IA e dados pessoais são um par delicado. Antes de qualquer agente tocar em dados de clientes, rodamos uma checagem de conformidade. Aqui está a versão curta dela.
1. Quais dados pessoais estão em jogo
Antes de tudo, mapeamos exatamente quais dados pessoais o sistema vai ler, gerar ou armazenar. O princípio da minimização vale: se um dado não é necessário para a tarefa, ele não entra no fluxo.
2. Qual a base legal
Todo tratamento precisa de uma base legal da LGPD — consentimento, execução de contrato, legítimo interesse, entre outras. Deixamos isso explícito por processo, e não «no geral».
3. Para onde os dados vão
Se o fluxo usa um provedor externo de modelo, é preciso saber onde os dados são processados e por quanto tempo ficam. Preferimos configurações que não retêm dados e, quando faz sentido, processamento no próprio ambiente do cliente.
4. Como você audita depois
Trilhas de auditoria não são opcionais: registramos quem acessou o quê e quando, para que uma solicitação de titular ou uma revisão interna possa ser respondida com fatos, não com suposições.
Conformidade não é um passo no fim — é uma decisão de arquitetura que tomamos no começo de cada projeto.
Voltar ao journal