Quando uma administradora usa um modelo de linguagem sobre dados de cotista, três perguntas diferentes precisam de três respostas diferentes. O dado é usado para treinar o modelo? O dado fica armazenado em algum lugar do provedor, e por quanto tempo? O dado sai do país, e sob qual base legal?
A confusão entre elas é o que permite que um fornecedor diga "seus dados são seguros" e pareça ter respondido.
As três perguntas, separadas
Treinamento. A pergunta é se o conteúdo enviado alimenta o aprimoramento de modelos do provedor. Nas ofertas corporativas dos principais provedores, a resposta padrão é não, e isso costuma estar no contrato, não na página de marketing.
Retenção. Mesmo sem treinar, o provedor pode armazenar as requisições por um período, tipicamente para monitoramento de abuso. Zero Data Retention é justamente o acordo que elimina esse armazenamento. São coisas independentes: dá para não treinar e ainda assim reter.
Transferência internacional. Se o processamento acontece fora do Brasil, existe transferência internacional de dados pessoais, e a LGPD exige um mecanismo que a autorize. Isso não é resolvido por promessa de segurança; é resolvido por instrumento jurídico e por registro dessa decisão.
| Garantia | O que significa | Onde se verifica |
|---|---|---|
| Não treina | Conteúdo não alimenta modelos do provedor | Contrato ou termos corporativos |
| Zero Data Retention | Requisição não fica armazenada no provedor | Acordo específico, não é padrão em todo plano |
| Sem transferência internacional | Processamento em território nacional | Arquitetura, e raramente é o caso com modelos de fronteira |
| Base legal e mecanismo | Autorização para a transferência que existe | Documentação de privacidade e contrato |
Quem é controlador e quem é operador
Numa operação de fundos, a administradora ou a gestora é controladora dos dados pessoais dos cotistas: ela decide finalidade e meios. O fornecedor de software é operador, tratando em nome dela. O provedor do modelo, quando acessado pelo fornecedor, é suboperador.
Essa cadeia importa por um motivo prático: a titular do dever perante o cotista e perante a ANPD é a controladora. Contrato que não deixa clara a cadeia de suboperadores não protege ninguém, e é a primeira coisa que uma diligência de segurança pede.
Extensão de navegador com IA, assistente pessoal contratado por cartão de crédito e ferramenta gratuita usada "só para resumir" são a maior fonte de vazamento em operações reguladas. Não porque falhem tecnicamente, mas porque ninguém as inclui no inventário de tratamento.
O que pedir por escrito
Cinco itens, e nenhum deles é sofisticado.
A lista de suboperadores, com a informação de onde processam, e o compromisso de comunicar mudanças.
O regime de retenção aplicado à sua conta, com o período em números. "Retenção mínima" não é resposta.
A finalidade autorizada do tratamento, restrita à prestação do serviço, com vedação expressa a uso para desenvolvimento de produto do fornecedor.
O tratamento dado a logs. Registro de auditoria contém dado pessoal, e ele costuma ficar de fora da conversa porque parece infraestrutura.
E o procedimento de eliminação ao fim do contrato, com prazo e com evidência.
Sigilo é uma camada acima da LGPD
Dado de cotista carrega duas proteções ao mesmo tempo: a da LGPD e o dever de sigilo do prestador. Posição, movimentação e composição de carteira de um investidor específico têm proteção que não depende de o titular ser pessoa natural.
Por isso a segregação técnica importa tanto quanto o contrato. Se o sistema não consegue impedir que um usuário de um inquilino veja dado de outro, nenhuma cláusula resolve. É o assunto de um texto separado sobre isolamento por inquilino.
O que isso muda no desenho do produto
Duas decisões concretas.
Enviar ao modelo o mínimo necessário. Boa parte das perguntas de operação se responde com o trecho relevante do documento e os campos da posição, não com a base inteira.
E registrar o que foi enviado, não só o que voltou. Sem esse registro, você não consegue responder à pergunta que a inspeção faz — qual dado saiu, quando e para onde — nem à pergunta que o auditor faz sobre a fundamentação da resposta, tema de auditoria de decisões de IA em ambiente regulado.
O texto da LGPD está no portal do Planalto e as regras de transferência internacional editadas pela ANPD devem ser conferidas na versão vigente. Este texto não substitui assessoria jurídica.
Na Arkar, os provedores operam sob Zero Data Retention, o dado pessoal é segregado por inquilino, o acesso é negado por padrão e cada consulta fica registrada. A política de uso de IA e a página de segurança são públicas. Agende uma demonstração para a conversa técnica com o seu time de segurança.