Decisões automatizadas e LGPD: direitos do titular e obrigações da organização

O uso de algoritmos para tomar decisões que afetam pessoas — aprovar ou negar crédito, selecionar candidatos, calcular prêmios de seguro, determinar preços, acionar sistemas de detecção de fraude — é uma realidade disseminada no Brasil. E desde 2020, quando a LGPD entrou em vigor, essas decisões estão sujeitas a um direito específico: o direito de revisão previsto no Art. 20.

Este artigo vai além da introdução ao tema. Analisa o Art. 20 em profundidade — o que a lei exige, o que as organizações precisam implementar e quais são os desafios técnicos de conformidade.

O que é uma decisão automatizada para fins do Art. 20

O Art. 20 da LGPD estabelece que o titular tem o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses — incluindo decisões destinadas a definir seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.

A palavra-chave é "unicamente". Para que o Art. 20 se aplique na sua plenitude, a decisão deve ter sido tomada exclusivamente pelo algoritmo — sem revisão humana real e substantiva do caso específico.

O que não é "decisão unicamente automatizada"

Há situações em que o algoritmo participa, mas a decisão não é "unicamente" automatizada:

Um gerente de banco que revisa a recomendação de score do sistema antes de decidir sobre crédito
Um recrutador que usa triagem de IA mas avalia individualmente os candidatos finalistas
Um analista de fraudes que confirma alertas automáticos antes de bloquear uma conta

Atenção: o que importa é se houve revisão humana real, não formal. Se o humano simplesmente chancela a decisão do sistema sem análise independente, a decisão ainda é, na prática, puramente automatizada — e o Art. 20 provavelmente se aplica.

O que são decisões que "afetam os interesses" do titular

A lei não exige que a decisão cause dano grave — basta que afete os interesses do titular. Decisões que se enquadram:

Concessão, negação ou limitação de crédito
Contratação ou rejeição em processo seletivo
Cálculo diferenciado de prêmio de seguro
Precificação diferenciada por perfil comportamental
Bloqueio ou suspensão de conta em plataforma
Determinação de elegibilidade para benefícios
Moderação de conteúdo com consequências ao usuário

Os direitos do titular sob o Art. 20

O Art. 20 garante ao titular dois direitos principais:

1. Direito de solicitar revisão da decisão (Art. 20, caput)

O titular pode solicitar que a decisão automatizada seja revisada por um ser humano. Não é um direito de obter uma decisão diferente — é o direito de ter um humano competente reavaliando o caso com atenção ao indivíduo específico, não apenas ao perfil estatístico.

O controlador deve:

Ter um processo definido para receber e processar solicitações de revisão
Designar quem conduz a revisão, com autoridade real para alterar a decisão
Responder dentro do prazo do Art. 19 (até 15 dias para resposta completa)
Comunicar o resultado da revisão ao titular

2. Direito de obter informações sobre critérios e procedimentos (Art. 20, §1º)

O titular pode solicitar "informações claras e adequadas a respeito dos critérios e dos procedimentos usados para a decisão automatizada".

Isso implica uma obrigação de explicabilidade — o controlador deve ser capaz de descrever, em linguagem compreensível:

Quais dados foram utilizados na decisão
Como esses dados influenciaram o resultado
Quais características do titular pesaram na decisão
Qual foi a lógica geral do processo

Limite legal e salvaguarda: o Art. 20, §2º estabelece que, quando o controlador não fornecer as informações do §1º por razões de segredo comercial e industrial, a ANPD poderá realizar auditoria para verificar a existência de aspectos discriminatórios no tratamento automatizado. Isso significa que o segredo comercial não é uma barreira absoluta: a ANPD tem poderes para inspecionar o sistema quando a proteção do segredo for invocada.

A obrigação de explicabilidade na prática

A exigência do Art. 20, §1º cria um desafio técnico real: modelos de machine learning complexos — especialmente redes neurais profundas — são frequentemente "caixas-pretas" cujas decisões são difíceis de explicar em termos compreensíveis.

O problema dos modelos black-box

Um modelo de crédito baseado em regressão logística pode explicar claramente "sua proposta foi negada porque seu índice de comprometimento de renda está acima do limite estabelecido". Um modelo de deep learning com centenas de variáveis e milhares de parâmetros não consegue oferecer essa explicação diretamente.

Técnicas de explicabilidade

Há abordagens desenvolvidas especificamente para tornar modelos opacos mais explicáveis:

LIME (Local Interpretable Model-agnostic Explanations): Gera uma explicação local para uma decisão específica, identificando quais features mais influenciaram aquele output individual.

SHAP (SHapley Additive exPlanations): Calcula a contribuição de cada feature para uma previsão específica, com base em teoria dos jogos cooperativos. Produz explicações consistentes e matematicamente fundamentadas.

Essas técnicas permitem que um sistema de decisão automatizada produza, para cada decisão individual, uma lista das principais razões que levaram àquele resultado — informação que pode ser comunicada ao titular de forma compreensível.

Implicação para compliance: organizações que utilizam modelos complexos para decisões que afetam titulares devem avaliar se têm capacidade de gerar explicações individuais. Se não têm, precisam implementar essa capacidade ou migrar para modelos mais interpretáveis para os casos de maior impacto.

Perfilamento (profiling) e o Art. 20

O Art. 20 menciona explicitamente decisões "destinadas a definir o perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade" — o que abrange o conceito de perfilamento.

Perfilamento é o tratamento automatizado de dados pessoais para avaliar aspectos pessoais de um indivíduo — particularmente para analisar ou prever comportamento, preferências, confiabilidade, situação financeira e outros aspectos. Sistemas comuns no Brasil:

Score de crédito (Serasa, SPC, modelos proprietários de bancos)
Perfil comportamental em plataformas de e-commerce
Perfil de risco em sistemas de seguro
Perfil de candidato em triagem de recrutamento por IA
Perfil de risco em sistemas antifraude

Quando o perfilamento aciona o Art. 20

O perfilamento por si só não aciona necessariamente o Art. 20. O gatilho é a decisão baseada no perfil que afeta o titular. Criar um perfil comportamental para personalizar a ordem de produtos exibidos pode não acionar o Art. 20; usar esse perfil para negar acesso a um serviço, calcular um preço diferenciado substancial ou tomar outra decisão com impacto real provavelmente aciona.

O que as organizações devem implementar

1. Inventário de decisões automatizadas

Antes de qualquer outra medida, o controlador precisa saber quais decisões automatizadas toma e quais afetam titulares. Esse inventário deve incluir:

Sistema responsável pela decisão
Dados utilizados como input
Tipo de output (aprovação/rejeição, score, ranking, classificação)
Volume de decisões por período
Impacto potencial sobre o titular
Existência de mecanismo de revisão humana

2. Processo de revisão humana acessível

Deve existir um canal claro para o titular solicitar revisão. Requisitos mínimos:

Canais de contato disponíveis (portal do titular, e-mail do DPO, telefone)
Processo interno definido: quem recebe, quem analisa, quem decide
Prazo para resposta: até 15 dias (Art. 19 da LGPD)
Registro de todas as solicitações e resultados

3. Aviso de privacidade atualizado

O aviso de privacidade deve informar os titulares sobre:

A existência de decisões automatizadas que os afetam
As finalidades dessas decisões
A lógica envolvida (ao menos em termos gerais)
O direito de solicitar revisão e como exercê-lo

4. Documentação técnica do sistema

Para poder responder ao titular, o controlador precisa ter documentada a lógica de funcionamento do sistema:

Quais variáveis são utilizadas
O peso relativo ou relevância de cada variável
Os critérios de decisão (thresholds, limites)
Como o modelo foi desenvolvido e validado
Métricas de desempenho do modelo

5. Avaliação e monitoramento de viés

Modelos que reproduzem vieses históricos nos dados de treinamento podem gerar decisões discriminatórias — violando o princípio da não discriminação (Art. 6º, IX da LGPD). Organizações devem implementar:

Análise de viés por grupos protegidos durante o desenvolvimento
Monitoramento contínuo de viés pós-implantação
Processo para corrigir viés identificado

Decisões automatizadas de alto impacto: os casos de maior risco jurídico

Decisão automatizada	Por que é de alto risco
Concessão ou negação de crédito	Impacto financeiro direto e imediato sobre o titular
Seleção ou eliminação de candidatos	Impacto profissional relevante; viés de gênero/raça frequente
Cálculo de prêmio de seguro por perfil comportamental	Discriminação por dados inferidos
Preços diferenciados por perfil	Possível violação do princípio da não discriminação (Art. 6º, IX)
Bloqueio automatizado de contas	Impacto financeiro e reputacional imediato
Flagging automático de condutas suspeitas	Consequências disciplinares sem revisão humana

Marco Legal de IA: o que está por vir

O PL 2.338/2023, Marco Legal de IA, foi aprovado pelo Senado em dezembro de 2024 e estava em análise na Câmara dos Deputados no início de 2026. Para sistemas de alto risco (incluindo decisões que afetam crédito, emprego e serviços essenciais), o projeto impõe obrigações de:

Transparência e explicabilidade
Supervisão humana
Documentação técnica
Avaliação de impacto

Essas obrigações complementarão — não substituirão — o Art. 20 da LGPD. Organizações que já implementaram mecanismos de revisão e explicabilidade estarão à frente quando o marco for aprovado.

Conclusão

O Art. 20 da LGPD criou um direito real e exigível: questionar uma decisão que um algoritmo tomou sobre você. Para as organizações, esse direito cria obrigações concretas — inventariar as decisões automatizadas, implementar processos de revisão humana, garantir explicabilidade e informar os titulares.

O desafio não é apenas técnico — é organizacional. Requer que a mesma organização que automatizou decisões para ganhar escala e velocidade crie mecanismos para que essas decisões possam ser contestadas e revisadas individualmente. A ANPD publicou em maio de 2025 a Nota Técnica nº 12/2025/CON1/CGN/ANPD, que consolidou 124 contribuições recebidas em consulta pública realizada entre novembro de 2024 e janeiro de 2025 sobre IA e revisão de decisões automatizadas. O documento é etapa preliminar do processo regulatório — não representa o posicionamento final da ANPD, mas sinaliza o caminho que a regulamentação do Art. 20 deve tomar. O tema integra a Agenda Regulatória 2025-2026 e é eixo prioritário para 2026-2027. Organizações que implementarem agora os mecanismos básicos estarão à frente quando a fiscalização se intensificar.

A Confidata registra no inventário de atividades de tratamento todas as operações de decisão automatizada, com identificação dos sistemas responsáveis e documentação dos critérios utilizados — facilitando tanto a resposta a titulares quanto a demonstração de conformidade com o Art. 20 da LGPD.