A pergunta que ouvimos com mais frequência não é "podemos usar IA generativa?" — é "estamos usando de um jeito que não vira problema depois?"
A LGPD não foi escrita pensando em IA generativa especificamente, mas ela já cobre a maior parte do que importa: qualquer dado pessoal que passa por um prompt, por um pipeline de RAG ou por um agente que lê e-mails da empresa está sujeito à lei, ponto final.
O que muda na prática
Dado que sai da empresa. Quando um funcionário cola um trecho de contrato num chat de IA generativa hospedado por terceiros, esse dado saiu do perímetro da empresa — e pode incluir dado pessoal de cliente, fornecedor ou colaborador sem que ninguém tenha pensado nisso como compartilhamento de dados.
Base legal para treinar ou ajustar modelos. Usar dados reais de clientes para ajustar um modelo ou alimentar um sistema de RAG exige a mesma pergunta de sempre: qual é a base legal? Decisões automatizadas que afetam pessoas têm regras próprias (Art. 20 da LGPD).
Explicabilidade quando o agente decide algo. Se um agente de IA nega um pedido ou recomenda uma ação que afeta uma pessoa, ela tem direito a pedir revisão humana e explicação sobre os critérios usados.
O erro mais comum que vemos
Empresas tratam a adoção de IA generativa como decisão de ferramenta quando na verdade é uma decisão de governança de dados. A ferramenta certa sem inventário de onde o dado circula é o mesmo risco, só que mais rápido.
Nossa visão
Isso é exatamente onde a arquitetura cyborg entra: humanos definem onde a IA pode e não pode tocar dado sensível; a IA executa dentro desses limites, não decide sozinha onde eles ficam.
Se sua empresa já usa IA generativa no dia a dia e ninguém mapeou isso do ponto de vista de dados, essa é a lacuna mais barata de fechar agora — e a mais cara de ignorar depois.