A LGPD garante revisão humana de decisão automática?

17 de agosto de 2026LGPD de Todos11 min de leitura

Não garante. A expressão "por pessoa natural" estava no texto original de 2018, saiu por medida provisória, o Congresso aprovou um parágrafo trazendo ela de volta, e esse parágrafo foi vetado em 8 de julho de 2019. O direito que sobrou é real, mas é outro: pedir a revisão, e receber explicação sobre os critérios.

Esta é uma daquelas frases que se repetem tanto que viram verdade. "A LGPD garante revisão humana" aparece em treinamento, em post e em proposta comercial, e quem repete quase sempre está citando, sem saber, um texto que não vale mais. A diferença importa para os dois lados: para quem usa sistema que decide, porque muda o que precisa ser montado; e para quem teve um pedido negado por uma máquina, porque muda o que dá para exigir.

1. O que o Art. 20 dá, e o que ele não dá

O caput em vigor é curto e vale ler devagar, porque cada pedaço dele faz um trabalho.

Repare no que está escrito e no que não está. Está escrito que o titular pode solicitar a revisão. Não está escrito quem revisa, nem em quanto tempo, nem com qual profundidade. A lei cria o direito de pedir e deixa o resto em aberto, e é exatamente esse silêncio que a próxima seção explica, porque ele não é acidental.

Para comparação, veja como o mesmo artigo era no texto sancionado em 2018:

Três palavras de diferença, e elas mudam tudo. Quem cita "revisão humana" hoje está citando a versão de 2018, que nunca chegou a produzir efeito nessa parte: a LGPD entrou em vigor depois, já com a redação alterada.

2. A revisão humana foi escrita, aprovada e vetada

Esta não é uma interpretação nossa, é uma sequência de documentos públicos. A expressão saiu na Medida Provisória nº 869/2018. Quando o Congresso converteu a medida em lei, ele tentou recolocar a exigência, agora como um parágrafo novo. E o parágrafo foi vetado.

O veto está na Mensagem nº 288, de 8 de julho de 2019. E as razões oficiais dizem, com todas as letras, por que a exigência caiu:

A gente não está endossando nem criticando esse raciocínio: está mostrando que ele existe, é oficial e é a razão pela qual o texto vigente ficou como ficou. Duas vezes a exigência de revisão humana foi retirada da LGPD, e a segunda vez foi deliberada, fundamentada e publicada.

Um limite honesto, para o texto não virar o erro contrário. Tudo isso vale para a LGPD. Não quer dizer que revisão humana nunca seja exigível no Brasil: relação de consumo, regulação setorial e o próprio contrato que você assinou com o cliente podem criar esse dever por outro caminho. O que este texto afirma, e só isso, é que a LGPD não cria.

3. A palavra "unicamente" é o portão

Antes de discutir quem revisa, vale conferir se o Art. 20 sequer se aplica ao seu caso. O caput fala de decisões tomadas unicamente com base em tratamento automatizado. Se uma pessoa participou de verdade do juízo, a decisão não é unicamente automatizada e o artigo não é acionado.

Na prática, quase todo negócio sem estrutura de tecnologia está fora do alcance do artigo sem perceber. O sistema calcula, sugere, ordena a fila, e alguém olha e decide. Isso é apoio à decisão, não decisão automatizada.

Uma advertência sobre a linha de baixo da tabela. "Uma pessoa participou" não pode virar ficção. Se o procedimento é apertar aprovar em tudo o que a máquina sugeriu, sem análise e sem poder real de discordar, a participação humana existe no organograma e não existe na decisão. Nesse cenário, contar com o "não se aplica" é apostar alto.

4. A obrigação que sobrou é explicar

Perdida a discussão sobre quem revisa, o dever concreto do Art. 20 está no § 1º, e ele é bem mais exigente do que parece.

Duas coisas saltam. A primeira é "sempre que solicitadas": não é uma explicação publicada uma vez, é uma resposta devida a cada pedido. A segunda é o desenho do § 2º, que fecha a saída fácil. Você pode recusar detalhes invocando segredo comercial, e a lei aceita isso. Só que a recusa por esse motivo é justamente o gatilho que autoriza a ANPD a auditar, e a auditar procurando aspectos discriminatórios. Ou seja, o segredo protege a fórmula, não protege do escrutínio.

Há ainda uma consequência que muita gente não liga ao Art. 20: se você usa um sistema de terceiro e não sabe explicar por que ele decide o que decide, você está sem resposta para uma obrigação que é sua, e não do fornecedor. Esse é um tema para o contrato, e o caminho está em Responsabilidade do fornecedor que acessa dados.

5. Decidir por sistema mexe no seu enquadramento

Este é o efeito prático mais caro, e ele não está na LGPD, está na regulamentação da ANPD. A Resolução CD/ANPD nº 2/2022 lista, entre os critérios específicos de alto risco, exatamente as decisões tomadas unicamente com base em tratamento automatizado, inclusive as destinadas a definir perfil pessoal, profissional, de saúde, de consumo e de crédito.

Aqui é obrigatório ser preciso, porque a simplificação apressada desse ponto é comum e leva a conclusão errada. O critério do Art. 4º é cumulativo: só há alto risco quando se atende ao mesmo tempo a pelo menos um critério geral, como tratamento em larga escala ou tratamento que possa afetar significativamente interesses e direitos fundamentais, e a pelo menos um critério específico, como a decisão automatizada. Sozinha, a decisão automatizada não caracteriza alto risco nenhum. Quando caracteriza, é também o cenário em que a ANPD pode pedir o relatório de impacto.

Quando os dois se somam, porém, a consequência é direta e vale mais do que qualquer susto: o agente de tratamento de pequeno porte deixa de se beneficiar do tratamento diferenciado do regulamento. Caem o registro simplificado, a dispensa de indicar encarregado, a política simplificada de segurança e os prazos em dobro. O que isso significa na prática está em LGPD para pequena empresa, e a parte do encarregado em Preciso ter um Encarregado (DPO).

6. O que montar, na prática

Se algum sistema seu decide sozinho sobre pessoas, quatro coisas resolvem quase tudo, e nenhuma delas exige contratar time.

Saiba quais decisões são automatizadas. Liste onde um resultado sai sem que alguém analise: recusa de compra, negativa de cadastro, descarte de candidato, corte de limite. Essa lista é o que permite responder rápido quando alguém reclamar, e ela é parte natural do registro das operações, explicado em RoPA para pequena empresa.

Tenha a explicação pronta, em português. O § 1º pede critérios e procedimentos de forma clara e adequada. Escreva antes o que o sistema leva em conta e como chega ao resultado, no nível que dá para contar sem entregar a fórmula. Escrever isso na hora do conflito é o pior momento possível.

Abra um caminho de revisão e diga qual é. A lei não define quem revisa, mas define que o titular pode pedir. Um canal claro, um prazo que você consiga cumprir e um registro de cada pedido e do que foi respondido bastam. Sem esse registro, você tem a política e não tem a prova.

Decida antes o que fazer com o pedido. Revisar de verdade significa poder mudar o resultado. Se a resposta padrão for repetir a decisão sem reexaminar nada, o direito virou formulário, e é assim que uma reclamação simples vira um problema maior.

A discussão ficou mais concreta desde que ferramentas de inteligência artificial entraram na rotina das empresas, porque a distância entre ajudar a escrever e decidir sozinha é curta. Onde fica essa linha, e o que muda quando o dado do cliente entra na janela, está em posso colocar dados de clientes no ChatGPT?.

7. Perguntas frequentes

A LGPD obriga uma pessoa a revisar a decisão do sistema?

Não obriga. A expressão por pessoa natural estava no texto de 2018, saiu na Medida Provisória nº 869/2018 e não voltou na Lei nº 13.853/2019, que deu a redação em vigor. O Congresso chegou a aprovar um parágrafo trazendo a exigência de volta, e esse parágrafo foi vetado em 8 de julho de 2019. O que existe hoje é o direito de pedir revisão da decisão, sem que a lei diga quem precisa revisar.

Então o titular não pode contestar uma decisão automática?

Pode, e esse direito está no caput do Art. 20. O titular tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluídas as que definem perfil pessoal, profissional, de consumo e de crédito. O que a lei não determina é que a revisão seja feita por uma pessoa. Ela precisa acontecer e ser respondida.

O que significa decisão tomada unicamente de forma automatizada?

Significa que nenhuma pessoa participou do juízo que levou ao resultado. Se um sistema calcula uma nota e alguém analisa o caso e decide, a decisão não foi tomada unicamente com base em tratamento automatizado, e o Art. 20 não se aplica àquele caso. A participação precisa ser real: aprovar em massa o que a máquina sugeriu, sem análise, não transforma a decisão em humana.

Sou obrigado a explicar como o meu sistema decide?

Sim, dentro de um limite. O Art. 20, § 1º diz que o controlador deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial. Você pode proteger o segredo do negócio, mas o § 2º prevê que, nesse caso, a ANPD poderá realizar auditoria para verificar aspectos discriminatórios.

Usar decisão automatizada muda o meu enquadramento na ANPD?

Pode mudar. A Resolução CD/ANPD nº 2/2022 lista, no Art. 4º, decisões tomadas unicamente com base em tratamento automatizado como critério específico de alto risco. O critério é cumulativo: sozinho ele não caracteriza nada, mas somado a um critério geral, como tratamento em larga escala, caracteriza alto risco. E quem faz tratamento de alto risco deixa de se beneficiar do regime facilitado do agente de pequeno porte.

O que diz o artigo 20 da LGPD?

Que o titular tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem os interesses dele, incluídas as que definem perfil pessoal, profissional, de consumo e de crédito ou aspectos da personalidade. O § 1º obriga o controlador a fornecer, quando solicitado, informações claras e adequadas sobre os critérios e os procedimentos da decisão, respeitados os segredos comercial e industrial. O § 2º diz que, se a empresa se recusar a informar alegando segredo, a ANPD pode fazer auditoria para verificar aspectos discriminatórios. A palavra "unicamente" é o portão: decisão com participação humana real fica fora.

Fontes: Lei nº 13.709/2018 (LGPD), Art. 20 e suas três redações · Mensagem nº 288, de 8 de julho de 2019 (razões do veto) · Resolução CD/ANPD nº 2/2022, Arts. 3º e 4º · Lei nº 13.853/2019, que alterou a LGPD e criou a ANPD

Publicado por LGPD de Todos, projeto da EFAR Consultoria em TI. Veja como produzimos os nossos textos.