Guia • LGPD e segurança

RAG e LGPD: como implantar IA com os documentos da empresa.

RAG é a técnica em que a IA busca trechos nos documentos da empresa e responde a partir deles. Esses documentos têm nome de funcionário, CPF de cliente, laudo médico, salário. Este guia mostra onde o dado pessoal aparece num RAG, o que a LGPD exige em cada etapa e um checklist de implantação para levar ao encarregado de dados.

Atualizado em: 30/09/2026 Leitura: 7 min Para: encarregado de dados (DPO), jurídico, TI e segurança

Como implantar RAG de acordo com a LGPD?

Defina a finalidade e a base legal, classifique os documentos antes de indexar, faça cada pessoa receber resposta só do que pode ver, envie ao provedor de IA apenas o necessário e sem dados pessoais quando possível, registre cada consulta e garanta que apagar um documento apague também os trechos e vetores derivados dele. Se o provedor estiver fora do Brasil, trate o envio como transferência internacional.

Classificação e controle de acesso antes da primeira resposta.
Minimização: o provedor recebe trechos, não a base inteira.
Apagamento que alcança índices e vetores, e clareza sobre o que não alcança.

Onde o dado pessoal aparece num RAG.

Um RAG tem quatro momentos, e em todos pode haver dado pessoal:

Etapa	O que acontece	Onde está o dado pessoal
Ingestão	Os documentos são divididos em trechos e transformados em vetores (embeddings)	Nos trechos guardados e no texto enviado para gerar os vetores
Busca	A pergunta é comparada com os vetores para achar os trechos mais próximos	Na pergunta, que pode citar uma pessoa, e nos trechos encontrados
Geração	A pergunta e os trechos vão ao modelo de IA, que escreve a resposta	No que é enviado ao provedor e na resposta devolvida
Registro	Conversas e consultas ficam guardadas para auditoria e melhoria	No histórico de conversas e nos logs, na empresa e no provedor

O erro comum é olhar só para a geração. A ingestão e o registro guardam dados por muito mais tempo que uma resposta.

O que a LGPD exige em cada ponto.

Finalidade, necessidade e base legal.

Os princípios do artigo 6º pedem finalidade definida e só os dados necessários para ela. Para um assistente interno, a base legal costuma ser o legítimo interesse ou a execução de contrato (artigo 7º), mas quem decide é o controlador, com o encarregado. Dados sensíveis, como saúde e biometria, têm regras próprias (artigo 11) e em geral não deveriam entrar no índice sem uma razão clara.

Segurança e controle de acesso.

O artigo 46 exige medidas de segurança para proteger os dados de acessos não autorizados. Num RAG, isso significa que a busca respeita as permissões: se a pessoa não pode abrir o documento, a IA não pode usar um trecho dele na resposta. Um índice único que todos consultam é um vazamento esperando acontecer.

Transferência internacional.

Se os trechos com dados pessoais vão a um provedor que processa fora do Brasil, é transferência internacional (artigos 33 e seguintes). A Resolução CD/ANPD nº 19/2024 aprovou as cláusulas-padrão contratuais para esse caso. As alternativas técnicas são remover os dados pessoais antes do envio ou usar um modelo dentro da rede da empresa.

Direitos do titular.

O titular pode pedir acesso, correção e eliminação dos seus dados (artigo 18). Num RAG, apagar o documento na pasta não basta: os trechos e os vetores gerados a partir dele continuam no índice e podem aparecer em respostas. O apagamento precisa alcançar o índice, e a empresa precisa saber o que ele não alcança, como backups até a rotação e registros guardados pelo provedor.

Registro e relatório de impacto.

O controlador deve manter registro das operações de tratamento (artigo 37) e pode ter de apresentar um relatório de impacto à proteção de dados (artigo 38). Um RAG que registra quem perguntou, o que foi respondido e com base em quais documentos facilita os dois.

Checklist de implantação.

Mapeie as fontes. Que pastas e sistemas entram, que tipo de dado pessoal há em cada um e quem é o dono.
Classifique antes de indexar. Público, interno, confidencial e restrito. O restrito não deveria entrar nas respostas, e o ideal é que nem o texto para gerar os vetores saia da empresa.
Deixe fora o que não tem finalidade. Prontuários, folha de pagamento e processos disciplinares raramente precisam estar num assistente geral.
Permissão na busca, não só na tela. O filtro de acesso é aplicado antes de o trecho ir ao modelo.
Minimize o envio. Só os trechos da resposta, com CPF, e-mail e telefone removidos quando o documento é confidencial. Nome e e-mail de quem pergunta não precisam ir.
Escolha o provedor com contrato. Não treinamento com os dados, retenção definida, região conhecida e cláusulas de transferência internacional quando aplicável. Ou um modelo dentro da rede.
Registre cada consulta. Quem perguntou, quando, o que foi respondido e com base em quais documentos.
Defina prazos de retenção para conversas e logs, com expurgo automático.
Teste o apagamento. Apague um documento de teste e confirme que nenhum trecho dele aparece mais em respostas.
Documente para o encarregado. O que sai para o provedor, o que fica, o que o apagamento alcança e o que não alcança.

Como o Corptex faz isso.

O Corptex é instalado só para a sua empresa, no servidor ou na nuvem privada dela. Cada documento tem classificação e visibilidade por setor, e a busca aplica essas permissões antes de montar a resposta. Conteúdo restrito nunca entra na conversa com a IA, e o envio dele para gerar vetores pode ser bloqueado ou feito com um modelo na rede da empresa; conteúdo confidencial vai com CPF, CNPJ, e-mail, telefone e cartão removidos; nome, e-mail e cargo de quem pergunta não são enviados. O provedor é escolhido pela empresa, inclusive um modelo dentro da rede dela.

Para o encarregado, o Corptex exporta os dados de um titular, apaga conversas, expurga o que passou do prazo e gera um relatório de LGPD que diz também o que o apagamento não alcança. Veja a página de segurança e LGPD, o guia de IA soberana e o guia sobre RAG e busca corporativa. No tour, veja a tela de auditoria.

Perguntas frequentes

Usar RAG com documentos da empresa é permitido pela LGPD?

Sim. A LGPD não proíbe a inteligência artificial; ela exige que o tratamento de dados pessoais tenha finalidade definida, base legal, só o necessário, segurança e respeito aos direitos dos titulares. Um RAG bem implantado cumpre isso com controle de acesso, minimização do que vai ao provedor de IA e registro das operações.

Embedding de um documento com dado pessoal ainda é dado pessoal?

Trate como se fosse. O embedding é derivado do texto e fica guardado ao lado dele; o trecho original, que é recuperado e enviado ao modelo, contém o dado pessoal. Por isso o apagamento de um documento precisa remover também os trechos e os vetores gerados a partir dele, e a empresa precisa saber o que o apagamento não alcança, como backups e registros do provedor.

Mandar os trechos para um provedor de IA no exterior é transferência internacional?

Se os trechos contêm dados pessoais e o provedor processa fora do Brasil, sim. A LGPD trata isso nos artigos 33 e seguintes, e a Resolução CD/ANPD nº 19/2024 aprovou cláusulas-padrão contratuais para essas transferências. As alternativas são remover os dados pessoais antes do envio ou usar um modelo dentro da rede da empresa.

Este guia é informativo e não substitui a orientação jurídica do encarregado de dados da sua empresa. Fontes: Lei nº 13.709/2018 (LGPD) e Resolução CD/ANPD nº 19/2024, consultadas em 30/09/2026.

Veja o Corptex funcionando com o vocabulário da sua empresa.

Uma conversa de 30 minutos, uma demonstração com um setor real e um plano de implantação fechado em semanas, não meses.

Agendar conversa Fazer o tour do produto