Governança e confiança em IA aplicada a dados fiscais: o que já é lei, e o que ainda depende de você

O Brasil ainda não tem lei geral de inteligência artificial em vigor, mas já regula um ponto central do uso de IA sobre dado fiscal.

O artigo 20 da LGPD garante revisão humana de decisão automatizada que afete uma pessoa.

A ANPD prioriza esse tema no biênio 2026 e 2027. Governança, nesse cenário, deixou de ser boa prática e virou obrigação com prazo.

Por que dado fiscal pede um cuidado que outra informação não pede

Dado fiscal carrega três camadas ao mesmo tempo, e isso raramente aparece junto em outro tipo de informação.

Carrega segredo de negócio, porque revela estrutura de custo, margem e estratégia comercial.

Carrega exposição regulatória, porque erro nesse dado gera multa, autuação e passivo tributário.

E, com frequência maior do que se imagina, carrega dado pessoal, porque identifica sócio, responsável legal ou profissional específico por trás da operação.

Usar inteligência artificial sobre esse tipo de dado sem governança estruturada não é só risco técnico. É risco legal, com regra que já existe hoje, mesmo sem uma lei geral de inteligência artificial em vigor no Brasil.

A camada legal que já existe: o artigo 20 da LGPD

O Brasil discute há anos um marco legal específico para inteligência artificial. É o Projeto de Lei nº 2.338/2023, que seguia em análise na Comissão Especial da Câmara dos Deputados neste ano.

Enquanto essa lei não é aprovada, a Lei Geral de Proteção de Dados já regula uma parte importante do problema.

O artigo 20 da LGPD garante ao titular o direito de solicitar revisão de decisão tomada unicamente com base em tratamento automatizado de dado pessoal que afete os seus interesses. Isso inclui decisão que define perfil pessoal, profissional, de consumo ou de crédito.

Repare na condição central desse artigo. Ele vale para decisão sobre pessoa natural identificável, baseada só em automação, sem revisão humana substantiva. Uma revisão de fachada, sem avaliação independente de verdade, provavelmente não afasta essa obrigação.

Isso muda a forma de aplicar o artigo 20 em contexto fiscal. Análise agregada de volume de importação por produto, sem identificar pessoa específica, tende a ficar fora do escopo.

Decisão automatizada que afeta um sócio, um responsável legal ou um profissional específico, como triagem de risco vinculada a uma pessoa identificável, entra direto no escopo.

O parágrafo 1º do mesmo artigo obriga o controlador a fornecer, quando solicitado, informação clara sobre os critérios e procedimentos usados na decisão automatizada, respeitado o segredo comercial e industrial.

O parágrafo 2º completa o desenho. Se a empresa recusar explicação alegando esse sigilo, fica sujeita a auditoria da própria autoridade de proteção de dados, para verificar critério discriminatório por trás da decisão.

O que a autoridade de proteção de dados já sinalizou

A Autoridade Nacional de Proteção de Dados publicou, em 2025, a Nota Técnica nº 12, tratando especificamente de decisão automatizada e do artigo 20 da LGPD.

O documento reconhece que o tema ainda pede mais regulamentação, mas já indica direção clara de cobrança.

Essa sinalização não ficou isolada. A autoridade também aprovou, em dezembro de 2025, o mapa de temas prioritários para o biênio de 2026 e 2027. Inteligência artificial e tecnologias emergentes entram entre os quatro eixos centrais de fiscalização.

A expectativa divulgada é de cerca de vinte ações de fiscalização voltadas a esse eixo específico ao longo do período.

Antes dessas duas publicações, a autoridade já tinha conduzido consulta pública sobre inteligência artificial e decisão automatizada, entre novembro e dezembro de 2024.

Recebeu mais de cem contribuições de empresas, órgãos públicos e sociedade civil. O resultado dessa consulta foi divulgado em maio de 2025.

A leitura estratégica é direta. A ausência de lei geral de IA não significa ausência de fiscalização.

A autoridade já definiu que esse é um dos temas prioritários dos próximos dois anos. Já publicou também orientação técnica específica sobre o ponto mais sensível, a decisão automatizada que afeta pessoa.

A camada que depende só da sua empresa

Regra legal é o piso, não o teto. A parte mais relevante da governança de IA sobre dado fiscal é a que nenhuma lei obriga em detalhe. É ela que decide se a sua empresa está preparada quando a fiscalização chegar.

O primeiro passo é mapear onde a IA toca dado fiscal com potencial de afetar pessoa específica, mesmo que o uso pareça apenas operacional.

Triagem de risco, priorização de análise e classificação de fornecedor por critério automatizado entram nessa lista com facilidade maior do que parece à primeira vista.

O segundo é documentar critério e procedimento desde o desenho do sistema, não depois de pronto. Capacidade de explicar uma decisão não se adiciona no fim do processo. Precisa nascer junto com o fluxo de entrada, regra e saída.

O terceiro é garantir que revisão humana, quando prevista, seja real. Comitê ou pessoa competente, com acesso a métrica e dado do próprio sistema, não apenas um botão de contestação que devolve a mesma automação.

O quarto é avaliar fornecedor de ferramenta de IA com a mesma régua que a sua empresa aplicaria a si mesma.

Contrato que preveja tratamento adequado de dado, cláusula de auditoria e responsabilidade clara em caso de incidente.

Confiança não é atributo do modelo, é resultado de processo

Aqui está o ponto que a maior parte da conversa sobre IA erra por simplificação. Confiança não nasce de o modelo parecer inteligente. Nasce de um processo que permite auditar, explicar e corrigir a decisão depois.

Um sistema que responde bem, mas não consegue mostrar de onde veio o dado, falha exatamente no ponto que o artigo 20 cobra: explicação clara de critério e procedimento.

Um sistema que responde devagar, mas aponta a origem exata da informação, tem vantagem estrutural nesse quesito, mesmo parecendo menos impressionante na superfície.

Para dado fiscal, essa prioridade é ainda mais clara. O custo de um erro não revisável é alto, e a obrigação de explicar já existe em lei, sujeita a auditoria quando recusada.

Onde a Logcomex entra

Dado fiscal de comércio exterior pede exatamente o tipo de rastreabilidade que esse cenário regulatório exige. Resposta apoiada em registro real de operação, não em texto gerado por padrão estatístico, é resposta que se explica por natureza.

Quando a pergunta é sobre volume de importação por produto, concentração de mercado por origem ou histórico de parametrização aduaneira, a origem da resposta muda.

É o próprio dado de operação, agregado e estruturado, não inferência sobre pessoa específica.

Isso reduz a zona de ambiguidade sobre quando uma resposta de IA vira decisão automatizada sobre indivíduo, e facilita mostrar, quando necessário, de onde veio cada número.

Isso também ajuda a resolver, na prática, os casos de uso já tratados em outros textos deste blog.

Avaliar risco de defesa comercial antes de fechar uma compra, entender padrão de canal de parametrização ou verificar histórico de um fornecedor são decisões que ganham força com dado rastreável.

É exatamente o tipo de evidência que sustenta explicação de critério, caso alguém peça.

Construir confiança com dado rastreável, não com texto que parece certo, é mais fácil com a Logcomex.

Acesse a Logcomex e veja como a rastreabilidade de informações estratégicas funciona na prática

Conclusão

Governança de IA sobre dado fiscal não é tema do futuro esperando lei geral. É tema de hoje.

Está regulado em parte pelo artigo 20 da LGPD, priorizado pela agenda da autoridade de proteção de dados para os próximos dois anos. E é decidido, na prática, pela estrutura interna que cada empresa constrói por conta própria.

A regra legal cobre o caso mais claro, decisão automatizada que afeta pessoa identificável sem revisão humana real.

A governança que cada empresa escolhe construir cobre o resto, desde mapear onde a IA toca dado sensível até escolher fornecedor com critério, não por conveniência.

Confiança, no fim, não é promessa de marketing. É o que sobra quando alguém pede para explicar uma decisão e a resposta existe, documentada e rastreável, pronta para ser mostrada.

Perguntas frequentes

O Brasil tem lei geral de inteligência artificial?

Ainda não em vigor. O Projeto de Lei nº 2.338/2023 segue em análise na Comissão Especial da Câmara dos Deputados. Enquanto isso, a LGPD já regula parte relevante do uso de IA sobre dado pessoal.

O que diz o artigo 20 da LGPD sobre inteligência artificial?

Garante ao titular o direito de solicitar revisão de decisão tomada unicamente com base em tratamento automatizado de dado pessoal que afete seus interesses, incluindo decisão sobre perfil pessoal, profissional, de consumo ou de crédito.

Toda decisão de IA sobre dado fiscal entra no artigo 20?

Não. O artigo exige dado pessoal de pessoa natural identificável e decisão tomada só por automação, sem revisão humana real. Análise agregada, sem identificar pessoa específica, tende a ficar fora desse escopo.

O que a empresa deve fazer se recusar explicar um critério automatizado alegando segredo comercial?

Precisa estar preparada para auditoria da autoridade de proteção de dados, que pode verificar se existe critério discriminatório por trás da decisão, conforme o parágrafo 2º do artigo 20 da LGPD.

O que é a Nota Técnica nº 12 da autoridade de proteção de dados?

É um documento publicado em 2025 que trata especificamente de decisão automatizada e do artigo 20 da LGPD, sinalizando direção de cobrança sobre o tema antes de regulamentação mais detalhada.

A inteligência artificial é prioridade de fiscalização nos próximos anos?

Sim. A autoridade de proteção de dados incluiu inteligência artificial e tecnologias emergentes entre os quatro eixos prioritários de fiscalização para o biênio de 2026 e 2027, com cerca de vinte ações previstas nesse eixo.

Como uma empresa começa a estruturar governança de IA sobre dado fiscal?

Mapeando onde a IA toca dado com potencial de afetar pessoa específica, documentando critério desde o desenho do sistema, garantindo revisão humana real quando prevista, e avaliando fornecedor de IA com contrato claro sobre tratamento de dado e responsabilidade.

Confiança em IA depende da qualidade do modelo usado?

Depende mais do processo ao redor do modelo. Capacidade de explicar critério, rastrear origem do dado e permitir revisão humana real pesa mais para confiança do que a impressão inicial de inteligência da resposta.