O que a LGPD e o GDPR realmente exigem
O Artigo 38 da LGPD dá à ANPD o poder de exigir que o controlador elabore um RIPD para operações de tratamento que possam representar risco a direitos e liberdades fundamentais, incluindo dados sensíveis. Diferente do GDPR, a lei brasileira não obriga a autoavaliação prévia como regra geral: a exigência formal parte da ANPD. Na prática, porém, a própria autoridade orienta que organizações elaborem o RIPD de forma proativa antes de iniciar processamentos de alto risco, e tratar isso como obrigação de fato é a postura mais segura, sobretudo para IA, área que a ANPD já sinalizou como prioridade de fiscalização.
Para empresas com exposição à União Europeia, o Artigo 35 do GDPR exige uma Avaliação de Impacto na Proteção de Dados antes de qualquer processamento suscetível de resultar em elevado risco para os direitos e liberdades das pessoas. Esta é uma obrigação prévia, não algo que se possa concluir retrospectivamente quando a ferramenta já estiver ativa. As Diretrizes 09/2022 do Comitê Europeu para a Proteção de Dados (EDPB) traduzem "provavelmente alto risco" em nove critérios operacionais. Cumprir dois ou mais requer uma DPIA. Esse mesmo teste é uma referência prática útil para escopar um RIPD sob a LGPD, mesmo sem exigência formal equivalente na lei brasileira.
Os nove critérios
Estes são os critérios do EDPB, usados sob o GDPR para determinar quando uma DPIA é obrigatória e, na ausência de um teste formal equivalente sob a LGPD, adotados pela Cyvra como referência prática para escopar um RIPD. Dois ou mais critérios significa que uma avaliação de impacto é necessária antes do início do processamento.
O critério 8 aplica-se a praticamente todas as ferramentas de IA num contexto empresarial. A IA generativa, os grandes modelos linguísticos e a análise baseada na IA são todos classificados como tecnologias inovadoras pelas autoridades de supervisão da UE. Combinado com o critério 1, que se aplica a qualquer sistema que avalie ou pontue indivíduos, a maioria das implantações de IA aciona o limite antes de atingir os critérios de 3 a 7.
Onde as ferramentas de IA atendem a esses critérios
Os quatro cenários abaixo cobrem os casos de uso de IA aos quais os reguladores estão prestando mais atenção. Cada um identifica quais critérios se aplicam e por quê.
O Microsoft Copilot exige uma DPIA ou RIPD?
Para a maioria das organizações: sim.
O Copilot processa emails, conversas do Teams, documentos do SharePoint e dados de calendário com as permissões do usuário conectado. Atende imediatamente ao critério 8 (tecnologia inovadora) e ao critério 3 quando utilizado num contexto onde analisa ou resume as comunicações dos funcionários em grande escala. Se suas equipes de RH, jurídica ou de gerenciamento usam o Copilot para revisar informações de desempenho, identificar padrões em conversas de e-mail ou elaborar avaliações com base em dados de funcionários, os critérios 1 e 2 também se aplicam. O mesmo raciocínio se aplica a um RIPD sob a LGPD: o volume e a sensibilidade dos dados tratados justificam a elaboração do relatório mesmo sem exigência formal da ANPD.
Nem a DPIA nem o RIPD bloqueiam a implantação. Ambos exigem que você documente o processamento, identifique riscos e implemente mitigações. A revisão de permissões, configuração de rótulo de confidencialidade e política de uso aceitável abordadas em nosso artigo sobre governança do Copilot contam como mitigações documentadas e pertencem tanto à DPIA quanto ao RIPD.
Uma DPIA concluída após a implantação é melhor do que nenhuma DPIA, mas não elimina a violação que ocorreu durante a lacuna. Se um incidente de dados ocorrer enquanto uma ferramenta estiver em execução sem uma DPIA obrigatória, os reguladores tratarão a ausência da avaliação como um fator agravante nas decisões de aplicação.
O que uma DPIA ou RIPD realmente deve conter
O Artigo 35(7) do GDPR especifica quatro componentes que toda DPIA deve abordar, independentemente do formato ou comprimento. A LGPD não detalha o conteúdo mínimo do RIPD com o mesmo nível de especificidade, mas a orientação prática da ANPD e a experiência da Cyvra apontam para os mesmos quatro componentes como estrutura recomendada:
- Uma descrição sistemática do processamento: quais dados a ferramenta de IA processa, de onde eles vêm, por quanto tempo são retidos e as finalidades para as quais são usados
- Uma avaliação da necessidade e da proporcionalidade: por que razão este tratamento é necessário para atingir a finalidade declarada e se uma abordagem menos intrusiva da privacidade poderia alcançar o mesmo resultado
- Uma avaliação dos riscos para os direitos e liberdades: riscos específicos para indivíduos, com avaliação de probabilidade e gravidade para cada
- Medidas para abordar cada risco identificado: salvaguardas técnicas e organizacionais, com um mapeamento claro entre cada risco e sua mitigação
Quando a organização tiver um encarregado de proteção de dados (DPO, chamado de encarregado pela LGPD), este deverá ser consultado e os seus conselhos documentados. Quando o risco residual permanecer elevado após as mitigações, a autoridade supervisora (ANPD ou a autoridade de proteção de dados da UE competente) deverá ser consultada antes do início do processamento.
O que documentar: uma lista de verificação prática
DPIA/RIPD e a Lei de IA da UE: duas exigências separadas
A partir de agosto de 2026, sistemas de IA de alto risco sob o Anexo III da Lei da UE sobre IA também exigem uma avaliação de conformidade cobrindo precisão, robustez, transparência e supervisão humana. Isso é separado de uma DPIA e atende a um enquadramento legal diferente. Sistemas que acionam a classificação do Anexo III quase certamente também exigirão uma DPIA, mas as duas avaliações abordam questões diferentes e devem ser documentadas separadamente. Para empresas brasileiras sem exposição direta à UE, o RIPD sob a LGPD continua sendo a avaliação de referência.
Executar ambos em paralelo é mais eficiente do que concluí-los sequencialmente. Muitas das entradas são compartilhadas: a descrição do processamento, as categorias de dados, o relacionamento com o fornecedor e o registro de risco, todos inseridos em ambos os documentos.
Uma DPIA não precisa ser um documento de 60 páginas. Precisa ser honesto: específico sobre o que a IA está fazendo, sincero sobre os riscos e claro sobre o que você está fazendo para enfrentá-los.
Por onde começar
Comece com um inventário de ferramentas de IA atualmente em uso em toda a organização, incluindo aquelas trazidas por departamentos individuais sem envolvimento central de TI. Para cada ferramenta, execute o teste de nove critérios. Qualquer ferramenta com pontuação dois ou mais vai para o backlog da DPIA ou RIPD.
Priorize por exposição: ferramentas que processem primeiro dados de funcionários, dados pessoais de clientes em grande escala ou categorias sensíveis. Para ferramentas já implementadas sem uma DPIA ou RIPD, conclua a avaliação agora e documente que ela foi feita retrospectivamente. Reguladores, tanto a ANPD quanto as autoridades europeias, esperam que as organizações se recuperem quando descobrem uma lacuna, e uma avaliação concluída e arquivada é significativamente melhor do que nenhuma.
Cyvra apoia as organizações em todo o processo de DPIA ou RIPD para ferramentas de IA: desde o inventário de processamento inicial e avaliação de nove critérios até o registro de risco concluído, mapeamento de mitigação e contato com o encarregado. Entre em contato conosco para discutir o que sua pilha de IA atual exige.
O RIPD se encaixa dentro do enquadramento mais amplo de conformidade com a LGPD, assim como a DPIA se encaixa dentro da conformidade com o GDPR. Para os sistemas de IA que também se enquadram no Anexo III da Lei da UE sobre IA, a avaliação da conformidade decorre em paralelo com a DPIA e compartilha grande parte da mesma base de evidências.
