Registre países, entidades, mecanismo adotado e medidas complementares. A retificação oficial da Resolução 19 ocorrida em 2025 reforça a importância de consultar a versão atual, não um resumo antigo ou modelo contratual desatualizado.

Mudanças precisam de governança. Se o fornecedor troca suboperador, região ou política de uso de conteúdo, o escritório deve receber informação e avaliar impacto antes de continuar quando a alteração for relevante. Contratos podem prever aviso, oposição, migração e exclusão. Uma lista estática arquivada na contratação não basta para um serviço que evolui continuamente.

Conecte segurança, incidentes e avaliação de impacto

O artigo 46 da LGPD exige medidas técnicas e administrativas aptas a proteger dados contra acessos não autorizados e situações acidentais ou ilícitas. Controle de identidade, autenticação multifator, segregação, registro, atualização, cópia de segurança e resposta a incidentes são exemplos, mas devem ser proporcionais ao risco. A proteção começa na concepção do serviço e continua durante a execução.

Um relatório de impacto à proteção de dados pode organizar descrição das operações, riscos a liberdades e direitos, medidas, salvaguardas e mecanismos de mitigação. A necessidade e o grau de detalhe dependem do contexto e das orientações da autoridade. Mesmo quando não houver determinação específica, uma avaliação documentada é útil em projetos com grande volume, dados sensíveis, pessoas vulneráveis, monitoramento, decisões relevantes ou tecnologia nova.

O Radar Tecnológico sobre IA Generativa, publicado pela ANPD em 2024, é estudo preliminar e não vinculante. Ele não encerra a posição regulatória da autoridade, mas identifica questões como dados inseridos em comandos, coleta na internet, transparência, necessidade e riscos de conteúdo sintético. Use-o como fonte de perguntas para o projeto, sem apresentá-lo como resolução definitiva sobre IA.

Prepare também o plano de incidentes e a coordenação com operadores. A Resolução 15/2024 disciplina comunicação quando houver risco ou dano relevante. O contrato deve assegurar que o fornecedor informe fatos em tempo útil, preserve evidências e coopere. A organização não pode depender de uma investigação externa indefinida para começar a conter o evento e avaliar obrigações.

Como aplicar a matriz de LGPD ao JusParse

O JusParse atua no processo já aberto e autenticado pelo usuário, após autorização, e pode inventariar documentos disponíveis, fazer leitura incremental, organizar informações e gerar minuta revisável com referências aos autos. Para a matriz, descreva cada função realmente habilitada. Leitura, OCR, comparação, histórico local, perfis de escrita e exportação podem envolver entradas, saídas e retenções diferentes conforme plano e configuração.

Confirme documentalmente os papéis das partes, o fluxo, os suboperadores, eventual transferência, retenção, exclusão e atendimento de direitos. Não deduza esses elementos apenas porque a solução é extensão de navegador. Como o histórico é local por número de processo, inclua dispositivo e perfil do usuário no inventário. Se um modelo Word ou perfil de escrita contiver peça anterior, avalie a presença de dados de outro cliente e higienize antes do reaproveitamento.

No fluxo profissional, use inventário e relatório de cobertura para apoiar a conferência. O JusParse não assina, protocola, toma ciência nem controla prazos autonomamente. Resultados devem permanecer como apoio revisável; fatos, datas, valores, precedentes e lacunas precisam ser verificados. Essa separação contribui para demonstrar supervisão real e evita atribuir à ferramenta decisão jurídica que permanece com o advogado.

Por fim, documente a implantação: caso de uso autorizado, categorias de processos, base legal por finalidade, usuários, fontes de dados, controles, teste, treinamento e data de revisão. Se o escritório ampliar a solução para área criminal, saúde, família ou grande escala, reavalie impacto. Conformidade é uma prática atualizada, não um documento único produzido antes da primeira licença.

• Mapeie cada função habilitada e seu dado necessário.
• Separe conteúdo dos autos, dados de conta e registros de segurança.
• Higienize modelos e regras de escrita antes de reutilizá-los.
• Mantenha revisão humana substancial e referência aos documentos originais.
• Reavalie o projeto após mudança de plano, fornecedor, área ou escala.