LGPD e IA: O que é Zero Data Retention e Por que Importa
Entenda como o Zero Data Retention protege seus dados ao usar inteligência artificial e por que isso é essencial para conformidade com a LGPD em empresas brasileiras.
O problema: IA e dados sensíveis
Quando uma empresa usa inteligência artificial para analisar dados — financeiros, operacionais, de clientes — esses dados são enviados para um provedor de IA (Anthropic, OpenAI, Google) para processamento. A pergunta natural é: o que acontece com esses dados depois?
Sem garantias contratuais, provedores de IA podem:
- Armazenar os dados por tempo indeterminado
- Usar os dados para treinar e melhorar seus modelos
- Permitir que funcionários acessem os dados para revisão de qualidade
Para empresas brasileiras sujeitas à LGPD, isso é um problema sério. A lei exige base legal para tratamento, minimização de dados e transparência sobre compartilhamento com terceiros.
O que é Zero Data Retention (ZDR)
Zero Data Retention é uma política contratual onde o provedor de IA se compromete a:
- Não armazenar os dados enviados após o processamento
- Não usar os dados para treinar ou melhorar modelos
- Não permitir acesso humano aos dados para revisão
- Descartar os dados imediatamente após gerar a resposta
Na prática, com ZDR ativado, o provedor de IA funciona como um "processador efêmero" — recebe os dados, gera a resposta e esquece tudo. Nenhum rastro permanece nos servidores do provedor.
ZDR e a LGPD: por que é essencial
A LGPD (Lei 13.709/2018) estabelece princípios que o ZDR ajuda a cumprir:
- Finalidade (art. 6º, I): dados são processados apenas para a finalidade específica (gerar a análise) e descartados em seguida.
- Necessidade (art. 6º, III): minimização do tratamento — dados não ficam armazenados além do necessário.
- Segurança (art. 6º, VII): sem armazenamento, não há risco de vazamento nos servidores do provedor.
- Responsabilização (art. 6º, X): o controlador pode demonstrar que adotou medidas técnicas para proteger os dados.
Quais provedores oferecem ZDR
Os principais provedores de IA oferecem ZDR em seus planos empresariais:
- Anthropic (Claude): ZDR via API com header específico
- OpenAI (GPT-4): ZDR em planos Enterprise e via API com opt-out
- Google (Gemini): ZDR via Vertex AI com configuração de projeto
Plataformas intermediárias como o OpenRouter permitem ativar ZDR de forma unificada para qualquer modelo, simplificando a gestão.
ZDR não é suficiente sozinho
Zero Data Retention protege os dados no provedor de IA, mas uma estratégia completa de privacidade precisa cobrir toda a cadeia:
- Armazenamento: criptografia em repouso nos seus servidores
- Trânsito: TLS 1.3 em todas as comunicações
- Acesso: controle por roles, MFA, sessão única
- Isolamento: multi-tenant com separação física de dados
- Auditoria: log de todas as operações sobre dados pessoais
- Direitos do titular: canal para acesso, correção e exclusão
Como verificar se sua plataforma usa ZDR
Ao avaliar uma plataforma de IA para sua empresa, pergunte:
- Os provedores de IA operam em modo Zero Data Retention?
- Existe documentação ou contrato que comprove o ZDR?
- O header/configuração de ZDR é aplicado em todas as chamadas?
- Existe DPA (Data Processing Agreement) disponível?
- Como é feita a auditoria do cumprimento do ZDR?
Conclusão
Zero Data Retention é o padrão mínimo para empresas que querem usar IA com dados sensíveis de forma responsável. Combinado com criptografia, isolamento e controle de acesso, o ZDR permite aproveitar o poder da inteligência artificial sem comprometer a privacidade dos dados nem a conformidade com a LGPD.