LGPD e RGPD em apps feitos com IA: o que você precisa verificar
Por Guilherme Menezes. Última revisão: 6 de novembro de 2026.
Um app feito com IA tem as mesmas obrigações que qualquer outro: se trata dados pessoais de pessoas no Brasil aplica-se a LGPD, e na União Europeia aplica-se o RGPD. O ponto mais ligado a essas falhas é a segurança: as duas leis exigem medidas adequadas, e um vazamento pode obrigar você a comunicar a autoridade em prazos curtos. Este guia é informativo e não substitui orientação jurídica.
A lei diferencia apps feitos com IA?
Não para esses efeitos. Ter sido a IA a escrever o código não muda quem responde. Se o app é seu e você decide para que servem os dados, as obrigações são suas.
O que as duas leis dizem sobre segurança?
- LGPD, artigo 46: os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, para proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas.
- RGPD, artigo 32: quem trata dados deve aplicar medidas técnicas e organizativas adequadas ao risco.
Na prática, uma tabela sem regras de acesso ou uma chave secreta no navegador são difíceis de justificar como medidas adequadas. Por isso, as falhas técnicas têm também um lado legal.
E se houver um vazamento de dados?
Os prazos são diferentes:
- Brasil, Resolução CD/ANPD nº 15/2024: comunicação à ANPD e às pessoas afetadas em 3 dias úteis, nos incidentes que possam causar risco ou dano relevante. Para agentes de pequeno porte, o prazo é contado em dobro.
- RGPD, artigo 33: notificação à autoridade em até 72 horas depois de tomar conhecimento da violação, salvo se for improvável que resulte em risco para as pessoas.
Prepare isso antes de precisar: quem decide, como você contata as pessoas e quais logs usa para entender o que aconteceu.
O que devo verificar no meu app?
Dados que você coleta
- Sei quais dados pessoais guardo, para quê e por quanto tempo.
- Não coleto o que não uso.
- Não envio dados pessoais para logs nem para serviços de IA sem necessidade.
Serviços de terceiros
- Sei quais fornecedores tratam os dados, como hospedagem, e-mail, pagamentos e modelos de IA.
- Verifiquei os contratos de tratamento de dados e as transferências internacionais.
Direitos das pessoas
- Consigo exportar, corrigir e apagar os dados de uma pessoa quando ela pede.
- A política de privacidade descreve o que o app faz de verdade.
Segurança
- Fiz os testes do checklist antes de lançar.
E os modelos de IA dentro do app?
Se o seu app envia texto de usuários para um modelo de IA, esse fornecedor passa a tratar esses dados. Confirme as condições dele, principalmente se usa os dados para treino e onde os trata, e descreva isso na política de privacidade.