IA responsável na administração pública: o mapa de riscos de LGPD, LAI, viés e supervisão humana, com um checklist e uma matriz de risco para o gestor liderar a adoção.
Especialista em inteligência artificial e transformação digital. Mais de 10 anos ajudando empresas brasileiras a implementar soluções de analytics e IA.
Imagine um órgão que decide acelerar a análise de um benefício social com ajuda de IA. Um servidor cola no assistente os dados do requerente, incluindo CPF, renda e composição familiar, e pede uma recomendação de deferimento. A resposta sai em segundos, bem escrita, convincente. O problema é que quatro coisas aconteceram ao mesmo tempo, e nenhuma delas aparece no texto: dado pessoal sensível saiu para uma ferramenta externa, a base legal do tratamento não foi verificada, ninguém sabe explicar por que a recomendação foi aquela, e o cidadão nunca ficará sabendo que uma máquina opinou sobre o seu caso. A conta desse cenário, todo hipotético, é o que este post ajuda a evitar.
IA responsável na administração pública não é um freio para quem quer inovar. É a condição que torna a inovação sustentável, porque no serviço público a decisão que afeta o cidadão precisa ser legal, motivada e passível de controle, com ou sem IA no meio. O gestor que trata governança como enfeite adota rápido e trava feio no primeiro questionamento. O que entende o mapa de riscos adota com segurança e não recua.
Este texto é esse mapa. Vou percorrer o que a LGPD exige de quem usa IA com dados de cidadãos, o que a transparência e a Lei de Acesso pedem quando a IA entra num ato administrativo, por que viés e explicabilidade tornam a supervisão humana inegociável, onde o Brasil já se posicionou em regulação, e como transformar tudo isso em duas ferramentas práticas: uma matriz de risco e um checklist de uso responsável. O fio é sempre o mesmo, e é o oposto do medo: saber o risco é o que permite usar a ferramenta sem susto.
Quando ensino gestores públicos na disciplina de Inovação e Inteligência Artificial de um MBA de Gestão Pública, a primeira resistência que aparece não é técnica, é de postura. Metade da sala acha que responsabilidade e inovação puxam para lados opostos, que cuidar de LGPD e de transparência é o jeito burocrático de dizer não. É o contrário. No setor privado, um erro de IA é prejuízo; no setor público, é ilegalidade, dano a direito e responsabilização pessoal de quem assinou. Justamente por isso, o cuidado não atrasa a adoção, ele a viabiliza.
A boa notícia é que o servidor já sabe operar sob restrição. Legalidade, motivação, publicidade e impessoalidade são o terreno natural de quem trabalha na administração. Usar IA com responsabilidade é aplicar esses mesmos princípios a uma ferramenta nova, não aprender uma disciplina do zero.
O primeiro risco, e o mais frequente, mora na porta de entrada da ferramenta: o que você digita nela. A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) rege como o órgão pode tratar dados pessoais, e colar informação de um cidadão num assistente público de IA é uma forma de tratamento como qualquer outra. Não deixa de valer a lei porque a interface parece uma conversa.
Na prática, três perguntas resolvem a maior parte dos casos. A primeira: existe base legal para esse tratamento? O órgão trata dado pessoal amparado em hipóteses da lei, como a execução de política pública ou o cumprimento de obrigação legal, e não por conveniência do momento. A segunda: essa ferramenta específica pode receber esse dado? Um assistente público gratuito pode usar o que você digita para treinar seus modelos, o que significa mandar informação de cidadão para fora do controle do órgão. A terceira: dá para não expor o dado? Quase sempre dá. Anonimizar antes de pedir, trocando nome, CPF e endereço por marcadores genéricos, deixa o modelo trabalhar na estrutura do texto sem receber a identidade de ninguém, e essa própria substituição faz parte de escrever um bom comando, tema que detalhei na engenharia de prompts para o setor público.
Dado pessoal de cidadão colado numa ferramenta pública de IA sem base legal e sem avaliação é tratamento irregular, e a responsabilidade é do servidor e do órgão, não do fornecedor da ferramenta.
A regra que ensino cabe em uma linha: se o dado identifica uma pessoa e você não tem certeza de que pode expô-lo, não exponha. Anonimize, use uma solução contratada com garantias de tratamento, ou mantenha aquele caso fora da ferramenta. O improviso com dado sensível é o erro que a LGPD menos perdoa.
O segundo risco não está na entrada, está na saída, quando o texto gerado vira ato. Todo ato administrativo precisa de motivação: o cidadão tem direito de saber por que a administração decidiu o que decidiu. A Lei de Acesso à Informação (Lei nº 12.527/2011) reforça a transparência como regra e o sigilo como exceção. Uma decisão cuja fundamentação real é "o assistente sugeriu" não tem motivação, tem aparência de motivação.
Isso não proíbe usar IA para redigir. Proíbe terceirizar a motivação para ela. Se a IA ajudou a estruturar um parecer, a fundamentação continua sendo o raciocínio do servidor, verificado e assumido por ele, e não o texto que a máquina achou mais provável.
Uma decisão que ninguém consegue explicar não é uma decisão eficiente, é uma decisão sem dono.
Há ainda um direito específico que o gestor precisa conhecer. A LGPD assegura ao titular a possibilidade de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Traduzindo para o balcão: se um sistema automatizado nega um pedido, o cidadão pode pedir que uma pessoa revise. Um processo que não tem esse ponto de revisão humana previsto já nasce em desacordo com a lei.
O terceiro risco é o mais silencioso, porque não trava a ferramenta, ele contamina o resultado sem avisar. Modelos de IA aprendem com textos e dados produzidos por pessoas, e herdam os vieses desse material. Num uso que toca direitos, priorizar fiscalização, ordenar uma fila de atendimento, sugerir o desfecho de um requerimento, um viés herdado deixa de ser curiosidade técnica e vira tratamento desigual de cidadão, exatamente o que a impessoalidade proíbe.
Some a isso a explicabilidade. Muitos modelos entregam a conclusão sem entregar o caminho: acertam com frequência, mas não mostram o raciocínio de forma auditável. No setor privado, dá para conviver com isso em várias tarefas. No setor público, uma decisão que afeta direito e não pode ser explicada é uma decisão que não deveria ter sido tomada assim. É por isso que a supervisão humana não é um capricho de cautela: é o que mantém a decisão sob responsabilidade de alguém que pode motivá-la e respondê-la.
A ideia que organiza tudo isso é a do humano no circuito. Quanto mais a aplicação se aproxima de decidir sobre uma pessoa, mais perto e mais ativo o servidor precisa estar, com poder real de discordar da máquina e reverter. A IA sugere, organiza, adianta o rascunho. Quem decide, motiva e assina continua sendo gente. Terceirizar isso para o modelo não é modernizar o serviço público, é abrir mão do que o justifica.
Nada disso é vácuo normativo à espera de regra. O país já traçou direção. A Estratégia Brasileira de Inteligência Artificial (EBIA) fixou eixos de atuação, entre eles o uso ético e a IA no setor público, e o Plano Brasileiro de Inteligência Artificial (PBIA 2024-2028) trouxe metas e investimentos, incluindo aplicações no próprio governo. São o pano de fundo de política pública em que a adoção do seu órgão se encaixa.
No Congresso, o marco específico avança. O PL nº 2.338/2023, aprovado pelo plenário do Senado e em tramitação na Câmara dos Deputados, propõe organizar o uso de IA por nível de risco, com deveres reforçados para aplicações de alto risco, categoria em que muito uso público se encaixaria. Vale acompanhar, porque tende a virar régua. E até virar lei, o uso de IA no órgão já está sujeito à LGPD, à Lei de Acesso e aos princípios da Lei do Governo Digital (Lei nº 14.129/2021), que valem desde já. Órgãos de controle como o TCU e a CGU também vêm sinalizando atenção crescente ao tema, o que reforça que uso responsável não é liberalidade, é o que resiste à auditoria.
Se você quer o retrato mais amplo desse marco e de como a IA se encaixa na agenda do Governo Digital, ele está no guia do gestor para começar com IA generativa, o texto de abertura desta série. E para a governança fora do recorte público, vale a leitura sobre IA responsável e governança no contexto geral.
Uso responsável não sobrevive só na boa vontade de cada servidor. Precisa virar regra do órgão. Sem orientação, a adoção acontece assim mesmo, só que informal e invisível: gente colando o que não devia em ferramenta nenhuma deveria receber, sem ninguém para dizer o contrário. O vácuo de política não impede o uso de IA, ele apenas garante que o uso seja o mais arriscado possível.
Uma política institucional de uso de IA não precisa ser um calhamaço. Precisa responder, em linguagem clara, ao que o servidor pergunta na hora do uso: quais ferramentas são autorizadas e para quê, que tipo de informação nunca pode ser inserida, quando a revisão humana é obrigatória, como anonimizar antes de pedir, e a quem recorrer na dúvida. Do lado da segurança da informação, ela estende para a nova porta que a IA abriu o mesmo cuidado que o órgão já dedica ao dado sigiloso. Uma política curta que as pessoas leem e seguem vale mais que um manual extenso que ninguém abre.
Para sair do princípio e chegar à prática, duas ferramentas resolvem quase tudo. A primeira é uma matriz de classificação de risco: antes de usar IA numa tarefa, o servidor classifica a aplicação por quanto ela afeta direitos, e o nível de risco define a cautela e a supervisão exigidas. A lógica é a mesma que o marco regulatório em discussão adota, e ela cabe no dia a dia sem virar burocracia.
Baixo risco (comunicação interna, resumo de material público): revisão simples basta. Médio risco (rascunho de documento que vira ato, análise de norma): revisão criteriosa e conferência na fonte. Alto risco (qualquer uso que decida ou influa em direito do cidadão): supervisão humana ativa, base legal verificada e capacidade de explicar e reverter.
A régua é direta: quanto mais a tarefa se aproxima de decidir sobre uma pessoa, mais alto o risco e mais forte a supervisão. Rascunhar um comunicado interno é baixo risco e libera o servidor para outra coisa. Usar IA para influir em quem recebe um benefício ou em quem é fiscalizado é alto risco e exige o humano no circuito o tempo todo, sem atalho.
A segunda ferramenta é um checklist rápido, para rodar antes de apertar enviar em qualquer uso que não seja trivial:
Nenhum desses itens exige conhecimento técnico. Exige o senso crítico que o servidor já usa para não assinar embaixo do que não conferiu. A IA só torna o hábito mais necessário, porque a ferramenta produz com uma fluência que engana quem baixa a guarda.
Como regra, não em ferramentas públicas e gratuitas, que podem usar o que você digita para treinar modelos. O caminho responsável é anonimizar antes de pedir, trocando dados que identificam a pessoa por marcadores genéricos, ou usar uma solução contratada com garantias de tratamento e base legal avaliada. A responsabilidade pelo tratamento é do servidor e do órgão, e a LGPD se aplica mesmo quando a interface parece só uma conversa.
Não. A IA pode ajudar a redigir e a organizar, mas a motivação do ato é o raciocínio do servidor, verificado e assumido por ele. Uma fundamentação que se resume a "o assistente sugeriu" não é motivação e não sustenta o ato diante de um questionamento. Quem decide, motiva e assina continua sendo a pessoa competente para o ato.
A transparência é a regra na administração, e decisões que afetam direitos precisam ser explicáveis e revisáveis. Além disso, a LGPD assegura ao cidadão pedir revisão humana de decisão tomada unicamente por tratamento automatizado. Um processo que envolve IA e afeta direito precisa ter esse ponto de revisão previsto, e a lógica da decisão precisa poder ser reconstruída se questionada.
Pergunte quanto aquela tarefa afeta direitos. Se o erro é pego numa revisão simples e não atinge o cidadão, é baixo risco. Se o resultado vira ato, é médio e pede conferência na fonte. Se a aplicação decide ou influi em direito de alguém, é alto risco e exige supervisão humana ativa, base legal verificada e capacidade de explicar e reverter a decisão.
A LGPD já garante ao cidadão o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Some-se a isso a exigência de motivação dos atos e a transparência da Lei de Acesso. O PL nº 2.338/2023, em tramitação, tende a detalhar deveres específicos para IA de alto risco, mas o dever de explicar e revisar decisões que afetam direitos já existe hoje.
O gestor que enxerga LGPD, transparência e supervisão humana como obstáculos vai adotar IA na base do improviso e recuar no primeiro susto, porque construiu sobre risco que não mapeou. O que trata esses temas como o próprio terreno da administração pública faz o contrário: adota com método, sabe onde pode acelerar e onde precisa pisar com cuidado, e sustenta a inovação quando ela é questionada, que no serviço público é sempre.
Essa segurança não vem de decorar leis nem de temer a tecnologia. Vem de formar equipes que sabem classificar risco, anonimizar por reflexo, exigir a revisão humana no lugar certo e explicar o que a IA ajudou a produzir. É uma competência de julgamento, e julgamento se ensina e se pratica em situações reais do órgão, não em teoria solta.
Quer preparar sua equipe de servidores para adotar IA com responsabilidade, dominando LGPD, transparência e supervisão humana na prática? Conheça os programas de capacitação da Waxi. Trago para a sala de aula a experiência de ensinar gestores públicos a usar IA com senso crítico na disciplina de Inovação e Inteligência Artificial de um MBA em Gestão Pública e em cursos de IA e inovação.
Engenharia de prompts para o setor público: aprenda a escrever instruções que geram ofícios, pareceres e respostas ao cidadão melhores, com exemplos reais.
IA generativa no setor público: entenda o que a tecnologia faz, onde ela falha e como o gestor pode liderar a adoção com senso crítico e responsabilidade.
Entenda porque a governança de IA é essencial para o sucesso de seus projetos. Exploramos princípios éticos, riscos, frameworks e passos práticos para aplicar IA com responsabilidade.
