IA no laudo de engenharia: como usar sem violar a LGPD

Eu uso inteligência artificial no meu trabalho de perícia. O risco nunca foi usar. Foi o que sai junto quando a gente cola o laudo sem tratar.

O engenheiro cola o laudo na IA "só para melhorar o texto". Sobe a foto da vistoria "só para descrever a fissura". No mesmo instante, o dado do cliente sai do computador dele e passa a viver no servidor de outra empresa, muitas vezes fora do Brasil. Eu fazia isso sem pensar, até parar para investigar o que acontece depois que a gente aperta enviar.

E aqui vale a pergunta que dá o tom deste artigo: dá para usar IA no laudo? Dá. Mas usar sem tratamento não é um problema de direito autoral do laudo, como muita gente pensa. É de confidencialidade de dado pessoal, de LGPD e de sigilo. São coisas diferentes, e a segunda pesa muito mais.

As próximas seções mostram que isso não é hipótese. São casos já documentados, uma lei que responsabiliza quem decide usar a ferramenta, e um detalhe que quase ninguém percebe: a foto de vistoria carrega, escondida dentro do arquivo, a coordenada exata do imóvel.

O problema não é direito autoral. É confidencialidade.

Quando falo disso com colegas, a primeira reação costuma ser sobre o texto do laudo: "mas o laudo é meu, posso fazer o que quiser com ele". Sim, o texto é seu. Mas o laudo não é só texto. Ele carrega nome, CPF, endereço, número do processo e fotos de um imóvel que pertence a outra pessoa. Esse conteúdo não é seu para expor.

Quando um documento assim entra numa ferramenta de IA sem tratamento, três coisas podem acontecer ao mesmo tempo: o dado alimenta o treino do modelo, uma pessoa da empresa pode ler, e o conteúdo pode ficar retido por anos, mesmo depois de você apertar "apagar". Não é uma dessas coisas ou outra. Podem ser as três, de uma vez.

Casos reais de vazamento de dados por IA

Não são hipóteses. São seis episódios confirmados em fontes de alta credibilidade (imprensa consolidada, comunicados oficiais das empresas e órgãos reguladores), todos entre 2023 e 2026. Coloco a lição de cada um do ponto de vista de quem faz perícia, porque foi assim que eles me fizeram refletir.

1. A Samsung baniu o ChatGPT depois de um vazamento interno

Cerca de vinte dias depois de liberar o ChatGPT para a divisão de semicondutores, a Samsung registrou pelo menos três vazamentos. Um engenheiro colou código proprietário para "achar erros", outro subiu código pedindo otimização, e um terceiro converteu a gravação de uma reunião interna em texto para gerar a ata. Tudo foi parar nos servidores da OpenAI. Em 2 de maio de 2023, a empresa proibiu IA generativa para os funcionários, sob pena de demissão.

Fontes: TechCrunch · Forbes

O espelho do perito: o engenheiro da Samsung não era descuidado, só queria ajuda para revisar o trabalho. Exatamente como quem cola o laudo "só para melhorar". No instante em que você cola, o dado deixa de ser seu. Uma das maiores empresas de tecnologia do mundo achou o risco tão grave que proibiu a ferramenta.

2. Um bug expôs conversas e dados de pagamento de estranhos

Uma falha de software fez o ChatGPT misturar dados entre usuários. Durante cerca de nove horas, algumas pessoas viram títulos de conversas de outras. Dados de pagamento de 1,2% dos assinantes Plus ativos ficaram visíveis a terceiros: nome, e-mail, endereço de cobrança e os quatro últimos dígitos do cartão. A própria OpenAI confirmou e publicou o relato do incidente.

Fontes: OpenAI (oficial) · The Hacker News

O espelho do perito: você não precisa ser hackeado. Basta um erro de software do fornecedor para o seu conteúdo aparecer na tela de um desconhecido. Se fosse o seu laudo no lugar do título da conversa, o dado sigiloso do periciando estaria diante de outra pessoa.

3. Conversas "compartilhadas" viraram resultado de busca no Google

O ChatGPT tinha uma opção de tornar o chat "descobrível" ao compartilhar. Ao ativá-la, o link virava página pública e era indexado pelo Google. Uma busca simples revelou cerca de 4.500 conversas, muitas com dados pessoais sensíveis. Horas após a reportagem, em julho de 2025, a OpenAI removeu o recurso, admitindo que ele criava "oportunidades demais de as pessoas compartilharem coisas sem querer".

Fontes: TechCrunch · Fortune

O espelho do perito: um clique mal compreendido transforma conteúdo privado em página pública e pesquisável, potencialmente para sempre. Um "compartilhar" acidental de laudo ou de foto de vistoria é vazamento consumado.

4. A DeepSeek deixou um banco de dados aberto na internet

A empresa de segurança Wiz encontrou dois bancos de dados da IA chinesa DeepSeek acessíveis pela internet sem qualquer senha. Qualquer pessoa podia ler mais de um milhão de linhas de log, com histórico de conversas em texto puro, chaves de acesso e metadados. A DeepSeek fechou o acesso em menos de uma hora após o aviso, em janeiro de 2025, mas o dado ficou exposto por período indeterminado antes disso.

Fontes: Wiz (quem descobriu) · BleepingComputer

O espelho do perito: o que você digita vai para o banco de dados de alguém, e esse banco pode estar mal configurado e aberto ao mundo. Plataformas novas e "gratuitas", muitas de origem desconhecida, são especialmente arriscadas.

5. O Gemini obedeceu a um comando escondido num convite de agenda

Pesquisadores esconderam instruções invisíveis dentro do título de convites do Google Agenda. Quando o usuário pedia ao Gemini um resumo da agenda, a IA obedecia ao comando escondido, de apagar compromissos a controlar dispositivos de casa inteligente. O Google implementou defesas a partir de junho de 2025.

Fontes: Engadget · Malwarebytes

O espelho do perito: a IA lê e obedece ao conteúdo que você joga nela, inclusive comandos escondidos dentro de arquivos aparentemente inofensivos (um convite, um PDF, um documento do processo). O material que você sobe pode ser usado contra você sem um clique sequer.

6. Os reguladores já agem: multa na Itália, suspensão no Brasil

Não é só risco de vazamento, é risco jurídico. Na Itália, a autoridade de proteção de dados suspendeu o ChatGPT em março de 2023 e, em dezembro de 2024, aplicou multa de € 15 milhões à OpenAI por tratar dados pessoais para treinar o modelo sem base legal adequada. No Brasil, em julho de 2024, a ANPD (a nossa Autoridade Nacional de Proteção de Dados) determinou a suspensão imediata da política da Meta que usava dados públicos de Facebook, Instagram e Messenger para treinar IA, com multa diária de R$ 50 mil.

Fontes: The Hacker News (multa Itália) · ANPD (oficial)

O espelho do perito: o uso de dados pessoais por IA já é alvo de reguladores no mundo e no Brasil. A ANPD, o nosso regulador, já mostrou que age.

A foto de vistoria carrega o endereço exato do imóvel

Este é o detalhe que quase ninguém percebe, e o que mais me preocupa na rotina de quem faz perícia. Toda foto tirada com smartphone ou câmera grava, dentro do próprio arquivo, um conjunto de metadados chamado EXIF.

Qualquer pessoa que receba o arquivo original joga a coordenada num mapa e chega ao endereço em segundos. Repare no que muda conforme a forma de enviar:

• Enviar o arquivo original (upload, e-mail ou mensagem como "documento") leva tudo junto, inclusive o GPS do imóvel do cliente.
• Tirar um print da foto e enviar o print: o screenshot é uma imagem nova e não carrega a localização do original. É um paliativo, não a solução ideal.
• Redes sociais (Instagram, Facebook) removem o EXIF ao publicar, mas isso cria uma falsa sensação de segurança. Enviar direto para a IA não tem essa garantia: assuma que os metadados chegam lá.

Como remover os metadados de fotos no Windows

1. Abra o Explorador de Arquivos e localize a foto.
2. Clique com o botão direito na foto e escolha Propriedades.
3. Abra a aba Detalhes.
4. Clique em Remover Propriedades e Informações Pessoais, lá embaixo.
5. Escolha criar uma cópia com todas as propriedades removidas (isso preserva o original) e clique em OK.

Uma limitação honesta: o próprio Explorador do Windows nem sempre remove tudo. Para garantia total em uso pericial, uma ferramenta dedicada como o ExifTool é mais segura. E tem um caso em que remover o EXIF não resolve: se a data e o GPS estão "queimados" nos próprios pixels da imagem (aqueles aplicativos de foto datada), o carimbo continua visível, porque ele não é metadado, é parte do desenho da foto.

O que a IA faz com o que você envia

Aqui entram três coisas: retenção, treino e revisão humana. As políticas mudam com frequência, então deixo os links oficiais no fim do artigo. O que segue é o padrão no momento em que escrevo.

Nas contas gratuitas, o padrão é treinar com o que você digita

• ChatGPT grátis, Plus e Pro: por padrão, as conversas são usadas para treinar os modelos, a menos que você desative em Configurações, Controles de dados. As contas de empresa e a API (a via usada por programas), por padrão, não treinam.
• Google Gemini: o próprio Google avisa, por escrito, "não insira informações confidenciais que você não queira que um revisor veja ou que o Google use para melhorar nossos serviços". Um subconjunto de conversas é revisado por humanos, e o que foi revisado pode ficar guardado por até três anos, mesmo depois de você apagar a atividade.

"Apagar" não garante que sumiu

Existem pessoas reais que podem ler

Não é só "a máquina que lê". No Gemini, o Google confirma que revisores humanos leem uma amostra das conversas. Na OpenAI, funcionários autorizados e contratados terceirizados podem revisar conversas para segurança e qualidade. Uma foto de imóvel com endereço à mostra, ou um documento do cliente, pode cair na frente de um desconhecido.

O que a LGPD exige do perito

A base é a Lei nº 13.709/2018, a LGPD. Não sou advogada, então trabalho com o texto da lei na mão e os links para as fontes no fim. Os pontos abaixo são os que mais pesam na perícia.

Dado pessoal e dado sensível não são só o CPF

O art. 5º, I define dado pessoal como "informação relacionada a pessoa natural identificada ou identificável". O art. 5º, II trata do dado sensível (saúde, biometria, origem, religião). Num laudo aparecem os dois:

• Dado pessoal comum: nome das partes, CPF, RG, endereço do imóvel (que localiza a pessoa), telefone, número do processo, matrícula, placa de veículo numa foto.
• Dado sensível: a foto do rosto de um morador pode ser dado biométrico; um laudo de insalubridade ou de acessibilidade por deficiência pode revelar condição de saúde.

Anonimizar de verdade é diferente de tarjar o nome

O art. 12 diz que o dado anonimizado deixa de ser dado pessoal para a lei. Mas anonimizar significa tornar impossível, por meios razoáveis, voltar a saber quem é. Trocar o nome por um código e guardar a chave que liga o código de volta à pessoa é pseudonimização: continua sendo dado pessoal, continua protegido.

Quem decide usar a IA é o responsável (o controlador)

O art. 5º, VI define controlador como quem toma "as decisões referentes ao tratamento". O perito que decide enviar o laudo para a IA é o controlador daqueles dados. E o art. 42 obriga o controlador a reparar dano patrimonial e moral, com um agravante: o art. 42, §2º permite ao juiz inverter o ônus da prova. Ou seja, é o perito que terá de provar que não errou.

Mandar para uma IA estrangeira é transferência internacional

Enviar dado a uma IA é tratamento (art. 5º, X). Se a ferramenta processa fora do Brasil, é transferência internacional, regulada pelos arts. 33 a 36. Ela só é lícita em hipóteses fechadas: país com proteção adequada, cláusulas-padrão aprovadas, ou consentimento específico e em destaque do titular. Na prática, o perito quase nunca cumpre nenhuma delas.

Sanções, sigilo profissional e segredo de justiça

• Sanções da ANPD (art. 52): advertência, multa de até 2% do faturamento limitada a R$ 50 milhões por infração, bloqueio e eliminação de dados. Uma ressalva honesta: esse teto milionário incide sobre pessoa jurídica. Para o perito pessoa física, a exposição maior é a indenização às partes e o processo ético no conselho, não a multa milionária.
• Sigilo profissional: o Código de Ética do Sistema CONFEA/CREA (Resolução 1.002/2002) impõe dever de sigilo. Quebrá-lo é infração disciplinar no CREA, independentemente da ANPD.
• Segredo de justiça (CPC, art. 189): enviar à IA um laudo de processo sob segredo de justiça pode violar, de uma vez só, o segredo de justiça, o sigilo profissional e a LGPD. É o cenário mais grave.

Vale registrar uma referência recente: o Conselho Nacional de Justiça, na Resolução nº 615/2025, ao regular o uso de IA no Judiciário, já exige observância do segredo de justiça e da LGPD, que a ferramenta não use os dados para treinar o modelo, e supervisão humana obrigatória. A direção da régua está clara.

Checklist: como usar IA no laudo com segurança

Este é o tratamento mínimo antes de qualquer envio. Repito o princípio, porque é ele que sustenta o resto: a anonimização é a entrada, não uma correção feita depois.

1. Anonimize os dados pessoais. Remova nome, CPF, RG, matrícula, número do processo, placa e endereço. Substitua por marcadores genéricos ("Parte A", "Imóvel 1").
2. Minimize. Envie só o trecho estritamente necessário, não o documento inteiro.
3. Remova os metadados EXIF das fotos (ou envie um print). Lembrando: se o carimbo de data e GPS está "queimado" nos pixels, remover o EXIF não resolve.
4. Use contas que não treinam com os seus dados (API, Enterprise ou opt-out ativado). "Mais seguro" não significa "fora da LGPD".
5. Nunca suba material sob sigilo (segredo de justiça, casos com menores, sigilo bancário ou fiscal).
6. Prefira o processamento local para as etapas com dado sensível, e só então envie o que já está anonimizado.
7. Declare o uso de IA na metodologia do laudo. Transparência é parte da governança.

Governança de dados no Método Déxia

Foi por causa de tudo isso que a governança de dados virou parte da forma de trabalhar do Método Déxia, e não um lembrete colado no fim. Mas quero ser honesta no enquadramento, porque prometer demais aqui seria contradizer o artigo inteiro.

A pergunta não é "posso usar IA no laudo?". É "o que eu tratei antes de enviar?". A resposta a essa segunda pergunta é que separa o uso responsável do vazamento.

Esse cuidado com o dado conversa com o resto do que construí. Antes, trabalhei a inteligência artificial em laudos de engenharia pela fundamentação, para que cada afirmação pudesse ser rastreada até a fonte. Depois, a IA privada, que não sai do seu controle, para que o conhecimento que alimenta o trabalho fosse meu. E, mais recentemente, uma banca para auditar o próprio laudo antes da impugnação. Governança de dados é o alicerce que segura os três: não adianta um laudo bem fundamentado se, para produzi-lo, você expôs o dado do cliente.

Eu continuo usando IA na perícia. A diferença é que hoje eu sei o que sai da minha máquina, e o que fica. E isso, para quem assina um laudo, não é detalhe.