--- title: "Relatório de impacto para inteligência artificial e decisões automatizadas" description: "Sistema de inteligência artificial que decide sobre clientes exige avaliação de risco documentada. Veja o conteúdo do relatório e o que testar antes." url: "https://wikijuridica.com.br/lgpd/empresa-ripd-inteligencia-artificial-decisao-automatizada/" lang: "pt-BR" page_type: "artigo" author: name: "Rafael Toledo" legal_name: "Rafael Toledo da Silva Duarte" credential: "OAB/RJ 227191" profile: "https://wikijuridica.com.br/sobre/" same_as: - "https://www.linkedin.com/in/rafaeltoledoadvogado" reviewer: "Rafael Toledo" publisher: name: "Wiki Jurídica" same_as: - "https://www.instagram.com/wiki.juridica/" - "https://www.facebook.com/wikijuridica" date_published: "2026-08-06" date_modified: "2026-08-26" reviewed_at: "2026-08-26" version: "sha256:28c11b703a2956d5b3be1f40b69cfffdf248040a62869b393dbce910954e6772" license: "CC-BY-4.0" license_url: "https://creativecommons.org/licenses/by/4.0/" usage_policy: "https://wikijuridica.com.br/api/politica-de-uso.json" services: catalog: "https://wikijuridica.com.br/.well-known/ai-catalog.json" mcp: "https://wikijuridica.com.br/mcp" a2a: "https://wikijuridica.com.br/.well-known/agent-card.json" search: "https://wikijuridica.com.br/api/v1/search" openapi: "https://wikijuridica.com.br/openapi.json" citar: "https://wikijuridica.com.br/api/v1/citar" verificar citações: "https://wikijuridica.com.br/api/v1/citacoes" sources: - name: "Lei Geral de Proteção de Dados (Lei nº 13.709/2018), art. 20" url: "https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm" verified_at: "2026-08-04" claim: "texto oficial vigente do art. 20 da Lei 13.709/2018 (LGPD) | texto oficial vigente do art. 38 da Lei 13.709/2018 (LGPD)" --- > Índice do acervo > O mapa completo das páginas públicas está em https://wikijuridica.com.br/llms.txt > Consulte-o para descobrir as áreas e as páginas antes de navegar item a item. # Relatório de impacto para inteligência artificial e decisões automatizadas Por Rafael Toledo, OAB/RJ 227191 · revisado em 2026-08-26 Antes de ligar o modelo que vai aprovar crédito, priorizar atendimento ou recusar cadastro, alguém precisa responder por escrito a três perguntas: quais dados entram, que efeito a saída produz sobre a pessoa e o que acontece quando o sistema erra. O relatório de impacto é o documento em que essas respostas ficam registradas. Ele não é burocracia defensiva. É o artefato que permite responder à autoridade e ao titular sem improvisar — e, com frequência, é durante a elaboração que a empresa descobre um problema que sairia caro depois. ## Quando o relatório entra em cena O [art. 38](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm#art38) da [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) prevê que a autoridade nacional possa determinar ao controlador a elaboração de relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações, nos termos de regulamento e observados os segredos comercial e industrial. O parágrafo único fixa o conteúdo mínimo: descrição dos tipos de dados coletados, metodologia utilizada para a coleta e para a garantia da segurança das informações e análise do controlador quanto a medidas, salvaguardas e mecanismos de mitigação de risco. Na prática, esperar a determinação da autoridade é má estratégia. Tratamento de alto risco — decisão automatizada com efeito relevante, uso de dado sensível, larga escala, monitoramento sistemático — pede avaliação prévia documentada, e é essa documentação que sustenta a resposta quando a pergunta chegar. ## O direito do titular que o modelo precisa acomodar O art. 20 assegura ao titular solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluídas as destinadas a definir perfil pessoal, profissional, de consumo e de crédito ou aspectos da personalidade. O §1º obriga o controlador a fornecer, sempre que solicitadas, informações claras e adequadas sobre os critérios e os procedimentos utilizados na decisão automatizada, observados os segredos comercial e industrial. E o §2º prevê que, negada essa informação com base em segredo, a autoridade pode realizar auditoria para verificar aspectos discriminatórios. A consequência de projeto é direta: o sistema precisa nascer com trilha de auditoria, capacidade de explicar uma decisão específica e um fluxo de revisão operante. Modelo que não registra a decisão nem os fatores que a determinaram torna o direito do titular inexequível. ## O que documentar antes de ligar o sistema Descreva a finalidade concreta, não o objetivo comercial genérico. Liste as variáveis de entrada e sua origem, marcando as que são dado sensível ou que funcionam como proxy dele — território, nome, escola de origem e alguns padrões de consumo podem carregar informação sobre raça, religião ou condição de saúde sem que ninguém tenha decidido isso. Documente a base legal, o volume, os prazos de retenção dos dados de treinamento e das decisões, as medidas de segurança e a governança do modelo: quem aprova mudança de versão, quem monitora desempenho, com que frequência. Inclua os testes: verificação de resultados por grupo, análise de taxa de erro, avaliação de efeito adverso desproporcional. O princípio da não discriminação impede o tratamento para fins discriminatórios ilícitos ou abusivos, e demonstrá-lo exige medição, não declaração. ## Riscos típicos e mitigação correspondente Quatro riscos aparecem quase sempre. Discriminação indireta, mitigada por teste por subgrupo e por revisão das variáveis proxy. Opacidade, mitigada por documentação de critérios em linguagem compreensível e por trilha de decisão. Erro sistemático em população pouco representada nos dados de treinamento, mitigado por monitoramento e por caminho alternativo de atendimento. E uso além da finalidade, mitigado por restrição técnica de acesso e por revisão de contrato com o fornecedor do modelo. Para cada risco, registre a medida adotada, o responsável e a data. Relatório que lista riscos sem mitigação atribuída é diagnóstico, não avaliação de impacto. Exemplo: uma seguradora adota modelo de priorização de sinistros e descobre, no teste por subgrupo, que pedidos de determinada faixa etária eram sistematicamente empurrados para análise manual demorada. O ajuste foi feito antes do lançamento — e a documentação do achado passou a ser, ela própria, prova de diligência. ## Revisão, versionamento e limites Modelo muda; relatório precisa mudar junto. Estabeleça revisão a cada nova versão relevante, a cada inclusão de fonte de dados e periodicamente, mesmo sem alteração — desempenho degrada com o tempo. Seja realista sobre o que o documento não faz: ele não legitima tratamento sem base legal, não transforma dado obtido irregularmente em ativo utilizável e não substitui o direito de revisão do titular. Empresa que elabora relatório impecável sobre uma base montada sem fundamento apenas documenta melhor o próprio problema. Conduzir essa avaliação exige articular jurídico, área técnica e negócio, com leitura crítica das variáveis e do contrato com o fornecedor do sistema — trabalho que costuma ser feito por advogado em regime remoto, sobre a documentação técnica que a empresa já produz. ## Perguntas frequentes ### Usar modelo de fornecedor externo dispensa a empresa do relatório? Não. Quem decide a finalidade e aplica a decisão sobre pessoas é controlador, e responde pela avaliação de risco ainda que o modelo seja de terceiro — o que muda é a necessidade de obter informação do fornecedor. ### O relatório precisa ser publicado? A lei não impõe publicação. Ele é documento interno que pode ser exigido pela autoridade, e a divulgação de versão resumida é escolha de transparência, não obrigação. ## Proveniência - [Lei Geral de Proteção de Dados (Lei nº 13.709/2018), art. 20](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm) — verificado em 2026-08-04 · Fonte oficial usada como referência e proveniência. - Sustenta nesta página: texto oficial vigente do art. 20 da Lei 13.709/2018 (LGPD) | texto oficial vigente do art. 38 da Lei 13.709/2018 (LGPD) --- Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso. ## Conteúdos relacionados - [Registro das operações de tratamento: como montar](https://wikijuridica.com.br/lgpd/registro-operacoes-ropa/index.md) - [RIPD: quando o relatório de impacto é obrigatório](https://wikijuridica.com.br/lgpd/ripd-quando-obrigatorio/index.md) - [ANPD suspendeu o tratamento: como cumprir e impugnar](https://wikijuridica.com.br/lgpd/empresa-medida-preventiva-anpd-suspensao/index.md) - [Reconhecimento facial recusou minha conta digital](https://wikijuridica.com.br/lgpd/fintech-liveness-facial-recusa-abertura-conta/index.md) - [Navegação usada no score de crédito: pode?](https://wikijuridica.com.br/lgpd/navegacao-compartilhada-biro-credito/index.md) - [Relatório de impacto (RIPD): avaliar riscos de tratamento](https://wikijuridica.com.br/glossario/ripd-relatorio-impacto/index.md) - [Rede social jurídica do portal: dúvidas do público e comentários de advogados inscritos na OAB](https://wikijuridica.com.br/redesocial/index.md) - [Página deste tema na rede social do portal](https://wikijuridica.com.br/redesocial/tema/lgpd/empresa-ripd-inteligencia-artificial-decisao-automatizada/index.md) Conteúdo de autoria de Rafael Toledo, advogado responsável técnico pela publicação, elaborado a partir de fontes oficiais verificadas e citadas. ## Como citar esta página Rafael Toledo, OAB/RJ 227191. Relatório de impacto para inteligência artificial e decisões automatizadas. Wiki Jurídica. 2026-08-26. https://wikijuridica.com.br/lgpd/empresa-ripd-inteligencia-artificial-decisao-automatizada/ Versão do conteúdo: sha256:28c11b703a2956d5b3be1f40b69cfffdf248040a62869b393dbce910954e6772 Os mesmos dados em CSL-JSON, o formato que processadores de citação leem sem interpretar texto: ```json { "id": "wikijuridica-com-br-lgpd-empresa-ripd-inteligencia-artificial-decisao-automatizada", "type": "webpage", "title": "Relatório de impacto para inteligência artificial e decisões automatizadas", "container-title": "Wiki Jurídica", "publisher": "Wiki Jurídica", "author": [{"literal": "Rafael Toledo, OAB/RJ 227191"}], "issued": {"date-parts": [[2026, 8, 26]]}, "URL": "https://wikijuridica.com.br/lgpd/empresa-ripd-inteligencia-artificial-decisao-automatizada/", "language": "pt-BR", "version": "sha256:28c11b703a2956d5b3be1f40b69cfffdf248040a62869b393dbce910954e6772", "note": "Licença CC-BY-4.0 — https://creativecommons.org/licenses/by/4.0/" } ``` Versão canônica: