A inteligência artificial pode acelerar a criação de um site, mas a empresa continua responsável por entender dados, cookies, integrações e medidas de segurança antes de publicar.
Um site criado com inteligência artificial pode ficar pronto em horas. A página abre, o formulário funciona e o layout parece profissional. Mas isso não responde à pergunta que importa depois que o site vai ao ar: quais dados ele coleta, para onde esses dados vão e quem consegue acessá-los?
Usar IA para desenvolver não torna um site automaticamente irregular. A LGPD não cria uma categoria especial para “site feito por IA”. O que a lei regula é o tratamento de dados pessoais — em meio digital ou não — realizado por pessoas físicas ou jurídicas nas hipóteses em que ela se aplica. Dado pessoal é informação relacionada a uma pessoa natural identificada ou identificável; tratamento inclui, por exemplo, coletar, armazenar, usar, compartilhar e transferir informações. Lei nº 13.709/2018 (LGPD), arts. 1º, 3º e 5º.
O risco aparece quando a velocidade de publicação substitui a revisão. Um gerador pode entregar o código, instalar um formulário e sugerir integrações. Ele não conhece, por conta própria, a finalidade real do negócio, a base legal escolhida, quais fornecedores foram contratados, quais dados devem ser mantidos ou quem terá acesso ao painel. Essas são decisões da empresa.
Um formulário bonito já pode envolver dados pessoais
Nome, e-mail e telefone são exemplos comuns de informações capazes de identificar ou se relacionar com uma pessoa. Quando o site recebe esse tipo de dado, a empresa precisa saber por que está pedindo cada campo, se ele é necessário e como explicará isso ao visitante.
Não é uma questão de colocar uma frase genérica embaixo do botão. A LGPD trabalha com princípios como finalidade, adequação, necessidade, transparência, segurança e responsabilização. Em termos simples: a coleta deve ter um motivo legítimo e informado; os dados precisam ser compatíveis com esse motivo; e não faz sentido pedir mais do que o necessário. LGPD, art. 6º.
Também não existe uma única regra de “sempre pedir consentimento”. O consentimento é uma das hipóteses previstas pela LGPD, mas não é a única. O tratamento pode, conforme o caso, ter outras bases legais, como execução de contrato, obrigação legal ou legítimo interesse — sempre com os limites e deveres aplicáveis. A base correta depende da finalidade e da operação concreta, não do nome da ferramenta que construiu o site. ANPD, perguntas frequentes sobre bases legais.
O que o visitante não vê também precisa ser revisado
O formulário é a parte óbvia. A parte menos óbvia costuma estar nas integrações: cookies, pixel de anúncios, analytics, chatbots, mapas, automações, widgets e ferramentas de sessão.
Esses recursos podem registrar eventos de navegação, receber dados enviados pelo formulário ou transmitir informações para outros serviços. Isso não significa que toda integração seja proibida, nem que todo cookie exija a mesma solução. Significa que a empresa precisa mapear o que está ativo, avaliar a finalidade e a base legal aplicável, informar o visitante de forma clara e manter o comportamento técnico coerente com o que foi informado.
Uma política de privacidade copiada de outro site não resolve essa diferença. O documento deve refletir a prática: finalidade do tratamento, forma e duração, identificação e contato do controlador, eventual uso compartilhado e direitos do titular são algumas das informações previstas pela LGPD. LGPD, art. 9º.
Segurança não entra só depois do vazamento
O outro erro comum é pensar que privacidade se resume a texto jurídico ou banner de cookies. A LGPD exige medidas técnicas e administrativas para proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas, como perda, alteração, comunicação ou tratamento inadequado. A própria lei diz que essas medidas devem ser observadas desde a concepção do produto ou serviço até a execução. LGPD, art. 46.
Na prática, uma revisão inicial pode observar pontos como:
– se o site usa HTTPS e expõe cabeçalhos básicos de segurança;
– quais scripts de terceiros carregam antes de uma escolha do visitante;
– se formulários pedem apenas o necessário;
– onde as respostas do formulário são armazenadas;
– quais usuários, fornecedores ou integrações recebem acesso;
– se avisos de privacidade e cookies correspondem ao comportamento real do site.
Esse checklist não declara que um site está “100% em conformidade”. Há questões de contrato, governança, retenção, atendimento aos titulares e decisões internas que não aparecem apenas olhando uma URL. Ele serve para transformar uma impressão vaga de risco em evidências que possam ser revisadas.
E a multa de até R$ 50 milhões?
A LGPD prevê diferentes sanções administrativas. Entre elas está a multa simples de até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. Esse teto não é uma multa automática aplicada a qualquer site que tenha um formulário ou um cookie. A ANPD informa que a aplicação de sanções ocorre após procedimento administrativo com ampla defesa, e a autoridade considera circunstâncias como gravidade, dano, condição econômica, cooperação e medidas corretivas. ANPD, perguntas frequentes sobre sanções.
Então o ponto não é usar o valor como ameaça vazia. O ponto é entender que publicar sem revisar pode criar um problema que custa tempo, credibilidade e dinheiro para corrigir — especialmente se a empresa já estiver investindo em tráfego para levar mais pessoas a esse site.
Quem responde quando algo está errado?
Não é a IA. Não é o template. Não é o botão que você instalou em cinco minutos.
A LGPD define controlador como a pessoa natural ou jurídica que toma as decisões sobre o tratamento de dados. Dependendo da situação, fornecedores também podem ter obrigações como operadores, mas contratar uma ferramenta não elimina as decisões e responsabilidades da empresa sobre a operação que colocou no ar. LGPD, art. 5º, VI e VII.
Isso não significa que um empresário precise virar especialista em direito digital antes de criar uma landing page. Significa que ele precisa saber quais perguntas fazer, guardar evidências das decisões e chamar apoio técnico ou jurídico quando a situação exigir.
Checklist antes de enviar tráfego para o site
Antes de impulsionar uma página ou anunciar no Google, responda:
1. Quais dados o site coleta e para qual finalidade?
2. Quais cookies, pixels e integrações estão ativos?
3. Para onde esses dados são enviados e quais fornecedores participam do processo?
4. Quem tem acesso às respostas, aos painéis e às contas conectadas?
5. O aviso de privacidade e a experiência de cookies correspondem ao que acontece tecnicamente?
6. Existem medidas básicas de segurança e um caminho para corrigir um achado?
Se você não consegue responder a uma dessas perguntas, o melhor momento para descobrir é antes de aumentar o tráfego. A análise técnica preliminar da TAVIO faz uma leitura baseada em evidências observáveis do site, como elementos do HTML, cabeçalhos e sinais de integrações. Ela não substitui uma avaliação jurídica, mas ajuda a apontar o que precisa ser conferido.
Perguntas que o leitor faz
– Um site feito por IA está automaticamente fora da LGPD?
– Todo cookie exige consentimento?
– O que preciso revisar antes de publicar uma landing page?
– A multa de R$ 50 milhões é automática?
– Um diagnóstico técnico substitui advogado ou DPO?
FAQ
Um site feito por IA está automaticamente fora da LGPD?
Não. A tecnologia usada para criar o site não decide a conformidade. O que precisa ser avaliado é o tratamento de dados pessoais: o que é coletado, para qual finalidade, qual hipótese legal sustenta a operação, como há transparência e quais medidas de segurança existem.
Todo cookie exige consentimento?
Não dá para responder isso apenas pelo nome “cookie”. A LGPD prevê mais de uma base legal para tratamento de dados. Cookies não essenciais, publicidade comportamental e ferramentas de terceiros pedem análise cuidadosa da finalidade, da necessidade, da transparência e da base legal aplicável. Um banner que não corresponde ao comportamento técnico também não resolve o problema.
A multa de até R$ 50 milhões é automática?
Não. A multa simples tem esse limite legal por infração, mas a ANPD aplica sanções mediante procedimento administrativo que assegura ampla defesa e considera circunstâncias do caso. A existência de um site ou de um formulário, isoladamente, não permite concluir qual sanção existiria.
Uma política de privacidade padrão basta?
Não necessariamente. Ela precisa ser compatível com o que o site realmente faz. Se o texto diz que não há compartilhamento, mas a página envia informações para ferramentas de terceiros, há uma incoerência que precisa ser revisada.
O diagnóstico técnico substitui uma avaliação jurídica?
Não. O diagnóstico aponta evidências técnicas e possíveis pontos de atenção. Decisões sobre bases legais, contratos, retenção, governança e medidas adequadas para uma empresa específica podem exigir revisão jurídica e técnica humana.
