Resposta rápida — Quando uma ferramenta de IA trata dados de crianças na escola, quatro exigências da LGPD se somam: o artigo 14 pede consentimento específico e destacado de pelo menos um responsável, além de tratamento no melhor interesse do titular; o artigo 11 se aplica se houver dado de saúde; o artigo 20 garante revisão humana de decisões automatizadas; e o artigo 6º limita finalidade e volume de coleta. Autorização genérica de matrícula não cobre isso.
Um chatbot de tutoria que conversa com um aluno de nove anos coleta muito mais do que respostas certas ou erradas. Coleta como aquela criança escreve, em que horário estuda, onde erra com frequência, quanto tempo hesita antes de responder — e, em texto livre, às vezes o tom emocional de uma mensagem.
Quando o titular é menor de idade, a Lei Geral de Proteção de Dados não trata esse dado como um dado qualquer. E é aí que muitas escolas, ao adotarem ferramentas de IA sem revisar o desenho de privacidade por trás delas, assumem risco sem perceber.
As quatro camadas que se somam
O regime aplicável a dado de criança em ferramenta de IA não é o regime comum com um cuidado extra. São quatro exigências que se acumulam.
| Dispositivo | O que exige | Consequência prática |
|---|---|---|
| Art. 14 | Tratamento no melhor interesse do titular; para crianças, consentimento específico e destacado de pelo menos um dos responsáveis | Autorização genérica de matrícula não serve |
| Art. 14, § 3º | Vedação de condicionar a participação da criança ao fornecimento de dados além dos estritamente necessários | Ferramenta não pode exigir cadastro completo para funcionar |
| Art. 11 | Regime restritivo para dado sensível, incluindo saúde | Menção a laudo, diagnóstico ou condição de saúde muda o enquadramento |
| Art. 20 | Direito de solicitar revisão de decisão tomada exclusivamente por tratamento automatizado | Nota, triagem ou alerta precisa de revisão humana |
| Art. 6º | Finalidade determinada, adequação, necessidade e não discriminação | Coleta limitada ao que a atividade exige |
O parágrafo terceiro do artigo 14 é o menos citado e um dos mais úteis na negociação com fornecedores: ele veda condicionar a participação da criança em aplicações de internet ao fornecimento de informações pessoais além das estritamente necessárias à atividade. Uma plataforma de tutoria que exige nome completo, data de nascimento e endereço para funcionar está pedindo mais do que a atividade requer — e a instituição tem base legal para exigir a configuração mínima.
Por que a autorização de matrícula não resolve
Autorizar o uso de plataformas digitais em um termo genérico assinado no início do ano provavelmente não cobre o que uma ferramenta de IA faz com os dados daquele aluno ao longo dos meses seguintes.
O consentimento precisa ser específico para a finalidade. Isso significa que os responsáveis precisam entender, em linguagem acessível, quatro coisas: o que está sendo coletado, para quê, por quanto tempo fica armazenado e se é compartilhado com terceiros. Uma cláusula redigida antes de a instituição adotar qualquer ferramenta específica dificilmente atende esse padrão quando confrontada com o que a ferramenta efetivamente processa.
Há também um problema de granularidade: um termo tão amplo que não permite ao responsável recusar um uso específico sem recusar a matrícula inteira tende a não configurar consentimento livre.
O ponto cego mais comum: o fornecedor, não a escola
Boa parte do risco não está na escola em si. Está no fornecedor.
Muitas plataformas de IA voltadas à educação são operadas por empresas de tecnologia que também atendem outros setores, com políticas de dados pensadas para público adulto. Quando a escola contrata uma dessas ferramentas sem perguntar onde os dados dos alunos são armazenados, por quanto tempo, se alimentam treinamento de outros modelos ou se são compartilhados com terceiros, ela está terceirizando uma decisão de proteção de dados de menores para alguém que talvez nem saiba que está lidando com dado infantil.
E a terceirização não transfere a responsabilidade. Na estrutura da LGPD, a escola é controladora — define finalidade e meios do tratamento — e o fornecedor é operador, que trata em nome dela. O artigo 42 estabelece a obrigação de reparar o dano causado, com responsabilidade solidária do operador quando ele descumprir as instruções lícitas do controlador. Quem a família procura, em qualquer cenário, é a escola.
A pergunta que encerra uma avaliação — Se dados de estudantes menores de idade alimentam treinamento de modelos do fornecedor, não há configuração contratual que torne isso confortável. Essa pergunta deve ser feita por escrito e antes da assinatura, porque a resposta afirmativa é motivo suficiente para não avançar.
As ferramentas que ninguém contratou
Existe uma categoria de exposição que não aparece em nenhum contrato: a ferramenta adotada por iniciativa individual de um professor.
Um docente que cola trechos de redações de alunos em uma ferramenta gratuita para obter sugestões de correção está transferindo dado de menor para um terceiro sem base legal, sem contrato e sem conhecimento da instituição. Não há má-fé nisso — há ausência de orientação. E a responsabilidade institucional permanece.
Duas medidas resolvem a maior parte do problema, e nenhuma exige investimento:
- Inventário das ferramentas em uso, incluindo as informais. A pergunta feita sem tom de fiscalização — "que ferramentas você já usou para preparar aula ou corrigir?" — costuma revelar mais do que a gestão espera.
- Regra de não inserção de dado identificável em ferramenta não homologada. É a vedação mais prática de toda a governança: nome de aluno, matrícula, texto identificável ou imagem não entram em sistema que a instituição não avaliou.
O inventário mínimo: o que registrar sobre cada ferramenta
O artigo 37 da LGPD prevê que o controlador mantenha registro das operações de tratamento que realizar. Na prática escolar, isso se traduz em uma planilha — e ela não precisa ser complexa. Sete colunas cobrem o necessário e servem tanto para conformidade quanto para a negociação de renovação de contrato.
| Campo | Por que importa |
|---|---|
| Ferramenta e fornecedor | Identifica o operador e permite localizar o contrato |
| Finalidade | É o que sustenta a base legal; finalidade genérica não sustenta nada |
| Dados tratados | Lista de campos, não categoria. "Dados do aluno" não é resposta |
| Base legal | Definida por finalidade, com a assessoria jurídica |
| Prazo de retenção | E o que dispara a eliminação |
| Suboperadores | Quem mais toca o dado, e se a escola é avisada de mudanças |
| Responsável interno | Uma pessoa com nome, por ferramenta |
A última coluna é a que transforma o inventário de documento em governança. Sem responsável nomeado, a planilha existe e ninguém a atualiza — e um inventário desatualizado é pior que nenhum, porque cria a impressão de controle onde não há.
O que fazer se algo der errado
Incidente de segurança envolvendo dado de aluno é o cenário para o qual quase nenhuma escola tem procedimento, e é onde a diferença entre instituição preparada e despreparada aparece em horas.
O artigo 46 da LGPD impõe a adoção de medidas de segurança aptas a proteger os dados, e o artigo 48 determina que o controlador comunique à Autoridade Nacional de Proteção de Dados e ao titular a ocorrência de incidente que possa acarretar risco ou dano relevante. A comunicação deve ser feita em prazo razoável e conter, entre outros elementos, a descrição dos dados afetados, os riscos envolvidos e as medidas adotadas.
Três providências que precisam existir antes do incidente:
- Cláusula contratual de notificação pelo fornecedor, com prazo definido em horas. Se a escola só descobre o incidente pela imprensa, o prazo dela já correu.
- Uma pessoa responsável por acionar o procedimento, com o contato da assessoria jurídica à mão.
- Um modelo de comunicação às famílias preparado com antecedência. Redigir esse texto durante a crise produz o pior documento possível.
O que a regulação em construção sinaliza
O Marco Legal da IA no Brasil, o Projeto de Lei 2338/2023, foi aprovado pelo Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados. Ele adota classificação por nível de risco, em modelo aproximado ao do regulamento europeu de inteligência artificial: quanto mais sensível o uso, maior a exigência de transparência e de supervisão humana sobre decisões automatizadas.
Sistemas voltados a crianças e adolescentes tendem a se enquadrar entre os usos que exigem mais cautela — o que reforça, mesmo antes da sanção, que tratar dado infantil como dado comum é uma aposta arriscada. O regulamento europeu, para referência, já classifica como de alto risco usos educacionais como decisões de admissão, avaliação de resultados de aprendizagem e monitoramento durante provas.
Da teoria à rotina da secretaria
Nada disso substitui orientação jurídica especializada, mas há perguntas que qualquer gestor pode levar para dentro de casa antes de esperar a lei virar letra definitiva:
- Os termos de consentimento assinados pelas famílias mencionam especificamente o uso de inteligência artificial, ou falam apenas em plataformas digitais de forma genérica?
- A escola sabe, com precisão, quais ferramentas de IA estão em uso em diferentes turmas — inclusive as adotadas por iniciativa de professores?
- Existe alguém responsável por revisar contratos de fornecedores sob a ótica específica de proteção de dados de menores?
- Há registro de qual finalidade justifica cada tratamento, e por quanto tempo cada dado é retido?
- Existe processo para atualizar o consentimento quando uma nova ferramenta entra em uso no meio do ano?
Essas perguntas custam pouco e valem antes de qualquer novo contrato ser assinado. O ponto de partida realista não é esperar a regulamentação da IA amadurecer, mas tratar o dado do aluno menor de idade com o cuidado que a LGPD já exige hoje — e consultar assessoria jurídica sempre que houver dúvida sobre consentimento, finalidade ou compartilhamento.
Em resumo
- Quatro dispositivos da LGPD se somam quando o titular é criança: artigos 14, 11, 20 e 6º.
- O parágrafo 3º do artigo 14 veda condicionar a participação da criança ao fornecimento de dados além dos estritamente necessários — base legal para exigir configuração mínima do fornecedor.
- Consentimento genérico de matrícula não cobre ferramenta de IA adotada depois: o consentimento precisa ser específico para a finalidade.
- Termo tão amplo que impede recusar um uso específico sem recusar a matrícula tende a não configurar consentimento livre.
- A escola é controladora e o fornecedor operador: o artigo 42 prevê reparação do dano com solidariedade do operador, e quem a família procura é sempre a escola.
- Se dados de menores alimentam treinamento de modelo do fornecedor, não há configuração contratual que resolva.
- A exposição invisível é a ferramenta adotada por iniciativa individual de professor — resolvida com inventário e regra de não inserção de dado identificável.
- O PL 2338/2023 adota classificação por risco, e sistemas voltados a crianças tendem a exigir mais cautela.
Perguntas frequentes
A LGPD exige consentimento diferente para dados de crianças na escola?
Sim. O artigo 14 determina que o tratamento de dados de crianças e adolescentes seja feito em seu melhor interesse e, no caso de crianças, com consentimento específico e destacado de pelo menos um dos responsáveis. Consentimento específico significa que os responsáveis precisam saber o que é coletado, com qual finalidade, por quanto tempo fica armazenado e se é compartilhado com terceiros.
A autorização assinada na matrícula cobre o uso de ferramentas de IA?
Provavelmente não. Uma cláusula genérica sobre plataformas digitais, redigida antes de a instituição adotar qualquer ferramenta específica, dificilmente atende ao padrão de consentimento específico quando confrontada com o que a ferramenta efetivamente processa. Além disso, termo tão amplo que impede recusar um uso pontual sem recusar a matrícula tende a não configurar consentimento livre.
Quem responde se o fornecedor de IA vazar dados de alunos?
Na estrutura da LGPD a escola é controladora, porque define finalidade e meios do tratamento, e o fornecedor é operador. O artigo 42 estabelece a obrigação de reparar o dano, com responsabilidade solidária do operador quando ele descumprir as instruções lícitas do controlador. Em qualquer cenário, quem a família procura é a instituição.
Um professor pode usar uma ferramenta gratuita de IA com textos de alunos?
Não sem orientação institucional. Colar trechos identificáveis de redações em uma ferramenta não homologada transfere dado de menor a um terceiro sem base legal e sem contrato, e a responsabilidade da instituição permanece. A medida prática é uma regra clara de não inserção de dado identificável em ferramenta que a escola não avaliou.
O que perguntar a um fornecedor de IA sobre dados de alunos?
Onde os dados são armazenados fisicamente, por quanto tempo, o que dispara a eliminação, se alimentam treinamento de modelos da empresa ou de terceiros, com quem são compartilhados, se existe subcontratação de operadores e se a ferramenta funciona com identificação pseudonimizada. A resposta afirmativa sobre treinamento de modelo com dado de menor encerra a avaliação.
O Marco Legal da IA vai mudar as exigências sobre dados de crianças?
Tende a somar exigências, não a substituir as existentes. O PL 2338/2023, aprovado pelo Senado em dezembro de 2024 e em tramitação na Câmara, adota classificação por nível de risco com exigências de transparência e supervisão humana para usos de maior impacto — categoria em que sistemas voltados a crianças e adolescentes tendem a se enquadrar.
Fontes e referências
- Lei 13.709/2018 (LGPD), artigos 5º, 6º, 11, 14, 18, 20, 42 e 46 — controlador e operador, princípios, dados sensíveis, dados de crianças, direitos do titular, revisão de decisões automatizadas, responsabilidade e segurança.
- Senado Federal — Projeto de Lei 2338/2023 (Marco Legal da Inteligência Artificial), aprovado em dezembro de 2024.
- União Europeia — Regulamento de Inteligência Artificial (2024), classificação de usos educacionais como de alto risco.
- Lei 8.069/1990 (Estatuto da Criança e do Adolescente), artigo 17.
- Lei 12.965/2014 (Marco Civil da Internet).
