LGPD e decisão automatizada: o que guardar

Antes de qualquer coisa, o enquadramento desta página. Este site é de comunidade, não tem afiliação com a TypeSafe AI e não dá orientação jurídica. Ele não interpreta a lei, não inventa obrigação além do que a lei diz e não substitui a avaliação do jurídico da sua empresa.

O que ele faz é apontar uma consequência de arquitetura: existe um conjunto de coisas que um sistema precisa registrar para que uma revisão posterior seja sequer possível. Se esses dados não forem guardados na hora da decisão, eles não existem depois.

O texto da lei

A Lei 13.709/2018, a Lei Geral de Proteção de Dados Pessoais, no seu artigo 20, dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente por tratamento automatizado que afetem seus interesses.

É isso que citamos, e é só isso. Se a sua operação se enquadra, como se enquadra e o que a sua empresa precisa fazer a respeito são perguntas para quem tem habilitação para respondê-las.

O que muda na arquitetura

A parte técnica é concreta e independe de interpretação jurídica: uma revisão só é possível se houver o que revisar.

1. Guarde a distribuição, não só a decisão

Uma resposta de Choice traz a opção escolhida, a probabilidade de cada opção e a confiança. Um Score traz a nota, a régua, a distribuição por nível e a confiança. Guardar apenas “aprovado” ou “categoria: cobrança” joga fora toda a evidência.

Com a distribuição guardada, uma revisão reconstrói o que o sistema viu: se a decisão ganhou com 0,90 contra 0,05 ou com 0,40 contra 0,35. São situações completamente diferentes, e o rótulo é idêntico nas duas. A diferença entre as duas grandezas está em probabilidade não é confiança.

2. Registre a versão do modelo que respondeu

Toda resposta traz o campo model com o identificador com versão que atendeu à chamada — por exemplo jev-1.13.0, mesmo quando você pediu o alias jev-latest. Sem esse registro, uma revisão feita meses depois não consegue dizer qual modelo produziu a decisão, porque o alias já se moveu. O comportamento dos aliases está em modelos e aliases.

3. Mantenha a pessoa na decisão que afeta a pessoa

O desenho que este guia recomenda para casos sensíveis não é o que automatiza mais: é o que deixa a decisão final com gente e usa o modelo para ordenar, sinalizar e priorizar. Nas páginas de triagem de currículos e de cobrança e inadimplência, nenhum ramo do código termina em uma ação irreversível contra a pessoa: todos terminam em uma fila, um registro ou uma suspensão.

4. Tenha um caminho de revisão que produza registro

A revisão precisa ser um fluxo do sistema, não um favor operacional. O revisor precisa ver o conteúdo avaliado, a distribuição e a ação proposta; a decisão dele precisa ser gravada ao lado da do modelo. O desenho está em revisão humana no lugar certo.

Há um efeito colateral bom: essa divergência entre revisor e modelo é o melhor insumo que existe para recalibrar limiares e reescrever critérios.

O que registrar, na prática

registro = {
    "caso_id": caso.id,
    "avaliado_em": agora_utc(),
    "conteudo": estado,                       # o que foi avaliado
    "modelo": resposta.model,                 # jev-1.13.0
    "respostas": {
        chave: {
            "valor": a.choice if hasattr(a, "choice") else getattr(a, "score", a.noul),
            "probabilidades": getattr(a, "probabilities", None),
            "confianca": getattr(a, "confidence", None),
        }
        for chave, a in resposta.answers.items()
    },
    "limiares": LIMIARES_VIGENTES,            # a política daquele momento
    "acao": acao_tomada,
    "revisor": None,                          # preenchido se houver revisão
}

O campo limiares é o que mais gente esquece. A decisão não saiu só do modelo: saiu do modelo mais o corte que o seu código aplicou naquele dia. Sem registrar a política vigente, uma revisão seis meses depois compara a resposta com um corte que já mudou.

Cuidados adjacentes que valem a leitura

Minimize o que vai no state. Mandar o cadastro inteiro quando a pergunta usa três campos é, ao mesmo tempo, mais dado pessoal em trânsito, mais custo e menos acurácia — o efeito técnico está em context rot.

Cuidado com o log em nível debug. A documentação do SDK Python avisa que, nesse nível, cabeçalhos secretos são mascarados mas os corpos de requisição e resposta não são. Se o state carrega dado pessoal, debug ligado em produção coloca esse dado no log. Os detalhes estão em erros e exceções.

Leia os documentos do fornecedor com o seu jurídico. A documentação declara que o Jev não é treinado com requisições nem respostas de clientes, e remete à página legal da TypeSafe para o acordo de tratamento de dados, a política de privacidade e a retenção zero de dados para clientes empresariais. Conferir esses documentos é trabalho de quem tem habilitação.

O resumo em uma frase

Guardar a distribuição, a confiança, a versão do modelo e a política vigente custa algumas colunas no banco e é a diferença entre poder explicar uma decisão e ter que pedir desculpa por ela. O índice desta seção está em português.