Não é preciso lei nova de IA. As obrigações já valem.
Muita empresa está esperando a regulação da inteligência artificial para tratar do assunto. É uma espera confortável e mal fundamentada: as duas obrigações que mais pesam já valem, e nenhuma delas fala de IA.
Elas não falam porque não precisam. Uma trata de dado pessoal, onde quer que ele esteja. A outra trata de informação confidencial, seja qual for o meio pelo qual ela vazou.
Uma ferramenta nova não cria uma exceção. Ela só cria mais um caminho.
A primeira: o dado pessoal
A Lei Geral de Proteção de Dados vale para qualquer tratamento de dado pessoal — inclusive na ferramenta que alguém abriu sozinho, sem contrato, numa conta gratuita.
Ela lista, entre os princípios que regem a atividade, a segurança:
utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão (art. 6º, VII)
Repare em duas palavras: técnicas e administrativas. Não é só configuração — é também o que está escrito e combinado. E o artigo 46 repete a exigência, agora como dever direto: os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas.
A segunda, e é a que costuma pegar
O mesmo artigo 6º traz um princípio que muda o jogo, e quase ninguém cita:
responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas (art. 6º, X)
Leia devagar. Não basta ter cuidado — é preciso demonstrar. E não basta demonstrar que existem medidas: é preciso comprovar que elas são eficazes.
Uma empresa que faz tudo certo e não escreveu nada está numa posição pior do que imagina. Boa-fé não se demonstra: papel se demonstra.
E o segredo de negócio
Aqui não é lei de proteção de dados, é a Lei de Propriedade Industrial. Ela trata como crime de concorrência desleal:
divulga, explora ou utiliza-se, sem autorização, de conhecimentos, informações ou dados confidenciais, utilizáveis na indústria, comércio ou prestação de serviços (art. 195, XI)
A palavra que importa é confidenciais. Uma informação não é confidencial porque alguém acha que é — ela é confidencial porque a empresa a tratou como tal. Se ninguém nomeou o que é sigiloso, e ninguém foi avisado, a proteção fica difícil de sustentar depois.
O que isso pede na prática
Nada de projeto. Três coisas escritas:
- A lista do que é sigiloso na sua empresa — nomeada, não subentendida.
- A regra de uso, dizendo o que pode e o que não pode, por tipo de informação.
- A ciência de quem trabalha ali — o registro de que a pessoa leu, entendeu e se comprometeu.
As três juntas são o que transforma "nós tomamos cuidado" em algo que se apresenta. E a terceira é a que quase sempre falta: sem ela, a política existe e ninguém pode provar que alguém a conheceu.
O prazo que não existe
Não há data marcada aqui. É essa a parte que engana.
Uma obrigação sem prazo não cobra nada — até o dia em que alguém pergunta. Pode ser um cliente na renovação do contrato, uma auditoria, ou um incidente. Nos três casos, a pergunta é a mesma: o que vocês fizeram para evitar isso?
E a resposta, nessa hora, ou está escrita ou não existe.
Este texto descreve obrigações gerais e não é parecer jurídico. Os trechos citados foram conferidos no texto oficial da Lei nº 13.709/2018 e da Lei nº 9.279/1996, no site do Planalto. Para o caso concreto da sua empresa, consulte um advogado.