Key Takeaways
- LGPD (Brasil): A Lei Geral de Proteção de Dados exige residência de dados, consentimento e registros de auditoria. LLMs locais atendem ao requisito de residência de dados por padrão.
- GDPR (UE): Residência de dados na UE, direito de exclusão, avaliações de impacto. LLMs locais eliminam o Artigo 28 (acordos de processamento de dados com terceiros).
- HIPAA (EUA): PHI deve permanecer no local. LLMs locais são conformes com HIPAA se os dados de saúde nunca saírem da rede.
- SOC2: Registros de auditoria, controle de acesso, criptografia. LLMs locais simplificam o escopo de auditoria mantendo os dados no local.
- Lei de IA da UE: Sistemas de IA de alto risco requerem documentação, registro e supervisão humana. LLMs locais facilitam a conformidade com controle total.
- A conformidade requer configuração correta — LLMs locais não são conformes automaticamente sem logs de auditoria, controle de acesso e documentação.
LGPD: Lei Geral de Proteção de Dados (Brasil)
A LGPD (Lei 13.709/2018) regulamenta o tratamento de dados pessoais no Brasil. Os LLMs locais atendem ao requisito de residência de dados por padrão — os dados nunca saem da rede da organização.
- Bases legais para tratamento: A LGPD exige uma base legal para cada operação de tratamento (consentimento, execução de contrato, obrigação legal, interesse legítimo).
- RIPD (Relatório de Impacto à Proteção de Dados Pessoais): Exigido para tratamento de alto risco. Documente o que o LLM processa, por quê e as medidas de segurança adotadas.
- ANPD: A Autoridade Nacional de Proteção de Dados pode exigir relatórios. Mantenha registros de todas as atividades de tratamento de dados.
- Direitos do titular: Os usuários podem solicitar acesso, correção e exclusão de dados. Certifique-se de que os logs gerados pelo LLM possam ser auditados e excluídos.
GDPR: Residência de dados e direitos (UE)
LLMs locais eliminam a necessidade de acordos de processador de dados (Artigo 28 GDPR) ao manter todos os dados dentro da UE sem transferências para terceiros.
- Artigo 28 GDPR: Acordos de processador de dados são obrigatórios quando terceiros processam dados pessoais. LLMs locais eliminam esse requisito.
- Artigo 32 GDPR: Segurança do processamento — criptografe os dados em repouso e em trânsito. Use armazenamento criptografado para os arquivos do modelo e logs.
- Direito de exclusão: Mantenha logs de quais dados foram processados para poder atender a solicitações de exclusão.
HIPAA: Informação de saúde protegida (EUA)
Para organizações de saúde, PHI (Informação de Saúde Protegida) deve permanecer no local. LLMs locais são conformes com HIPAA se os dados de saúde nunca saírem da rede.
- Regra de Privacidade HIPAA: PHI não pode ser enviada para APIs de nuvem sem um BAA (Acordo de Parceiro de Negócios).
- LLMs locais e HIPAA: Mantendo a inferência no local, você elimina a necessidade de BAAs para o processamento do LLM.
- Registros de auditoria: HIPAA exige trilhas de auditoria de quem acessou PHI. Configure o registro em sua implantação de LLM local.
SOC2: Auditoria e controles
SOC2 requer controles em torno de segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade. LLMs locais simplificam o escopo ao manter os dados no local.
- Controle de acesso: Implemente RBAC (controle de acesso baseado em função) para sua implantação de LLM.
- Registro: Registre todas as consultas, respostas e ações de acesso de usuários.
- Criptografia: Criptografe dados em repouso e em trânsito. Use TLS para tráfego de rede interno.
Lei de IA da UE: Requisitos de transparência
A Lei de IA da UE classifica sistemas de IA por nível de risco. Aplicações de alto risco (saúde, recursos humanos, segurança crítica) requerem documentação, registro e supervisão humana.
- Sistemas de alto risco: Exigem documentação técnica, registro de conformidade e supervisão humana.
- Obrigações de transparência: Os usuários devem ser informados quando interagem com IA.
- Registro: Mantenha logs de todos os outputs do sistema de IA para auditoria.
Documentação e registros de auditoria para conformidade
Documentação mínima de conformidade para implantações de LLM:
- Registro de atividades de tratamento de dados (exigido pela LGPD/GDPR)
- Avaliação de impacto de proteção de dados para sistemas de alto risco
- Políticas de retenção e exclusão de dados
- Registros de treinamento de funcionários em privacidade de dados
- Plano de resposta a incidentes com procedimentos de notificação à ANPD/autoridade de proteção de dados
- Documentação técnica do sistema de LLM (versão do modelo, parâmetros, dados de treinamento)
Erros comuns de conformidade com LLMs locais
- Assumir que "local" significa automaticamente conforme. LLMs locais fornecem o requisito de residência de dados, mas ainda precisam de logs de auditoria, controle de acesso e documentação.
- Não criar logs de auditoria. A LGPD e o GDPR exigem trilhas de auditoria. Habilite o registro em sua implantação de LLM.
- Ignorar os direitos do titular dos dados. Os usuários podem solicitar acesso ou exclusão de seus dados — certifique-se de que seu sistema possa atender a essas solicitações.
- Pular a avaliação de impacto de proteção de dados. Para processamento de alto risco, uma RIPD é obrigatória pela LGPD.
- Não documentar a base legal. Cada operação de tratamento de dados deve ter uma base legal documentada.
Fontes
- Lei Geral de Proteção de Dados (LGPD) -- www.gov.br/anpd
- GDPR Artigo 28 -- gdpr-info.eu
- Regulamento HIPAA -- hhs.gov/hipaa
- SOC2 Framework -- aicpa.org
- Lei de IA da UE -- artificialintelligenceact.eu