A LGPD completou oito anos nesta semana (a lei foi sancionada em 14 de agosto de 2018), e o aniversário chegou acompanhado de um lembrete prático do que isso significa hoje: não basta ter uma política de privacidade guardada na gaveta, é preciso conseguir demonstrar que ela funciona quando algo dá errado. A LATAM viveu esse teste de perto. A empresa identificou, no fim de julho, uma falha de segurança que expôs dados de uma parte dos clientes do programa de fidelidade Latam Pass: nome, e-mail, telefone, endereço, saldo de milhas e parte dos números de cartão de crédito. Em 19 de agosto, comunicou publicamente o ocorrido, notificou os clientes afetados e também a Autoridade Nacional de Proteção de Dados (ANPD), como manda a lei.
No mesmo período, a ANPD reuniu, em Brasília, encarregados de proteção de dados de órgãos públicos e privados no seu 3º Encontro de Encarregados. A pauta central não foi burocracia: foi inteligência artificial generativa, resposta a incidentes de segurança e a relação entre a LGPD e o novo Estatuto Digital da Criança e do Adolescente. É um sinal razoavelmente claro de para onde a autoridade está olhando nos próximos meses.
Enquanto isso, no Congresso, uma comissão da Câmara aprovou um texto que estende regras de proteção de dados aos sistemas de inteligência artificial: mas, no caminho, retirou a exigência de auditoria prévia obrigatória para sistemas de IA usados em decisões que afetam muita gente. O argumento foi o custo dessa auditoria para empresas menores. O projeto ainda precisa passar por mais etapas antes de virar lei, mas o movimento importa: mostra que o desenho da futura regulação de IA no Brasil pode não trazer, pelo menos por enquanto, um controle prévio obrigatório sobre esses sistemas: o que não significa ausência de responsabilidade, só significa que ela pode continuar sendo apurada depois, e não antes.
Por trás dessas notícias, uma mesma tensão: entre demonstrar proteção de dados na prática (o teste que a LATAM enfrentou) e regular preventivamente os sistemas que criam esse risco (o debate que o Congresso está tendo agora). Não são a mesma obrigação nem produzem os mesmos efeitos jurídicos, mas caminham na mesma direção: a de que gerir dados e sistemas de IA deixou de ser tarefa só de compliance formal.