Projeto explicita proteção de dados usados por IA; texto ainda não é lei

Um projeto em análise na Câmara quer deixar expresso no Marco Civil da Internet que as regras de proteção e tratamento de dados alcançam operações realizadas por sistemas de inteligência artificial. O texto aprovado pela Comissão de Ciência, Tecnologia e Inovação mudou o caminho da proposta original: saiu a criação de auditorias algorítmicas preventivas na LGPD e entrou uma alteração pontual no Marco Civil.

O PL 6.706/2025, do deputado Amom Mandel, chegou à Comissão de Constituição e Justiça e de Cidadania em 8 de setembro. Na consulta realizada em 17 de setembro de 2026, aguardava designação de relator nesse colegiado. A aprovação anterior, em 12 de agosto, não transformou a proposta em lei nem criou uma nova obrigação imediatamente exigível das empresas.

Para o usuário, a principal cautela é outra: o projeto não significa que a utilização de dados pessoais por inteligência artificial esteja hoje fora da legislação. A discussão parlamentar busca explicitar uma incidência normativa. Direitos já existentes precisam ser examinados conforme a operação, o tipo de informação e as regras aplicáveis ao caso.

O que o substitutivo pretende mudar

O substitutivo apresentado pelo deputado Duda Ramos acrescenta um parágrafo ao artigo 11 do Marco Civil. O dispositivo proposto remete às disposições mencionadas no parágrafo terceiro desse artigo e afirma sua aplicação ao tratamento realizado por meio de sistemas de IA. É uma redação curta, sem um catálogo próprio de testes, certificações ou periodicidade de auditoria.

A mudança importa porque a ementa original do projeto continua identificando uma proposta sobre auditoria preventiva. Quem acompanha apenas o título da ficha legislativa pode perder a alteração aprovada pela comissão. Para saber o que está em discussão, é necessário comparar a versão apresentada, o parecer e o texto que recebeu os votos.

Um substitutivo é uma nova redação oferecida para ocupar o lugar da proposta examinada. Isso não impede mudanças posteriores. O conteúdo aprovado em uma comissão pode ser novamente discutido nas etapas seguintes, de acordo com o procedimento legislativo. Por essa razão, o acompanhamento deve trazer a data da consulta e o órgão responsável pela próxima análise.

O artigo 11 do Marco Civil da Internet disciplina a observância da legislação brasileira em determinadas operações de coleta, armazenamento, guarda e tratamento de registros, dados pessoais ou comunicações. O dispositivo considera a realização de pelo menos um desses atos no território nacional e contém regras relacionadas à oferta de serviços ao público brasileiro.

Seu parágrafo terceiro prevê informações que permitam verificar o cumprimento da legislação sobre coleta, guarda, armazenamento ou tratamento de dados e o respeito à privacidade e ao sigilo das comunicações. É a esse conjunto que a redação aprovada faz referência. O projeto não autoriza a divulgação irrestrita de bases pessoais ou de conversas dos usuários.

Também não seria correto concluir que a menção à IA elimina todas as discussões sobre alcance territorial ou sobre quem responde por uma operação. Um serviço pode envolver vários fornecedores e etapas. Identificar quem coleta a informação, quem determina seu uso e para onde ela é enviada continua sendo necessário para avaliar uma situação concreta.

A LGPD não depende do nome da tecnologia

A Lei Geral de Proteção de Dados Pessoais alcança o tratamento de informações relacionadas a pessoas identificadas ou identificáveis, observados seu campo de aplicação e suas exceções. A classificação não depende apenas de a ferramenta ser chamada de chatbot, mecanismo de recomendação ou inteligência artificial.

Finalidade, necessidade, segurança e transparência já integram a lei. O uso de dados pessoais precisa encontrar fundamento jurídico adequado. Consentimento é uma das hipóteses previstas, mas não a única; dados sensíveis possuem condições próprias. A existência de uma fotografia na internet, por exemplo, não esclarece sozinha toda a legalidade de um uso posterior.

Como exemplo hipotético, uma empresa recebe currículos para selecionar candidatos e depois decide utilizar esses documentos em outro serviço. É preciso examinar essa nova operação, as informações fornecidas às pessoas e seu fundamento. Chamar o segundo uso de inovação não dispensa a análise, assim como mencionar genericamente a LGPD não demonstra que todos os requisitos foram cumpridos.

Segundo a Agência Câmara, o texto original pretendia instituir auditorias preventivas em sistemas usados em decisões de alto impacto social. A justificativa era identificar discriminação e riscos antes que decisões automatizadas produzissem prejuízos.

O relator defendeu outro caminho. No parecer, apontou custos para provedores de menor porte e questionou a inserção de obrigações administrativas sobre algoritmos na LGPD. São argumentos apresentados no debate legislativo, e não conclusões de uma avaliação econômica realizada pelo Jornal da Justiça. O substitutivo optou pela referência expressa no Marco Civil.

A diferença tem consequência prática: explicitar que uma norma alcança determinada tecnologia não equivale a instituir um mecanismo novo de fiscalização periódica. Também não permite anunciar que empresas já estejam dispensadas de controles exigidos por outras regras. Cada obrigação precisa ser vinculada ao dispositivo que a estabelece e à atividade abrangida.

O que o usuário pode observar desde agora

Antes de fornecer informações a uma ferramenta, é útil identificar quem oferece o serviço e quais usos são descritos para os dados enviados. Uma conversa pode conter informações do próprio usuário e de terceiros. Contratos, documentos profissionais e registros de saúde exigem atenção ao contexto e às autorizações existentes.

Se houver dúvida sobre uma operação já realizada, um pedido objetivo facilita o atendimento: qual informação foi utilizada, para qual finalidade e por quem. Guardar a resposta e a versão do aviso de privacidade consultado ajuda a documentar a situação. Isso não significa que qualquer solicitação produzirá exclusão imediata ou acesso a todos os detalhes internos do sistema.

Outra distinção prática envolve enviar um documento para obter uma resposta e permitir sua reutilização em outros contextos. As duas situações não devem ser presumidas equivalentes. Como exemplo hipotético, um escritório contrata uma ferramenta para resumir contratos: precisa compreender se o fornecedor apenas executa esse serviço ou também prevê usos adicionais das informações. A pergunta é relevante mesmo quando a ferramenta promete segurança, porque segurança e finalidade respondem a problemas diferentes.

O próximo marco desta proposta será sua análise na CCJ. Até que a tramitação se conclua e exista eventual lei publicada, o texto deve ser apresentado como projeto. Para leitores e empresas, a informação central é acompanhar o que efetivamente mudou em cada versão, sem confundir uma explicitação legislativa com a criação de uma autorização geral para usar dados pessoais.