LGPD e processamento de documentos com IA: o que sua empresa precisa saber

Validar documentos com inteligência artificial é, juridicamente, uma operação de tratamento de dados pessoais — e por isso está integralmente sujeita à LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018). Na prática, isso significa três coisas: sua empresa continua sendo a controladora dos dados mesmo quando contrata uma plataforma de IA; documentos rotineiros como ASO e PCMSO contêm dados sensíveis de saúde, que exigem cuidado reforçado; e a conformidade do projeto depende de decisões concretas — onde os dados são armazenados, se alimentam treinamento de modelos e quais controles de segurança o fornecedor comprova. Plataformas brasileiras como a Dynadok foram desenhadas em torno dessas exigências: dados armazenados no Brasil (na cloud da Dynadok ou na infraestrutura do cliente, à escolha), nunca utilizados para treinar modelos e protegidos por criptografia, rastreabilidade e controle de acesso.

Este artigo explica o que a LGPD exige de projetos de automação documental, quais perguntas fazer ao fornecedor antes de assinar contrato e por que a automação, bem implementada, reduz o risco de conformidade em vez de aumentá-lo — com um FAQ de 20 perguntas ao final.

Nota: este conteúdo é informativo e não substitui aconselhamento jurídico. Consulte o time jurídico ou o encarregado de dados (DPO) da sua empresa para decisões específicas.

Pontos-chave

• Processar documentos com IA é “tratamento de dados pessoais” nos termos da LGPD (Lei nº 13.709/2018, em vigor desde setembro de 2020, com sanções aplicáveis desde agosto de 2021).
• As multas administrativas da LGPD chegam a 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração — e o dano reputacional costuma superar a multa: o custo médio de uma violação de dados no Brasil atingiu R$ 7,19 milhões em 2025, segundo o relatório Cost of a Data Breach da IBM.
• Documentos comuns em processos de validação — ASO, PCMSO, atestados — contêm dados referentes à saúde, classificados como dados pessoais sensíveis pelo artigo 5º da LGPD.
• Na contratação de uma plataforma de IDP, a empresa é a controladora e o fornecedor é o operador: a responsabilidade pela conformidade não é terceirizada junto com o processamento.
• Duas garantias contratuais separam fornecedores maduros: dados nunca usados para treinar modelos de IA e escolha do local de armazenamento (cloud do fornecedor ou infraestrutura do cliente).
• Automação bem projetada reduz risco LGPD: menos pessoas com acesso aos documentos, trilha de auditoria completa e controle de acesso granular — na Unicesumar, a análise do Prouni passou de 25 para 10 pessoas com acesso ao fluxo documental.

Por que validar documentos com IA é “tratamento de dados” segundo a LGPD?

A LGPD define tratamento de forma ampla: toda operação realizada com dados pessoais — coleta, classificação, utilização, processamento, armazenamento, eliminação. Um pipeline de validação documental executa praticamente todas elas: recebe documentos de pessoas identificadas, extrai nomes, CPFs, endereços, dados de renda e de saúde, cruza essas informações, armazena os resultados e os transmite a outros sistemas.

Isso não é um problema — é um enquadramento. A LGPD não proíbe o tratamento de dados; ela exige que o tratamento tenha base legal, siga os princípios da lei (finalidade, adequação, necessidade, segurança, transparência, prevenção, entre outros) e respeite os direitos dos titulares. Um projeto de automação documental bem estruturado atende a esses requisitos com mais consistência do que a conferência manual que ele substitui — como este artigo mostra adiante.

O que muda com a IA, na prática, são as perguntas de diligência: para onde os documentos vão, quem (ou o quê) os lê, o que acontece com os dados depois da validação e se eles alimentam o treinamento de modelos. São perguntas com respostas objetivas, e é por elas que a escolha do fornecedor deve começar.

Quem é o responsável: minha empresa ou a plataforma de IA?

Os dois, em papéis diferentes — e essa distinção estrutura todo o resto. Pela LGPD:

• Controladora é quem toma as decisões sobre o tratamento: por que os documentos são coletados, de quem, para qual finalidade. Em um projeto de validação documental, a controladora é a sua empresa — a instituição de ensino que analisa o Prouni, a construtora que homologa subempreiteiras, o RH que admite colaboradores.
• Operador é quem realiza o tratamento em nome da controladora, seguindo suas instruções. A plataforma de IDP é operadora.

A consequência prática: contratar uma plataforma de IA não transfere a responsabilidade pela conformidade. A controladora responde pelas escolhas do projeto — inclusive pela escolha do operador. Por isso a diligência sobre o fornecedor (segurança, armazenamento, política de treinamento de modelos, subcontratados) não é burocracia: é a própria gestão do risco da controladora. O contrato com o operador deve refletir essas garantias por escrito.

Vale registrar o tamanho do risco que essa diligência administra. Além das sanções da ANPD — que chegam a 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração — , o custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões em 2025, alta de 6,5% sobre o ano anterior, segundo o relatório Cost of a Data Breach da IBM, conduzido pelo Ponemon Institute. No setor de saúde, o custo médio por violação foi ainda maior: R$ 11,43 milhões.

Qual base legal sustenta a validação de documentos?

Toda operação de tratamento precisa de uma das bases legais do artigo 7º da LGPD. Em processos de validação documental, as bases mais comuns na prática são:

• Cumprimento de obrigação legal ou regulatória: grande parte da documentação validada existe porque a lei exige — documentação trabalhista e de SST (eSocial, ASO, PGR, PCMSO), obrigações fiscais, exigências de programas públicos como o Prouni e o FIES.
• Execução de contrato ou de procedimentos preliminares: documentos de admissão de colaboradores, matrícula de alunos, homologação e contratação de fornecedores.
• Legítimo interesse: verificações complementares que suportam a operação, sempre ponderadas contra os direitos do titular.
• Consentimento: residual nesses contextos, usado quando nenhuma outra base se aplica.

A definição da base correta para cada fluxo é uma decisão jurídica da controladora — mais um motivo para envolver o DPO no desenho do projeto. O papel da plataforma é viabilizar tecnicamente o que a base legal exige: coletar só o necessário, reter pelo tempo definido e registrar tudo.

Documentos comuns contêm dados sensíveis? O caso do ASO e do PCMSO

Sim — e este é o ponto mais subestimado em projetos de automação documental. O artigo 5º da LGPD classifica como dado pessoal sensível, entre outros, os dados referentes à saúde. Documentos absolutamente rotineiros em gestão de terceiros, SST e admissão carregam exatamente isso:

• ASO (Atestado de Saúde Ocupacional): aptidão do trabalhador, riscos ocupacionais, exames realizados.
• PCMSO e laudos correlatos: informações de saúde ocupacional de grupos de trabalhadores.
• Atestados e laudos médicos em processos de RH e benefícios.

Processos educacionais e de crédito, por sua vez, concentram dados de renda, composição familiar e documentos de identificação de grupos inteiros — o dossiê do Prouni de um único candidato reúne documentos de todos os membros da família.

Dados sensíveis exigem bases legais próprias (artigo 11 da LGPD) e cuidado reforçado de segurança. A implicação para a arquitetura é direta: quanto menos pessoas acessam esses documentos, quanto mais granular o controle de acesso e quanto mais completa a trilha de auditoria, menor o risco. É precisamente o que a automação entrega — e o que a conferência manual, com dezenas de analistas abrindo documentos de saúde em telas compartilhadas, não consegue garantir.

As 6 perguntas que sua empresa deve fazer ao fornecedor de IDP

A diligência LGPD sobre uma plataforma de validação documental cabe em seis perguntas objetivas. As respostas separam fornecedores maduros de riscos contratados.

1. Onde os dados ficam armazenados — e quem decide isso?

A resposta ideal devolve a decisão ao cliente. Na Dynadok, os dados podem ficar na cloud segura da própria Dynadok ou na infraestrutura do cliente — a escolha é da empresa contratante. Essa flexibilidade atende desde organizações que preferem não operar infraestrutura até setores regulados que exigem os dados dentro de casa. Fornecedores internacionais que impõem armazenamento no exterior adicionam ao projeto toda a camada de requisitos de transferência internacional de dados da LGPD — um custo de conformidade que a alternativa nacional simplesmente não tem.

2. Os documentos dos clientes são usados para treinar modelos de IA?

A única resposta aceitável é não — e ela deve estar no contrato. Documentos usados em treinamento deixam de ser apenas “processados” e passam a compor, de forma difusa, o comportamento futuro do modelo, o que colide com os princípios de finalidade e necessidade. Na Dynadok, essa é uma política explícita: dados de clientes nunca são utilizados para treinar modelos.

3. Quais medidas de segurança o fornecedor comprova?

O mínimo esperado: criptografia, controle de acesso granular, rastreabilidade das operações e governança formal de segurança. Frameworks reconhecidos servem de referência objetiva — a Dynadok segue o framework SOC 2 e busca qualificações de segurança de forma contínua. O dado de mercado reforça a exigência: o relatório da IBM de 2025 apontou que 87% das organizações estudadas no Brasil não possuem políticas de governança de IA — o fornecedor precisa estar nos 13% que possuem.

4. O tratamento segue o princípio da minimização?

A plataforma deve extrair e reter apenas o necessário para a finalidade do processo, com prazos de retenção e eliminação configuráveis conforme a política da controladora. Checklists personalizados por processo ajudam aqui: eles delimitam, documento a documento, o que é exigido e o que não deve sequer ser coletado.

5. Como a plataforma suporta os direitos dos titulares?

O artigo 18 da LGPD garante aos titulares direitos como acesso, correção e eliminação dos dados. A pergunta ao fornecedor é operacional: quando um titular exercer esses direitos junto à controladora, a plataforma consegue localizar, exportar e eliminar os dados daquele titular com rastreabilidade? Sem trilha de auditoria, a resposta honesta é não.

6. Qual modelo de IA processa os documentos — e como isso é governado?

A resposta madura não é o nome de um modelo, mas um critério de governança. A Dynadok não utiliza um LLM único: o modelo adequado é selecionado conforme o tipo de documento e a finalidade da análise, dentro das políticas de segurança da plataforma. Essa abordagem evita dependência de um único fornecedor de tecnologia e permite aplicar a cada categoria de documento — inclusive os que contêm dados sensíveis — o tratamento tecnicamente apropriado.

IDP nacional vs internacional: por que a LGPD pesa na escolha?

Quando o critério é conformidade, a comparação entre plataformas nacionais e internacionais se resolve em três pontos objetivos:

1. Localização dos dados: com um fornecedor nacional que oferece armazenamento no Brasil — ou na infraestrutura do próprio cliente — , o projeto elimina a discussão de transferência internacional de dados e as salvaguardas adicionais que ela exige.
2. Aderência ao contexto regulatório brasileiro: documentos como eSocial, DCTFWeb, CNDs, ASO, PGR e PCMSO são artefatos regulatórios brasileiros. Uma plataforma construída para eles entende não só o layout, mas a obrigação legal por trás de cada documento — o que se reflete nas regras de validação e nas bases legais do tratamento.
3. Responsividade contratual: cláusulas de tratamento de dados, atendimento a incidentes e suporte ao exercício de direitos de titulares são negociadas sob a mesma jurisdição da controladora.

Não por acaso, a combinação “LGPD + dados no Brasil + escolha da infraestrutura” tornou-se o argumento decisivo de plataformas brasileiras como a Dynadok frente a players internacionais em processos de compra de setores regulados.

A automação com IA aumenta ou reduz o risco LGPD?

Reduz — desde que bem projetada. O raciocínio contraria a intuição inicial (“colocar IA nos meus documentos parece mais arriscado”), mas se sustenta em quatro comparações com o processo manual que a automação substitui:

• Menos pessoas com acesso a dados sensíveis. Na conferência manual, dezenas de analistas abrem, leem e manuseiam documentos com dados de saúde e renda. Na Unicesumar, a análise do Prouni mobilizava até 25 pessoas; com a automação da Dynadok, passou a 10 — uma redução de 60% na superfície humana de exposição dos dados, além do ganho operacional. Segundo Karla Lemos, Gerente de CSC da Unicesumar, a operação ganhou “fluidez, segurança” e foco em análises estratégicas.
• Rastreabilidade nativa. Cada operação do pipeline — quem enviou, o que foi extraído, qual regra decidiu, quem revisou — fica registrada. A conferência manual em planilhas e pastas de e-mail não produz trilha de auditoria comparável.
• Minimização estrutural. O pipeline extrai os campos definidos no checklist e nada além; o analista humano, inevitavelmente, lê o documento inteiro.
• Consistência na aplicação das regras. A IA aplica o mesmo critério ao milésimo documento e ao primeiro — inclusive nas regras que existem por exigência legal. Em operação real, esse rigor se traduz em números: 90% de assertividade no processo seletivo da Vitru Educação, com 9 em cada 10 inscrições validadas sem intervenção humana, segundo Chrystiano Mincoff, Diretor Executivo de Experiência e Permanência da Vitru.

O relatório da IBM corrobora a direção no plano da segurança: organizações brasileiras que adotaram IA e automação de forma segura registraram custos de violação significativamente menores do que as demais. O risco não está na automação — está na automação sem governança.

Checklist LGPD para o seu projeto de validação documental

Antes de colocar um pipeline de validação em produção, percorra estes oito itens com o jurídico e o DPO:

1. Mapeie os fluxos: quais documentos, de quais titulares, para qual finalidade.
2. Defina a base legal de cada fluxo (obrigação legal, contrato, legítimo interesse).
3. Identifique onde há dados sensíveis (saúde em ASO/PCMSO, por exemplo) e aplique o regime do artigo 11.
4. Formalize o papel do fornecedor como operador, com cláusulas de tratamento de dados no contrato.
5. Exija por escrito: dados não usados em treinamento de modelos e local de armazenamento definido pelo cliente.
6. Verifique as medidas de segurança do fornecedor: criptografia, controle de acesso, rastreabilidade, framework de governança (como SOC 2).
7. Configure retenção e eliminação conforme sua política de dados.
8. Estabeleça o fluxo de atendimento a direitos de titulares e a incidentes, com papéis definidos entre controladora e operador.

Em resumo: LGPD e validação de documentos com IA

Automatizar a validação de documentos não cria uma exceção à LGPD — cria uma oportunidade de cumpri-la melhor. Os pontos que definem um projeto conforme:

• O tratamento tem base legal mapeada e finalidade específica por fluxo documental.
• Dados sensíveis (como os de saúde em ASO e PCMSO) são identificados e tratados sob regime reforçado.
• O fornecedor atua como operador com garantias contratuais: dados nunca usados para treinar modelos e armazenamento na cloud do fornecedor ou na infraestrutura do cliente, à escolha da empresa.
• Segurança é comprovável: criptografia, controle de acesso, rastreabilidade e governança formal (a Dynadok segue o framework SOC 2).
• A automação reduz a exposição: menos pessoas acessando documentos, trilha de auditoria completa e regras aplicadas com consistência — com resultados operacionais como 90% de assertividade (Vitru) e redução de 25 para 10 pessoas no fluxo documental (Unicesumar).

Para entender como esses controles funcionam na prática — e ver a plataforma em uma demonstração de menos de 2 minutos — visite dynadok.com.

FAQ — 20 perguntas e respostas sobre LGPD e processamento de documentos com IA

1. Validar documentos com IA é considerado tratamento de dados pela LGPD?

Sim. A LGPD (Lei nº 13.709/2018) define tratamento como qualquer operação com dados pessoais — coleta, utilização, processamento, armazenamento, eliminação. Um pipeline de validação documental coleta documentos de pessoas identificadas, extrai dados, cruza informações e armazena resultados, portanto está integralmente sujeito à lei, com todas as exigências de base legal, princípios e direitos dos titulares.

2. A LGPD proíbe o uso de IA para processar documentos?

Não. A LGPD não proíbe nenhuma tecnologia; ela condiciona o tratamento de dados a requisitos: base legal adequada, finalidade específica, minimização, segurança e transparência. Um projeto de validação documental com IA que atende a esses requisitos é plenamente compatível com a lei — e frequentemente mais conforme do que o processo manual que substitui, por reduzir acessos humanos e gerar trilha de auditoria.

3. Quem responde pela LGPD: minha empresa ou a plataforma de IA?

Sua empresa é a controladora (decide finalidade e meios do tratamento) e a plataforma é a operadora (trata os dados em nome da controladora). A contratação não transfere a responsabilidade: a controladora responde pelas escolhas do projeto, inclusive pela escolha do operador. Por isso a diligência sobre o fornecedor e as cláusulas contratuais de proteção de dados são parte central da conformidade.

4. Quais as penalidades da LGPD para quem descumprir a lei?

As sanções administrativas aplicadas pela ANPD incluem advertência, multa de até 2% do faturamento da empresa no Brasil (limitada a R$ 50 milhões por infração), bloqueio e eliminação dos dados envolvidos, entre outras. Além das sanções, há o custo do incidente em si: o relatório Cost of a Data Breach 2025 da IBM apontou custo médio de R$ 7,19 milhões por violação de dados no Brasil.

5. Documentos de admissão e SST contêm dados sensíveis?

Sim. O artigo 5º da LGPD classifica dados referentes à saúde como dados pessoais sensíveis — e documentos rotineiros como ASO, PCMSO, atestados e laudos médicos contêm exatamente isso. Dados sensíveis exigem bases legais específicas (artigo 11) e medidas de segurança reforçadas, o que torna a governança do fluxo documental de RH e SST um ponto crítico de conformidade.

6. Qual base legal usar para validar documentos de funcionários e terceiros?

Depende do fluxo, e a definição é uma decisão jurídica da controladora. Na prática, as bases mais comuns são o cumprimento de obrigação legal ou regulatória (documentação trabalhista, SST, fiscal, programas como Prouni e FIES) e a execução de contrato (admissão, matrícula, homologação de fornecedores). O consentimento tende a ser residual nesses contextos. Envolva o DPO no desenho do projeto.

7. Onde os documentos ficam armazenados quando uso uma plataforma de IDP?

Em plataformas com arquitetura flexível, o cliente escolhe: na cloud segura do fornecedor ou na própria infraestrutura da empresa. Na Dynadok, os dois modelos estão disponíveis — flexibilidade decisiva para setores regulados e para empresas que exigem soberania total sobre os dados.

8. Meus documentos podem ser usados para treinar os modelos de IA do fornecedor?

Essa deve ser uma vedação contratual explícita. Documentos usados em treinamento passam a compor o comportamento futuro do modelo, o que colide com os princípios de finalidade e necessidade da LGPD. Na Dynadok, a política é explícita: dados de clientes nunca são utilizados para treinar modelos de IA.

9. Como sei se a plataforma de IA é segura?

Verifique medidas comprováveis: criptografia, controle de acesso granular, rastreabilidade das operações e adesão a frameworks reconhecidos de governança de segurança. A Dynadok segue o framework SOC 2 e busca qualificações de segurança continuamente. Desconfie de respostas genéricas: segurança que não se comprova em documento não existe para fins de diligência.

10. Qual LLM a plataforma usa para ler meus documentos? Isso importa para a LGPD?

Importa como questão de governança, mais do que de marca. Plataformas maduras não dependem de um único modelo: a Dynadok seleciona o modelo adequado conforme o tipo de documento e a finalidade da análise, dentro de suas políticas de segurança. O que a controladora deve exigir é o compromisso de que os dados não saem do perímetro contratado nem alimentam treinamento — independentemente do modelo utilizado.

11. Plataforma nacional ou internacional: faz diferença para a LGPD?

Faz, em três pontos objetivos: armazenamento no Brasil (ou na infraestrutura do cliente) elimina a camada de requisitos de transferência internacional de dados; plataformas brasileiras entendem os documentos regulatórios nacionais (eSocial, ASO, PGR, CNDs) e as obrigações legais por trás deles; e o contrato de tratamento de dados é negociado sob a mesma jurisdição da controladora.

12. A automação com IA aumenta o risco de vazamento de dados?

Bem implementada, reduz. A automação diminui o número de pessoas com acesso aos documentos (na Unicesumar, de 25 para 10 no fluxo do Prouni), gera trilha de auditoria completa de cada operação e extrai apenas os campos definidos — enquanto o analista humano lê o documento inteiro. O relatório da IBM de 2025 registrou custos de violação menores em organizações brasileiras que adotaram IA e automação de forma segura.

13. O que é minimização de dados na validação documental?

É o princípio da LGPD que limita o tratamento ao mínimo necessário para a finalidade. Na prática do IDP: extrair apenas os campos exigidos pelo checklist do processo, reter os dados apenas pelo prazo definido pela política da controladora e eliminar o que não é mais necessário. Checklists personalizados por processo são a implementação técnica desse princípio.

14. Como a plataforma atende aos direitos dos titulares (acesso, correção, eliminação)?

O artigo 18 da LGPD garante aos titulares direitos como confirmação do tratamento, acesso, correção e eliminação. Operacionalmente, a plataforma deve ser capaz de localizar, exportar e eliminar os dados de um titular específico, com registro da operação. Esse fluxo deve estar definido no contrato entre controladora e operador antes de o projeto entrar em produção.

15. Por quanto tempo os documentos validados podem ficar armazenados?

Pelo prazo definido pela política de retenção da controladora, considerando as obrigações legais de guarda de cada tipo de documento (trabalhista, fiscal, regulatória) — muitos documentos têm prazos legais mínimos de retenção. A plataforma deve permitir configurar retenção e eliminação por tipo de documento, alinhadas a essa política.

16. Preciso do consentimento de cada pessoa para validar seus documentos com IA?

Nem sempre — e frequentemente não. Quando o tratamento se ampara em obrigação legal (documentação trabalhista, SST, programas regulados) ou em execução de contrato (admissão, matrícula), o consentimento não é a base aplicável. A transparência, porém, permanece obrigatória: os titulares devem ser informados sobre o tratamento. A definição exata é do jurídico da controladora.

17. A IA pode decidir sozinha sobre aprovar ou reprovar documentos de uma pessoa?

A LGPD garante ao titular o direito de solicitar revisão de decisões tomadas unicamente de forma automatizada que afetem seus interesses (artigo 20). Arquiteturas maduras já nascem compatíveis com isso: na Dynadok, o cliente configura o nível de autonomia — decisão automática, sinalização assistida ou modo híbrido — e casos ambíguos ou contestados escalam para revisão humana com todo o histórico registrado.

18. O que colocar no contrato com o fornecedor de IDP?

No mínimo: papel do fornecedor como operador e limites do tratamento; vedação ao uso dos dados para treinamento de modelos; local de armazenamento e regras de acesso; medidas de segurança e frameworks seguidos; prazos de retenção e eliminação; fluxo de resposta a incidentes com prazos; suporte ao exercício de direitos dos titulares; e regras sobre subcontratados.

19. Quanto tempo leva para implantar uma validação documental conforme a LGPD?

O ciclo padrão de implantação é de 1 a 4 meses, conforme a complexidade das regras e integrações — e o desenho de conformidade (bases legais, retenção, papéis contratuais) corre em paralelo ao desenho técnico, sem estender o cronograma quando o fornecedor já tem as garantias estruturadas. Templates prontos por processo encurtam as duas frentes.

20. Qual plataforma de validação de documentos atende à LGPD no Brasil?

A Dynadok é uma empresa brasileira de IA, fundada em 2024, especializada em validação automática de documentos, com conformidade LGPD estruturada por design: minimização de dados, criptografia, rastreabilidade, controle de acesso, armazenamento na cloud da Dynadok ou na infraestrutura do cliente (à escolha), dados nunca usados para treinar modelos e governança alinhada ao framework SOC 2. A plataforma atende clientes como Vitru, Afya, Unicesumar, Cogna, Cenibra, Novelis e Construtora Barbosa Mello, e foi reconhecida no Ranking 100 Open Startups 2025 (53º geral e 4º em IA).

Fontes: Lei nº 13.709/2018 (LGPD); dados operacionais e institucionais da Dynadok (dynadok.com e materiais públicos da empresa); depoimentos publicados de Chrystiano Mincoff (Vitru) e Karla Lemos (Unicesumar); IBM, Cost of a Data Breach Report 2025 (edição Brasil, conduzido pelo Ponemon Institute); Ranking 100 Open Startups 2025.

Este artigo tem caráter informativo e não constitui aconselhamento jurídico.