LGPD e IA no ERP: como usar dados com segurança

"Se eu conectar IA ao meu ERP, meus dados vão parar onde?" — essa é, com razão, a primeira pergunta de todo gestor sério. A resposta correta não é um "confia" nem um "não pode": é um conjunto de práticas técnicas e contratuais que tornam IA sobre dados do ERP compatível com a LGPD. Este guia resume o essencial.

O que a LGPD exige (tradução prática)

• Base legal: todo tratamento precisa de fundamento — para IA operacional sobre dados de clientes e fornecedores, o legítimo interesse e a execução de contrato costumam ser as bases avaliadas, caso a caso, com registro dessa avaliação;
• Minimização: a IA só acessa os dados necessários para a finalidade — não "o banco inteiro por conveniência";
• Transparência e direitos do titular: saber o que é tratado e poder solicitar acesso, correção e exclusão;
• Segurança: medidas técnicas proporcionais ao risco — criptografia, controle de acesso, logs.

As práticas técnicas que aplicamos

1. Credencial de leitura restrita: o conector da IA enxerga views específicas, não tabelas inteiras. Cliente, sim; CPF completo, só se a finalidade exigir;
2. Mascaramento e pseudonimização: dados pessoais que não são necessários para a resposta são mascarados antes de chegar ao modelo — o chat com o ERP responde "faturamento do cliente X" sem nunca enviar documento ou endereço ao modelo;
3. Logs de toda consulta: quem perguntou, o que foi acessado, quando — auditável;
4. Sem treinamento com seus dados: uso de APIs empresariais com cláusula de não-treinamento, garantida em contrato com o provedor do modelo;
5. Retenção mínima: prompts e respostas com dados pessoais não viram arquivo eterno.

O que exigir de qualquer fornecedor de IA

Se você está contratando (a Totusia inclusive — cobre isso de nós), o checklist mínimo:

• NDA desde a primeira conversa e cláusulas de tratamento de dados no contrato;
• Descrição escrita de quais dados a solução acessa e por quê;
• Arquitetura que mostre onde os dados trafegam e ficam armazenados;
• Compromisso de não-treinamento com seus dados e política de retenção;
• Plano de resposta a incidente. Mais critérios no nosso guia de como escolher consultoria de IA.

LGPD não é impeditivo — é filtro de qualidade

A experiência mostra: projetos de IA que nascem com privacidade desenhada desde o início não ficam mais lentos — ficam mais vendáveis internamente, porque jurídico e segurança aprovam sem novela. A LGPD acaba funcionando como filtro que separa fornecedor sério de aventureiro, tema que aprofundamos em segurança de dados com IA.

Quer avaliar a prontidão do seu ambiente para IA com conformidade? A Totusia inclui essa análise no diagnóstico gratuito — e assina NDA antes de olhar qualquer coisa.

Perguntas rápidas

Posso usar dados do ERP em ferramenta gratuita de IA?

Dados pessoais ou sensíveis do negócio, não — planos gratuitos geralmente não oferecem os compromissos contratuais de não-treinamento e retenção que a LGPD pede na prática. Use contas empresariais com contrato adequado; a diferença de custo é pequena perto do risco.

Quem responde se a IA vazar um dado?

A empresa controladora continua responsável perante o titular e a ANPD — por isso contrato com operadores e fornecedores importa tanto. A cadeia de responsabilidade bem amarrada em contrato é o que evita que um incidente vire disputa sobre de quem era a culpa.