LGPD decisão automatizada: o que o artigo 20 exige na prática

LGPD decisão automatizada é a obrigação do artigo 20: toda decisão tomada só por tratamento automatizado de dados pessoais, que afete os interesses de alguém, pode ser contestada por essa pessoa, e a empresa precisa ter como responder. Isso vale desde 2020, com ou sem IA generativa, com ou sem ISO 42001. Sou auditor de sistemas, e é a obrigação que mais aparece documentada em contrato e auditoria externa.

O problema é que quase nenhuma empresa sabe listar quais das próprias decisões são unicamente automatizadas hoje, e quais ainda têm uma pessoa olhando o caso antes de confirmar. Scoring de crédito, triagem de currículo, precificação dinâmica e liberação de limite em aplicativo costumam rodar sem esse controle escrito. O Gap Analysis gratuito mapeia isso em menos de uma hora, antes de qualquer pedido de revisão chegar na sua caixa de entrada.

O que diz o artigo 20 da LGPD, no texto da lei

O caput do artigo 20 da LGPD é direto: o titular pode pedir revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo decisões que definem perfil pessoal, profissional, de consumo, de crédito ou aspectos da personalidade¹. O parágrafo 1º obriga o controlador a fornecer, quando solicitado, informações claras e adequadas sobre os critérios e procedimentos usados na decisão, respeitando o segredo comercial e industrial¹. O parágrafo 2º dá à ANPD poder de auditar esses critérios quando a empresa alegar sigilo para recusar a explicação¹.

Existia um parágrafo 3º na redação original, aprovada pelo Congresso: previa uma penalidade específica para quem descumprisse esse artigo. Ele foi vetado pela Lei 13.853/2019, a mesma lei que criou a ANPD². O veto não anula o artigo 20. Ele só retira uma multa própria, que passou a seguir a régua geral de sanção da LGPD, a mesma de qualquer outra infração à lei.

Quando uma decisão é unicamente automatizada

A palavra que decide tudo aqui é “unicamente”. Se existe uma pessoa entre o modelo e o resultado final, com poder real de mudar esse resultado e usando esse poder de fato, a decisão deixou de ser unicamente automatizada. Se essa pessoa só confirma o que a máquina já decidiu, sem abrir o caso individual, a decisão continua sendo unicamente automatizada, mesmo com um humano clicando em “aprovar” no final.

Scoring de crédito, bloqueio de conta por suspeita de fraude, triagem automática de currículo, precificação dinâmica e ajuste de limite por comportamento de uso são os exemplos que mais aparecem na prática de quem audita esse tipo de sistema. Em todos eles, o traço comum é o mesmo: o titular só descobre que foi decidido por máquina quando o resultado já chegou, e raramente sabe que pode contestar.

Isso muda por setor, e vale separar os três que mais apareceram nos projetos que acompanhei de perto. No financeiro, a decisão automatizada de crédito já é auditada há anos sob outro nome, modelo de risco, então a parte nova é o direito do titular de pedir explicação em linguagem simples, não o controle do modelo em si. No RH, a triagem automática de currículo e a nota de entrevista por IA generativa caem direto no artigo 20 porque afetam o “perfil profissional” citado no caput, e quase nenhuma empresa documentou isso ainda. Na saúde, a fila de prioridade de atendimento calculada por algoritmo é a mais sensível das três, porque o efeito de uma decisão não revisada aparece na ordem em que alguém é atendido, não em dinheiro perdido.

Vale registrar o custo de ignorar isso, porque ele é concreto e está na mesma lei. O artigo 52 da LGPD prevê multa simples de até 2% do faturamento do grupo no Brasil no último exercício, sem contar tributos, limitada a R$ 50 milhões por infração¹. O artigo 20 não tem multa própria desde o veto de 2019, então uma falha nele é enquadrada nessa régua geral, a mesma que vale para qualquer outro descumprimento da lei.

O que a empresa precisa ter pronto antes do pedido de revisão chegar

A parte que mais atrasa um projeto como esse é descobrir, decisão por decisão, onde já existe alguém com poder real de mudar o resultado e onde existe só um carimbo, não escrever a política. Sem esse inventário, a resposta a um pedido de revisão nasce inventada na hora, sob pressão do prazo, e normalmente erra algum detalhe que o titular, ou a ANPD depois dele, percebe. Os modelos de política e inventário de sistemas de IA encurtam exatamente essa etapa: o ponto de partida já vem organizado, falta preencher com o que a sua empresa realmente faz, decisão por decisão.

O processo de revisão em si fica mais simples quando essa base já existe. Alguém recebe o pedido, confirma se a decisão foi mesmo unicamente automatizada, encaminha para quem tem poder de mudar o resultado, e documenta a resposta. A LGPD não fixa um prazo próprio para essa revisão do artigo 20. O mercado usa como referência os 15 dias corridos que o artigo 19 já exige para outros pedidos do titular¹, porque é o prazo que a própria lei já testou num contexto parecido, e porque responder sem prazo nenhum é o mesmo que não ter processo.

Revisão humana decisão automatizada: a empresa é obrigada a oferecer?

O direito de revisão LGPD não é sinônimo de revisão feita por humano no sentido literal do texto. A redação original do artigo 20, aprovada pelo Congresso, previa revisão “por pessoa natural”. A Lei 13.853/2019 retirou essa expressão do caput, antes mesmo de a LGPD entrar em vigor, e vetou o parágrafo 3º do mesmo artigo². Formalmente, hoje, a lei não exige que o revisor seja um ser humano.

Cumprir o artigo 20 só com outra camada de software revisando o primeiro modelo resolve a letra da lei e perde o espírito dela.

A pergunta que decide isso, para mim, não é “foi um humano ou não”. É: quem revisa tem poder real de mudar o resultado, e usa esse poder quando o caso individual pede isso? Um aprovador que só confirma o que a máquina decidiu, sem abrir o caso, não cumpre o artigo 20, seja ele humano ou outro modelo.

Por que a decisão automatizada de crédito virou prioridade da ANPD agora

Scoring é o exemplo mais citado de decisão automatizada de crédito que cai direto no artigo 20: nega ou aprova um empréstimo, define limite, ajusta taxa, quase sempre sem intervenção humana caso a caso.

Em 2025 a ANPD fechou uma tomada de subsídios dedicada a esse tema, batizada de Inteligência Artificial e Revisão de Decisões Automatizadas, com 124 contribuições recebidas³. Dá para resumir em poucas palavras por que a pressão aumentou desde então: ANPD decisão automatizada virou prioridade oficial de fiscalização para o biênio 2026 e 2027⁴, ao lado de proteção de dados de criança e adolescente e de tratamento de dados pelo poder público.

Isso não é sinal de lei nova chegando. É sinal de que a autarquia já tem o instrumento, o próprio artigo 20, em vigor desde 2020, e está organizando a fiscalização dele, com nota técnica publicada, agenda regulatória atualizada e eixo declarado. Esperar o PL 2338 virar lei para só então organizar a revisão de decisão automatizada é apostar no órgão errado para medir o prazo.

ISO 42001 e o artigo 20 da LGPD: onde a governança se sobrepõe

O Anexo A da ISO 42001 pede avaliação de impacto, papel definido para quem decide sobre o sistema de IA e mecanismo de contestação para quem é afetado por ele. O artigo 20 da LGPD pede, na prática, quase a mesma coisa, só que como direito individual do titular, não como controle de gestão da organização.

O NIST AI RMF chama essa parte de função Govern: estrutura de responsabilidade, com dono definido para cada sistema e processo de correção, antes mesmo de falar do desempenho técnico do modelo⁵. É a mesma lógica, com nome diferente, em três documentos distintos. Quem já organiza o inventário de sistemas de IA pensando na ISO 42001 resolve a maior parte da base documental que o artigo 20 exige. Quem organiza pensando no artigo 20 primeiro chega à ISO 42001 depois com metade do caminho andado, porque o inventário e o critério de decisão já existem escritos.

Vale olhar também o que a ISO 42001 e a LGPD têm em comum e onde divergem e o que uma auditoria interna de sistemas de IA cobra na prática, porque os dois documentos usam vocabulário diferente para pedir, no fim, a mesma evidência.

A decisão que vale tomar esta semana não é “vamos certificar a ISO 42001” nem “vamos esperar o PL 2338”. É: pegue as três decisões automatizadas que mais afetam gente de fora da empresa hoje, crédito, recrutamento, preço, acesso, e pergunte, para cada uma, quem tem poder real de mudar o resultado quando alguém reclama. Se a resposta for “ninguém, só o próprio modelo”, o artigo 20 já está sendo descumprido, com ou sem fiscalização no horizonte.

Veja também