Resposta curta: a LGPD não proíbe usar IA em nuvem. Ela exige que o escritório, como controlador (art. 5º, VI), consiga demonstrar por escrito seis coisas: a base legal do tratamento (arts. 7º e 11); que à IA vai só o necessário (art. 6º, III); que o fornecedor está contratado como operador e segue as suas instruções (art. 39), com medidas de segurança (art. 46); por qual hipótese do art. 33 os dados saem do Brasil, se saírem; o registro das operações (art. 37); e o relatório de impacto, se a ANPD pedir (art. 38). A arquitetura ajuda nessa conta: quando os documentos originais ficam no computador e ao modelo vai só o trecho necessário, com os identificadores trocados por marcadores, há menos dado para justificar, transferir e proteger.

A pergunta que decide não é se a IA está em nuvem — é se o escritório consegue mostrar como trata os dados que põe nela. A LGPD cobra demonstração: o princípio da responsabilização e prestação de contas (art. 6º, X) exige que o agente comprove as medidas que adotou e a eficácia delas. O checklist abaixo segue a ordem em que o cliente, a OAB ou a ANPD vão perguntar.

📰 Publicado em Migalhas de Peso

O risco específico das ferramentas online de PDF foi analisado pelo autor em artigo doutrinário publicado em PDF na nuvem: análise dos riscos jurídicos das ferramentas gratuitas, em Migalhas de Peso — referência editorial brasileira em Direito. Autor: Guilherme F. Pereira, fundador da Locus.IA.

A LGPD proíbe usar IA em nuvem?

Não. A LGPD não proíbe nem veda processamento em nuvem ou fora do escritório: ela regula o tratamento, onde quer que ele aconteça (art. 5º, X). Exige base legal, finalidade, o mínimo necessário e segurança e, quando o dado sai do Brasil, uma das hipóteses do art. 33. Usar IA em nuvem pode estar conforme ou não — depende do contrato, do que se envia e de como se documenta.

O que a lei não sustenta é o uso sem controle: o processo do cliente colado numa conta pessoal de chat, sem contrato de tratamento, sem saber onde o dado fica nem por quanto tempo. É isso que o checklist resolve.

Checklist de conformidade LGPD para IA no escritório

1. Inventário: que dados entram em cada IA

Liste as ferramentas de IA em uso — inclusive a conta pessoal do estagiário e o assistente que veio no pacote de escritório — e o que entra em cada uma: dados do cliente, da parte contrária, de testemunhas. Dado de saúde, de vida sexual, genético, biométrico, de origem racial, de convicção religiosa ou de opinião política, entre outros do art. 5º, II, é sensível e tem regime próprio (art. 11).

2. Base legal para cada uso

O fundamento típico do escritório é o exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI) ou a execução do contrato com o cliente (art. 7º, V). Para o dado sensível, o art. 11, II, "d" admite o exercício regular de direitos, inclusive em contrato e em processo. O consentimento (art. 7º, I) é uma das dez hipóteses do art. 7º, não a única — e pode ser revogado a qualquer momento (art. 8º, § 5º).

3. Necessidade: à IA vai só o que a resposta exige

O art. 6º, III limita o tratamento ao mínimo necessário, com dados pertinentes, proporcionais e não excessivos. Na prática: não suba o processo inteiro quando a pergunta cabe num trecho, e tire os identificadores que a resposta não usa. Pseudonimizar ajuda, mas não tira o dado da lei: a LGPD descreve a pseudonimização como o tratamento pelo qual o dado só volta a se associar à pessoa com informação adicional guardada à parte (art. 13, § 4º) — ele continua sendo dado pessoal. Só o dado anonimizado, que não permite identificar o titular por meios técnicos razoáveis, deixa de ser dado pessoal (art. 12).

4. Contrato com o fornecedor, que é operador

O fornecedor de IA que trata dados por conta do escritório é operador (art. 5º, VII) e deve seguir as instruções do controlador (art. 39); se descumprir a lei ou as instruções lícitas, responde solidariamente pelos danos (art. 42, § 1º, I). Termo de uso de conta pessoal não é esse contrato. Peça por escrito: finalidade e instruções; confidencialidade; medidas de segurança (art. 46); aviso de incidente; vedação de uso dos dados para treinar modelos; prazo de retenção e de eliminação; e onde o processamento acontece.

5. Transferência internacional: qual hipótese do art. 33

Se o modelo roda em servidor fora do Brasil, há transferência internacional (art. 5º, XV), permitida só nas hipóteses do art. 33 — entre elas, cláusulas contratuais específicas para a transferência ou cláusulas-padrão contratuais (art. 33, II, "a" e "b"). A Resolução CD/ANPD nº 19/2024 aprovou o regulamento de transferência internacional e o texto das cláusulas-padrão, e deu 12 meses, contados da publicação, em agosto de 2024, para quem transfere com base em cláusulas contratuais incorporá-las aos contratos. Pergunte ao fornecedor onde o modelo roda e qual hipótese cobre a operação; se precisar que tudo fique no Brasil, exija isso no contrato.

6. Segurança e incidente

Os agentes de tratamento devem adotar medidas técnicas e administrativas de segurança (art. 46). No escritório, o mínimo defensável é acesso individual com autenticação forte, nenhuma senha compartilhada e criptografia no computador e nos backups. Incidente que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e ao titular (art. 48); a Resolução CD/ANPD nº 15/2024 fixou três dias úteis para as duas comunicações, contados de quando o controlador sabe que o incidente afetou dados pessoais.

7. Registro das operações

Controlador e operador devem manter registro das operações de tratamento (art. 37). Para cada IA, anote: ferramenta, finalidade, tipos de dados, quem usa, onde o processamento acontece e qual contrato o cobre. É o primeiro documento que se mostra quando alguém pergunta.

8. Relatório de impacto (RIPD)

A ANPD pode determinar que o controlador elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis (art. 38). O conteúdo mínimo está no próprio artigo: tipos de dados coletados, metodologia de coleta e de segurança e a análise das medidas de mitigação de risco adotadas (art. 38, parágrafo único). Com dado sensível passando pela IA, vale tê-lo pronto antes que peçam.

9. Encarregado, transparência e sigilo

O controlador deve indicar encarregado e divulgar o contato dele (art. 41), e dar ao titular informação clara sobre o tratamento (art. 6º, VI). Na advocacia, isso se soma ao sigilo profissional: violá-lo sem justa causa é infração disciplinar (art. 34, VII, do Estatuto da Advocacia).

Descumprir sujeita o escritório às sanções do art. 52, aplicadas pela ANPD — entre elas, advertência, multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, publicização da infração, bloqueio e eliminação dos dados.

Onde a arquitetura reduz o trabalho — e onde não substitui o contrato

Ferramenta nenhuma deixa o escritório conforme sozinha: base legal, registro e contrato continuam sendo do controlador. O que a arquitetura muda é o tamanho do problema. Quanto menos dado sai do computador, menos há para justificar, transferir e proteger.

SEM CONTROLE

Conta pessoal de chat de IA

Sem contrato de operador (art. 39), sem hipótese de transferência definida (art. 33), sem registro (art. 37). O processo vai inteiro e identificado, e o escritório não sabe por quanto tempo fica guardado.

DOCUMENTÁVEL

Índice no computador + trecho mínimo

Os documentos originais e o índice ficam na máquina; ao modelo vai só o trecho necessário (art. 6º, III), com os identificadores trocados por marcadores, sob contrato de tratamento que se anexa ao registro.

É o desenho da Locus.IA. A pasta do processo é indexada no computador do advogado, e o índice fica ali. Ao perguntar aos documentos e na Escrita, o documento original não sai da máquina: vai ao modelo de IA só o trecho necessário, com CPF, CNPJ, RG, OAB, número de processo, telefone, e-mail e data de nascimento trocados por marcadores, que só se desfazem no seu computador — nomes não são mascarados. As exceções são declaradas: a Conferência de Dados envia o documento ao modelo, porque confere justamente esses dados; a página escaneada vai para o reconhecimento de texto; e o áudio só sai se você escolher transcrever na nuvem. A Oficina de PDF roda 100% local, mesmo no plano Híbrido; nada é enviado.

No Modo Híbrido, padrão dos planos, o modelo roda na infraestrutura do provedor contratado, que pode estar fora do Brasil — é transferência internacional, e a política de privacidade diz quais dados chegam lá, sob que contrato e por quanto tempo o provedor os guarda; o conteúdo não é usado para treinar modelos. Quem precisa que o processamento fique no Brasil tem o Modo Soberania, por contratação Enterprise; quem não pode enviar documento nenhum, a edição Locus Local, com o modelo rodando no próprio computador.

Resumo para o escritório: a LGPD não pergunta se a IA está em nuvem; pergunta se você tem base legal, contrato com o operador, hipótese de transferência, registro e medidas de segurança — e se manda à IA só o necessário. Uma ferramenta que mantém os documentos originais no computador e envia só o trecho necessário, com os identificadores trocados por marcadores, deixa cada item do checklist mais curto de cumprir e mais fácil de provar.

Perguntas Frequentes

A LGPD proíbe usar IA em nuvem?
Não. A LGPD não proíbe nem veda processamento em nuvem ou fora do escritório: ela regula o tratamento onde quer que ocorra. Exige base legal (arts. 7º e 11), o mínimo necessário (art. 6º, III), contrato com o fornecedor como operador (art. 39), medidas de segurança (art. 46) e, se o dado sai do Brasil, uma das hipóteses do art. 33.
Qual a base legal para usar IA com dados do cliente?
Em regra, o exercício regular de direitos em processo judicial, administrativo ou arbitral (art. 7º, VI) ou a execução do contrato com o cliente (art. 7º, V). Para dados sensíveis, o art. 11, II, d admite o exercício regular de direitos, inclusive em contrato e em processo. O consentimento é uma das hipóteses, não a única — e pode ser revogado a qualquer momento (art. 8º, § 5º).
Pseudonimizar os dados resolve a LGPD?
Reduz o risco, mas não tira o dado da lei. Dado pseudonimizado é o que só volta a se associar à pessoa com informação adicional guardada à parte (art. 13, § 4º): continua sendo dado pessoal. Só o dado anonimizado, que não permite identificar o titular por meios técnicos razoáveis, deixa de ser dado pessoal (art. 12).
O que o contrato com o fornecedor de IA precisa ter?
O fornecedor é operador e deve seguir as instruções do escritório (art. 39). Por escrito: finalidade e instruções, confidencialidade, medidas de segurança (art. 46), aviso de incidente, vedação de uso dos dados para treinar modelos, prazo de retenção e de eliminação e local do processamento — com a hipótese do art. 33, se houver transferência internacional.
Preciso de relatório de impacto (RIPD) para usar IA no escritório?
A ANPD pode determinar que o controlador o elabore (art. 38). O relatório deve descrever os tipos de dados, a metodologia de coleta e de segurança e as medidas de mitigação de risco. Com dado sensível passando pela IA, é prudente tê-lo pronto antes de ser pedido.
Em quanto tempo o escritório comunica um incidente com dados pessoais?
Incidente que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e ao titular (art. 48). A Resolução CD/ANPD nº 15/2024 fixou três dias úteis para as duas comunicações, contados de quando o controlador sabe que o incidente afetou dados pessoais.

📚 Referências e Validação

Conferido em 30 de setembro de 2026 nas fontes oficiais: