Checklist LGPD para contratar APIs de IA: o que avaliar antes de assinar

A adoção de APIs de inteligência artificial — como modelos de linguagem (LLMs) — tem crescido rapidamente em empresas brasileiras. Esses serviços processam dados que podem incluir informações pessoais, o que exige atenção à Lei Geral de Proteção de Dados (LGPD). Este artigo apresenta um checklist prático para avaliar provedores de API de IA antes da contratação. Não é opinião jurídica: valide cada ponto com seu DPO ou consultor jurídico.

Defina os papéis: controlador e operador

Na maioria dos cenários, a empresa que contrata a API é a controladora dos dados pessoais, enquanto o provedor atua como operador (processador). Isso significa que a controladora define as finalidades do tratamento e deve garantir que o operador cumpra a LGPD. Em alguns casos, o provedor pode ser considerado controlador para finalidades próprias (como melhoria do modelo). Verifique o contrato e a política de privacidade para entender como cada parte trata os dados.

Base legal para o tratamento

Toda operação de tratamento de dados pessoais exige uma base legal prevista na LGPD (art. 7º). Para uso de APIs de IA, as bases mais comuns são:

• Execução de contrato ou procedimentos preliminares (ex.: usar IA para processar pedidos do cliente).
• Legítimo interesse do controlador, desde que não prevaleçam direitos e liberdades fundamentais do titular. Exige um teste de proporcionalidade documentado.
• Consentimento do titular, quando aplicável (ex.: uso de dados sensíveis pode exigir consentimento específico).

Avalie qual base se aplica ao seu caso. Evite enviar dados desnecessários: minimize os dados enviados à API. Um filtro simples em Python pode ajudar:

import re

def remove_pii(texto):
    # Remove CPF, e-mail, telefone (exemplos simples)
    texto = re.sub(r'\d{3}\.\d{3}\.\d{3}-\d{2}', '[CPF_REMOVIDO]', texto)
    texto = re.sub(r'[\w\.-]+@[\w\.-]+', '[EMAIL_REMOVIDO]', texto)
    texto = re.sub(r'\(?\d{2}\)?\s?\d{4,5}-\d{4}', '[TELEFONE_REMOVIDO]', texto)
    return texto

payload = remove_pii(entrada_usuario)

Transferência internacional de dados

Muitos provedores de IA processam dados fora do Brasil. A LGPD permite transferência internacional mediante mecanismos como:

• Cláusulas contratuais padrão (ou cláusulas-padrão de proteção de dados) aprovadas pela ANPD.
• País com nível adequado de proteção (atualmente poucos reconhecidos pela ANPD).
• Normas corporativas globais (para grupos multinacionais).
• Consentimento específico do titular, entre outras hipóteses.

Pergunte ao provedor: onde os dados serão armazenados e processados? Há opção de data residency no Brasil? Que mecanismo de transferência é oferecido? A resposta deve constar no DPA.

Retenção e exclusão de dados

Entenda a política de retenção do provedor:

• Por quanto tempo os prompts e respostas são armazenados?
• Os dados são usados para treinar modelos? É possível optar por não usar (opt-out)?
• Como solicitar exclusão de dados específicos?

Em muitos casos, o provedor oferece endpoints para exclusão ou uma política de retenção zero. Se não oferecer, avalie o risco. Exemplo de chamada para exclusão (hipotético):

import requests

headers = {'Authorization': f'Bearer {API_KEY}'}
response = requests.delete(
    f'{BASE_URL}/v1/data-records/{record_id}',
    headers=headers
)

DPA: o que exigir do contrato

O Data Processing Agreement (DPA) ou contrato de processamento de dados é essencial. Verifique se contém:

• Descrição clara do tratamento (natureza, finalidade, duração, tipos de dados).
• Obrigação de confidencialidade e segurança.
• Lista de suboperadores autorizados (e mecanismo de notificação de mudanças).
• Compromisso de notificar incidentes de segurança em prazo razoável.
• Direito de auditoria ou relatórios de conformidade (ex.: SOC 2, ISO 27001).
• Mecanismos de transferência internacional (cláusulas padrão).
• Responsabilidades em caso de requisições de titulares (acesso, correção, exclusão).

Leia atentamente e, se necessário, negocie cláusulas adicionais. Um DPA genérico pode não cobrir riscos específicos de IA (como viés, alucinações, propriedade intelectual).

Perguntas essenciais para o prestador

Antes de assinar, envie estas perguntas ao provedor de API:

1. Onde os dados são processados e armazenados? Há opção de região (ex.: Brasil, EUA, UE)?
2. Os dados enviados são usados para treinar ou melhorar modelos? Se sim, como desabilitar?
3. Qual o período de retenção de logs, prompts e outputs?
4. O provedor assina DPA com cláusulas padrão para transferência internacional?
5. Quais certificações de segurança possui (ISO 27001, SOC 2, etc.)?
6. Como notifica incidentes de segurança? Qual o prazo?
7. É possível excluir dados específicos via API ou solicitação?
8. Quais suboperadores estão envolvidos no processamento?
9. O provedor atende requisições de titulares (acesso, portabilidade) em nome do controlador?
10. Existe auditoria externa ou relatório de conformidade disponível?

Cenário ilustrativo

Imagine uma fintech que deseja usar uma API de LLM para classificar mensagens de clientes. O time técnico avalia três provedores. Eles:

• Identificam que a base legal será legítimo interesse (melhorar atendimento), documentam o teste de proporcionalidade.
• Configuram o cliente da API usando variáveis de ambiente para a chave e URL do serviço (fornecidas pela equipe de acesso), sem expor credenciais no código:

import os
from openai import OpenAI

client = OpenAI(
    base_url=os.environ['BASE_URL'],
    api_key=os.environ['API_KEY'],
)

• Aplicam filtro de PII antes de enviar qualquer dado.
• Solicitam o DPA e verificam transferência internacional e retenção.
• Incluem no contrato uma cláusula de auditoria.
• Com o DPO, revisam o fluxo e documentam tudo no registro de tratamento.

Esse processo reduz riscos e demonstra conformidade.

Conclusão

Contratar uma API de IA sob a LGPD exige análise cuidadosa: papéis, base legal, transferência internacional, retenção, DPA e capacidade de resposta a titulares. Este checklist é um ponto de partida — sempre valide com seu DPO ou consultor jurídico antes de assinar.

A TokenRecarga fornece acesso a modelos de IA para empresas brasileiras, com atendimento e faturamento no Brasil.

Quer entender como a sua empresa pode usar modelos de IA com atendimento e faturamento no Brasil? Fale com a gente — a equipe da TokenRecarga responde em português.