LGPD e automação: o teste que define o que não automatizar

Existe um critério simples para decidir se um processo pode ser entregue a uma máquina, e ele não é técnico nem filosófico. Está no parágrafo 1º do artigo 20 da Lei Geral de Proteção de Dados: sempre que solicitado, o controlador precisa fornecer informações claras e adequadas sobre os critérios e os procedimentos usados na decisão automatizada, resguardados os segredos comercial e industrial. Processo cujo critério a empresa não consegue descrever em linguagem compreensível já está fora de conformidade, antes de qualquer debate sobre ética.

Por que isso importa: a régua que a maioria das empresas procura em comitê de ética já existe em lei desde 2020, e ela é operacional. Se ninguém na companhia consegue explicar por que o sistema decidiu daquele jeito, aquele processo não estava pronto para ser automatizado.

O teste, em três perguntas

O artigo 20 transforma explicabilidade em obrigação exigível, e isso permite converter um dilema abstrato em checagem prática. Antes de automatizar um processo que afeta pessoas, três perguntas dão a resposta.

A empresa consegue descrever o critério da decisão sem usar jargão técnico? Citar o nome do modelo não é explicação. O afetado precisa entender o que pesou.

Existe alguém com nome e sobrenome que responde por aquela decisão? Automação sem dono é automação que ninguém desliga quando erra.

Há registro do que entrou e do que saiu? Sem rastro, a empresa não consegue nem cumprir o pedido de informação nem reconstruir o que aconteceu.

Processo que falha em qualquer uma das três não deveria entrar na fila de automação. Não porque a tecnologia não dê conta, mas porque a organização ainda não sabe o suficiente sobre o próprio processo para delegá-lo.

Por um voto, o Brasil escolheu o regime mais permissivo

A história de como essa régua ficou incompleta explica por que o resto da decisão sobrou para as empresas.

A redação original da LGPD previa que a revisão de decisões automatizadas fosse feita por pessoa natural. O dispositivo foi vetado, com o argumento de que a exigência inviabilizaria modelos de negócio, especialmente de startups e fintechs, e afetaria a análise de risco de crédito das instituições financeiras, com efeito negativo sobre a oferta de crédito.

Em 2 de outubro de 2019, o Congresso apreciou o veto e o manteve. No Senado, faltou um voto para derrubá-lo.

O resultado prático é o que vale para qualquer empresa brasileira hoje. O titular tem direito de pedir revisão de decisão tomada unicamente por tratamento automatizado que afete seus interesses, incluídas as que definem perfil pessoal, profissional, de consumo e de crédito. Mas a lei não exige que quem revise seja humano. No Brasil, um algoritmo pode revisar a decisão de outro algoritmo.

O marco legal específico de IA continua pendente. O PL 2338 foi aprovado por unanimidade no Senado em dezembro de 2024 e segue na Câmara, com previsões de votação sucessivamente adiadas. O texto cria categorias de risco, incluindo uma de risco excessivo, que seria justamente a lista oficial do que não se pode automatizar. Enquanto não é votado, essa lista não existe no direito brasileiro.

Para efeito de comparação, as proibições do regulamento europeu de inteligência artificial valem desde fevereiro de 2025, e a aplicação geral da norma começou em 2 de agosto de 2026. Empresa brasileira com operação ou cliente na Europa responde a essa régua independentemente do que Brasília decidir.

O documento que quase nenhuma empresa escreve

Junte as duas pontas e aparece uma conclusão desconfortável. O regulador brasileiro não definiu a fronteira, e provavelmente não vai definir a tempo. Quem escreve a lista do que nunca se automatiza naquela operação é a própria empresa.

Poucas escrevem. E a ausência do documento costuma aparecer tarde, no formato mais caro: uma decisão automatizada que ninguém sabe explicar, um cliente que pede revisão, um processo que não tem dono e um registro que não existe.

O documento não precisa ser longo. Precisa nomear, processo por processo, o que fica com a máquina, o que fica com a pessoa, e por quê. As três perguntas do teste dão o critério. O que costuma sobrar do lado humano é previsível: exceção que foge do script, decisão sensível com efeito jurídico sobre alguém, situação em que o cliente precisa ser convencido e não apenas informado, e qualquer ponto em que a empresa aposta a própria reputação.

Empresa que vende substituição de gente não escreve esse documento. Ele só faz sentido para quem está desenhando onde a máquina entra e onde ela não entra.

Sinais e impactos

Para CEOs e conselhos. Vale pedir a lista antes de aprovar a próxima onda de automação. Se ela não existir, o que está sendo aprovado é escopo aberto.

Para C-levels e diretores. As três perguntas funcionam como portão de entrada de qualquer projeto. Processo que não passa volta para redesenho, não para a fila de implantação.

Para donos de pequenas e médias. O documento é mais barato de escrever agora, com poucos processos automatizados, do que depois. E ele protege dos dois lados: da autuação e da automação que ninguém consegue justificar para o cliente.

O ponto

A lei brasileira decidiu, por um voto, não escrever essa lista pelas empresas. Isso transfere a decisão para o conselho e a transforma em vantagem para quem a toma cedo. Saber o que não se automatiza é o que permite automatizar o resto com confiança.

Em 8 de setembro, a StartSe abordou mais deste assunto no artigo "A conta da NR-1 que o STF não suspendeu", que trata de outra fronteira legal que empresas costumam descobrir tarde.

Decidir o que automatizar é metade do trabalho. A outra metade é decidir o que permanece humano porque é ali que a empresa cresce. A Operação 100 é uma iniciativa da StartSe que acompanha empresas brasileiras por 100 dias para implantar soluções de IA na operação e, no mesmo processo, definir o que não entra nessa lista. A Masterclass de IA é o primeiro passo desse caminho.

Garanta sua vaga na Masterclass de IA

Para ir mais fundo:

• Artigo 20 da LGPD, texto integral
• Congresso mantém o veto à revisão por pessoa natural, Serpro
• Tramitação do PL 2338/2023 na Câmara dos Deputados