Resumo
A crescente utilização de sistemas de inteligência artificial generativa para fins recreativos introduz novas questões acerca da proteção dos dados pessoais e dos direitos da personalidade. A disponibilização voluntária de fotografias, imagens e informações pessoais, frequentemente estimulada por experiências digitais aparentemente gratuitas, suscita dúvidas quanto à suficiência do consentimento como instrumento de legitimação do tratamento de dados. O presente artigo examina essa problemática à luz da Constituição Federal, da Lei Geral de Proteção de Dados Pessoais e do Código de Defesa do Consumidor, considerando a assimetria informacional existente entre usuários e fornecedores de tecnologias digitais. Mediante pesquisa jurídico-dogmática, de natureza bibliográfica e documental, investiga-se a distinção entre manifestação formal de vontade e efetiva autodeterminação informativa, bem como a incidência dos deveres de transparência, segurança, prevenção e responsabilização. Examina-se, ainda, a contribuição dos mecanismos de governança e autorregulação e a pertinência da lógica preventiva do Direito do Consumidor. Sustenta-se que o consentimento, embora relevante, não esgota o juízo de legitimidade do tratamento de dados pessoais, subsistindo deveres objetivos de proteção destinados a assegurar a efetividade dos direitos fundamentais.
Palavras-chave: Inteligência artificial generativa. Proteção de dados pessoais. Consentimento. Direitos da personalidade. Dever de informação.
Abstract
The growing use of generative artificial intelligence systems for recreational purposes raises new legal questions concerning personal data protection and personality rights. The voluntary disclosure of photographs, images, and personal information, often encouraged by seemingly free digital experiences, calls into question the sufficiency of consent as a legal basis for data processing. This article examines the issue in light of the Brazilian Federal Constitution, the General Personal Data Protection Law, and the Consumer Protection Code, taking into account the informational asymmetry between users and digital technology providers. Through doctrinal and documentary legal research, it investigates the distinction between formal consent and effective informational self-determination, as well as the duties of transparency, security, prevention, and accountability. It also considers the contribution of governance and self-regulatory mechanisms and the relevance of the preventive approach adopted in consumer protection law. The article argues that consent, although legally relevant, does not exhaust the assessment of the legitimacy of personal data processing, since independent duties of protection remain applicable to ensure the effectiveness of fundamental rights.
Keywords: Generative artificial intelligence. Personal data protection. Consent. Personality rights. Duty to inform.
Sumário: 1. Introdução; 2. A aparente gratuidade dos serviços digitais e a exploração econômica dos dados pessoais; 3. Consentimento, autodeterminação informativa e tutela constitucional da personalidade; 4. Os limites jurídicos do tratamento de dados pessoais na inteligência artificial generativa; 5. Para além do consentimento: informação, prevenção e responsabilidade dos agentes de tratamento; 6. Conclusão; Referências.
1. Introdução
A nostalgia dos anos 1980 encontrou na inteligência artificial generativa uma inesperada forma de expressão. Fotografias pessoais, submetidas a sistemas capazes de recriar cenários, vestimentas e características estéticas de outras épocas, passaram a circular intensamente nas redes sociais. A experiência, aparentemente despretensiosa, oferece ao usuário a possibilidade de contemplar uma versão imaginária de si mesmo. Por trás da diversão, entretanto, desenvolve-se uma relação jurídica cuja complexidade nem sempre se revela com a mesma facilidade com que se produz a imagem desejada.
Reportagem publicada pela BBC News Brasil, em outubro de 2026, examinou a popularização dessa prática e seus possíveis desdobramentos sobre a privacidade e a proteção de dados pessoais. Entre as reflexões apresentadas, destaca-se a expressão fun for data, utilizada para designar a disponibilização de informações pessoais em troca de experiências recreativas proporcionadas por sistemas digitais. O fenômeno, embora recente em suas manifestações tecnológicas, recoloca uma questão conhecida do Direito: os limites da autonomia individual diante de relações marcadas por desigualdade de informação e capacidade de influência econômica (BARRUCHO, 2026).
A preocupação não decorre, necessariamente, da existência de uma utilização ilícita das fotografias submetidas às plataformas. Tampouco se pode presumir que todo serviço gratuito comercialize informações pessoais ou empregue indistintamente os dados recebidos para treinamento de modelos. O problema jurídico reside, antes, na multiplicidade de operações tecnicamente possíveis e na dificuldade de o titular compreender, no momento do fornecimento, as finalidades, os limites e as consequências do tratamento de suas informações.
A questão assume particular relevância quando se observa que a manifestação de vontade do usuário costuma ocorrer mediante procedimentos simplificados, concebidos para facilitar o acesso aos serviços. O consentimento, nessas circunstâncias, pode representar uma escolha legítima, sem que isso signifique conhecimento suficiente acerca de todas as operações posteriormente realizadas. Impõe-se, portanto, distinguir a autorização para determinada finalidade da suposta disponibilidade irrestrita dos dados pessoais.
O presente estudo procura investigar em que medida o consentimento individual, considerado isoladamente, constitui instrumento suficiente de tutela da personalidade diante do tratamento de dados por sistemas de inteligência artificial generativa. Para tanto, examinam-se os fundamentos constitucionais da proteção informacional, os limites estabelecidos pela Lei nº 13.709/2018 e a incidência dos deveres de informação, segurança e prevenção, sem desconsiderar a liberdade de iniciativa e a legitimidade da inovação tecnológica.
A hipótese desenvolvida é a de que a manifestação de consentimento não encerra o exame da legitimidade do tratamento de dados pessoais, subsistindo deveres objetivos de proteção cuja observância independe da vontade individual. A demonstração dessa proposição permite situar a discussão em terreno propriamente jurídico, afastando tanto a rejeição indiscriminada da inteligência artificial quanto a confiança excessiva na capacidade do usuário de antecipar riscos decorrentes de tecnologias de elevada complexidade.
2. A aparente gratuidade dos serviços digitais e a exploração econômica
A expansão dos serviços digitais modificou profundamente as relações estabelecidas entre fornecedores e usuários. Em determinados modelos de negócio, a ausência de remuneração pecuniária direta não corresponde à inexistência de contrapartidas economicamente relevantes. Informações pessoais, registros de utilização, preferências e padrões comportamentais podem integrar atividades de desenvolvimento tecnológico, aperfeiçoamento de produtos e exploração comercial, observadas as particularidades de cada serviço e as condições juridicamente aplicáveis.
Essa realidade não autoriza afirmar que os dados pessoais constituam, indistintamente, o preço de toda experiência digital gratuita. A diversidade dos modelos econômicos impede semelhante generalização. Todavia, evidencia a necessidade de examinar as relações estabelecidas entre a prestação oferecida ao usuário e as operações de tratamento realizadas pelo fornecedor, especialmente quando determinadas informações possuem valor estratégico para o desenvolvimento de sistemas tecnológicos.
Na inteligência artificial generativa, a questão adquire contornos particulares. Uma fotografia fornecida para transformação estética pode ser objeto de processamento estritamente necessário à execução da funcionalidade solicitada. Conforme as características do serviço, poderão existir outras operações, como armazenamento, conservação temporária, utilização para aprimoramento tecnológico ou compartilhamento com prestadores envolvidos na execução. A licitude de cada atividade dependerá de sua finalidade, da base legal pertinente e da observância dos princípios que disciplinam o tratamento de dados pessoais.
Importa reconhecer, desde logo, que uma fotografia identificável constitui dado pessoal, nos termos do art. 5º, I, da Lei Geral de Proteção de Dados Pessoais. Isso não significa, entretanto, que toda imagem de uma pessoa seja automaticamente classificada como dado pessoal sensível. A legislação estabelece disciplina particular para dados biométricos vinculados a pessoa natural, circunstância cuja identificação exige considerar a natureza e a finalidade do processamento efetivamente realizado.
A distinção possui consequências jurídicas relevantes. O emprego de uma imagem para composição de retrato recreativo não se confunde, necessariamente, com sua utilização em procedimentos de identificação biométrica. As operações podem apresentar riscos diferentes e sujeitar-se a exigências igualmente distintas. O rigor científico exige, portanto, evitar que a mera presença de características faciais seja tomada como demonstração suficiente da ocorrência de tratamento de dados sensíveis.
A aparente simplicidade da interação tecnológica contrasta, assim, com a complexidade jurídica das operações possíveis. O usuário fornece determinada informação para alcançar resultado imediatamente perceptível, enquanto o fornecedor dispõe de conhecimento técnico e organizacional acerca das condições de processamento. Forma-se uma assimetria informacional que não torna automaticamente inválida a relação, mas exige particular atenção à qualidade das informações disponibilizadas e à delimitação das finalidades legitimamente estabelecidas.
Não se trata, em última análise, de impedir o aproveitamento econômico de informações pessoais em atividades lícitas. Trata-se de reconhecer que sua utilização não pode ser examinada exclusivamente segundo os parâmetros tradicionais da liberdade contratual. A natureza personalíssima dos interesses envolvidos reclama a incidência de garantias constitucionais e legais que condicionam a atividade econômica e impedem que a disponibilidade tecnológica seja confundida com disponibilidade jurídica irrestrita.
3. Consentimento, autodeterminação informativa e tutela constitucional
A Constituição Federal de 1988 oferece os fundamentos essenciais para o exame da matéria. A dignidade da pessoa humana, consagrada pelo art. 1º, III, constitui parâmetro de interpretação das relações jurídicas que envolvem a identidade e a esfera pessoal do indivíduo. O art. 5º, X, assegura a inviolabilidade da intimidade, da vida privada, da honra e da imagem, enquanto o inciso LXXIX, introduzido pela Emenda Constitucional nº 115/2022, reconhece expressamente o direito fundamental à proteção dos dados pessoais, inclusive nos meios digitais (BRASIL, 1988; BRASIL, 2022).
A constitucionalização específica da proteção de dados revela que a tutela informacional não se restringe à preservação do segredo ou da intimidade. Informações aparentemente banais, ainda que voluntariamente divulgadas, podem integrar operações de tratamento capazes de produzir consequências relevantes para o exercício da liberdade individual. O direito à proteção de dados apresenta, desse modo, conteúdo próprio, embora permaneça estreitamente relacionado aos demais direitos da personalidade.
A autodeterminação informativa representa dimensão importante dessa tutela. Consiste na possibilidade juridicamente assegurada de participar das decisões relativas ao tratamento dos próprios dados, mediante instrumentos que permitam conhecer as finalidades, exercer direitos e contestar utilizações incompatíveis com o ordenamento. Não corresponde, contudo, a um poder absoluto de impedir qualquer operação envolvendo informações pessoais, uma vez que a legislação admite tratamentos fundados em diferentes hipóteses legitimadoras.
A compreensão desse direito encontra importante fundamento no estudo de Laura Schertel Ferreira Mendes (2020), que reconstrói a formação histórica da autodeterminação informativa a partir da jurisprudência constitucional alemã, evidenciando suas relações com a liberdade individual e o direito geral da personalidade. A evolução do conceito demonstra que a proteção de dados não se limita à faculdade de autorizar operações específicas, abrangendo garantias destinadas a preservar a posição jurídica do indivíduo diante da coleta e do processamento de informações a seu respeito.
É precisamente nesse ponto que se impõe examinar o consentimento. O art. 5º, XII, da Lei nº 13.709/2018 o define como manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para finalidade determinada. O art. 8º, por sua vez, exige demonstração da manifestação de vontade, veda o consentimento viciado e considera nulas as autorizações genéricas. A lei, portanto, não se satisfaz com a simples exteriorização formal de concordância.
Também seria equivocado supor que o consentimento constitui a única hipótese de tratamento legítimo. O art. 7º da LGPD estabelece diferentes bases legais, enquanto o art. 11 disciplina especificamente os dados pessoais sensíveis. A identificação do fundamento aplicável depende da natureza das informações, das operações realizadas e da finalidade pretendida. A escolha da base legal não pode servir como expediente para afastar os princípios gerais da proteção de dados ou esvaziar os direitos assegurados ao titular.
A problemática assume maior complexidade quando a manifestação de vontade ocorre em ambiente caracterizado pela desigualdade de conhecimentos técnicos. O fornecedor compreende a arquitetura do sistema, as operações necessárias à prestação do serviço e os mecanismos de conservação e compartilhamento. O usuário, por sua vez, tende a orientar sua escolha pelo resultado imediato da funcionalidade oferecida. Embora essa diferença não implique, necessariamente, invalidade do consentimento, recomenda examinar se as condições de informação permitem uma decisão efetivamente esclarecida.
A doutrina especializada identifica limitações estruturais do consentimento como instrumento de proteção de dados pessoais. Mendes e Fonseca (2020) destacam, nesse particular, as restrições cognitivas que dificultam a avaliação dos riscos envolvidos, as assimetrias de poder entre titulares e agentes de tratamento e a complexidade das técnicas contemporâneas de processamento e agregação de informações. Essas circunstâncias revelam que a manifestação individual de vontade, embora juridicamente relevante, nem sempre proporciona condições suficientes para o efetivo controle das operações realizadas com os dados pessoais.
A autonomia privada, compreendida como expressão da liberdade constitucional, não se encontra dissociada dos demais valores fundamentais. A própria Constituição reconhece a livre iniciativa como fundamento da República, no art. 1º, IV, e da ordem econômica, no art. 170, submetendo seu exercício à observância de princípios como a defesa do consumidor e a preservação de uma existência digna. A atividade empresarial encontra, portanto, legítimo espaço de desenvolvimento, mas não se converte em esfera imune aos direitos fundamentais.
Nas relações privadas, a proteção constitucional da personalidade projeta efeitos sobre a interpretação e a aplicação das normas civis, consumeristas e de proteção de dados. A liberdade de contratar e de utilizar serviços tecnológicos convive com deveres destinados a preservar a integridade dos interesses pessoais envolvidos. Não há contradição necessária entre autonomia e proteção: a disciplina jurídica da informação procura assegurar condições para que a liberdade possa ser exercida de maneira efetiva.
Daí decorre a distinção fundamental desta investigação. O consentimento constitui instrumento relevante de participação do titular nas decisões relativas a seus dados, mas não equivale à renúncia geral aos direitos da personalidade. Sua validade deve ser examinada conjuntamente com a finalidade do tratamento, a transparência das operações, a necessidade dos dados coletados e os demais deveres impostos aos agentes responsáveis.
Nessa perspectiva, a investigação de Bioni (2021) sobre a função e os limites do consentimento oferece referência importante para a compreensão da autodeterminação informativa como construção jurídica que não se esgota na autorização individual. Em direção convergente, Mendes e Fonseca (2020) examinam alternativas regulatórias fundadas na proteção de dados desde a concepção dos sistemas, na prestação de contas pelos agentes de tratamento e no controle contextual do consentimento. A relevância dessas contribuições reside no reconhecimento de que a tutela informacional depende tanto da participação do titular quanto de deveres jurídicos e organizacionais impostos àqueles que realizam o tratamento.
Em outras palavras, a concordância do titular não encerra o juízo de legitimidade. Mesmo quando obtida de maneira regular, subsistem exigências normativas cuja observância não depende de nova manifestação individual de vontade. A proteção da personalidade não pode, por isso, ser reduzida à capacidade de aceitar ou rejeitar termos unilateralmente apresentados pelo fornecedor, sobretudo quando estão em causa operações tecnologicamente complexas e consequências que ultrapassam a percepção imediata do usuário.
4. Os limites jurídicos do tratamento de dados pessoais
A Lei Geral de Proteção de Dados Pessoais estabelece um sistema de proteção que ultrapassa a disciplina do consentimento. Seu art. 6º submete as atividades de tratamento à boa-fé e aos princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas. Esses princípios constituem parâmetros de legitimidade aplicáveis às operações de tratamento, independentemente de sua maior ou menor complexidade tecnológica (BRASIL, 2018).
O princípio da finalidade exige que o tratamento corresponda a propósitos legítimos, específicos, explícitos e informados ao titular, vedadas utilizações posteriores incompatíveis com esses objetivos. A adequação impõe correspondência entre as operações realizadas e o contexto em que os dados foram fornecidos, enquanto a necessidade limita o tratamento ao mínimo indispensável à realização das finalidades pretendidas. A observância conjunta desses princípios impede que a obtenção regular de determinada informação seja confundida com autorização irrestrita para seu aproveitamento.
Considere-se, novamente, a fotografia enviada para obtenção de uma imagem recreativa. O processamento necessário à transformação solicitada encontra fundamento na finalidade imediatamente apresentada ao usuário, desde que exista base legal apropriada. Já eventual utilização para objetivo distinto exige exame próprio de legitimidade, compatibilidade e transparência. A origem voluntária do fornecimento não dispensa essa investigação, tampouco autoriza presumir que o titular tenha concordado com operações não compreendidas na finalidade inicialmente estabelecida.
O princípio da transparência adquire particular relevo nesse cenário. O art. 9º da LGPD assegura ao titular acesso facilitado às informações sobre o tratamento, exigindo apresentação clara, adequada e ostensiva de elementos como finalidade específica, forma e duração das operações, identificação do controlador e eventual compartilhamento de dados. Quando o consentimento é exigido, informações enganosas, abusivas ou insuficientemente transparentes podem comprometer sua própria validade jurídica.
A mera disponibilização de extensas políticas de privacidade, redigidas em linguagem excessivamente técnica ou distantes do momento em que ocorre o fornecimento das informações, suscita dúvidas quanto à efetividade dessa exigência. Não se afirma que documentos dessa natureza sejam juridicamente inúteis. O problema está em saber se sua apresentação, considerada a experiência concreta do usuário, satisfaz o dever legal de permitir conhecimento inteligível das operações relevantes.
A proteção de dados pessoais reclama, portanto, informação contextualizada. A descrição das finalidades deve guardar correspondência com a funcionalidade oferecida e com as operações efetivamente realizadas. Não se trata de exigir que o fornecedor revele segredos industriais ou detalhes técnicos incompatíveis com a própria prestação do serviço, mas de assegurar que o titular conheça, em linguagem acessível, os elementos necessários ao exercício de seus direitos.
Também merece atenção a utilização de imagens para procedimentos de identificação biométrica. A depender das operações realizadas, características faciais poderão integrar tratamento de dados pessoais sensíveis, atraindo o regime específico do art. 11 da LGPD. Nessa hipótese, tornam-se especialmente relevantes a identificação da base legal adequada, as restrições de finalidade e a adoção de medidas proporcionais à natureza das informações processadas.
A evolução tecnológica não altera, por si só, a estrutura fundamental desses deveres. Embora sistemas de inteligência artificial generativa apresentem características próprias, sua utilização não constitui espaço de suspensão das garantias legais. Ao contrário, a complexidade do processamento reforça a importância da delimitação das finalidades e da demonstração de conformidade, especialmente quando o titular não dispõe de condições para verificar diretamente as operações realizadas.
A regulamentação específica da inteligência artificial poderá desenvolver mecanismos adicionais de governança e prevenção de riscos. Contudo, a legislação projetada não deve ser confundida com o regime jurídico vigente, nem sua eventual aprovação considerada condição indispensável à incidência das garantias já estabelecidas. A Constituição, a LGPD e, quando configurada relação de consumo, o Código de Defesa do Consumidor fornecem fundamentos normativos atuais para o exame da legitimidade do tratamento.
Desse conjunto resulta uma consequência importante: a efetividade da autodeterminação informativa não depende apenas da existência de uma opção de consentimento. Exige que o titular receba informações compreensíveis, que as finalidades sejam legitimamente delimitadas e que o agente de tratamento possa demonstrar o cumprimento dos deveres que lhe incumbem. A liberdade de escolha e a responsabilidade do fornecedor não são alternativas excludentes, mas dimensões complementares de um mesmo sistema de proteção.
5. Para além do consentimento: informação, prevenção e responsabilidade
A proteção jurídica dos dados pessoais não se encerra no momento de sua coleta. O tratamento constitui atividade que pode se prolongar no tempo, envolver diferentes operações e exigir sucessivas decisões técnicas e organizacionais. Por essa razão, o ordenamento estabelece deveres de segurança e prevenção destinados a acompanhar o ciclo de vida das informações, independentemente de sua obtenção mediante consentimento ou outra base legal legítima.
O art. 46 da LGPD determina a adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado. Seu § 2º estabelece que tais medidas devem ser observadas desde a fase de concepção do produto ou serviço até sua execução, revelando preocupação legislativa com a prevenção dos riscos antes de sua materialização.
A segurança da informação, entretanto, não se confunde integralmente com a proteção de dados pessoais. Um sistema pode apresentar controles tecnológicos eficazes contra acessos indevidos e, ainda assim, realizar operações incompatíveis com as finalidades legitimamente estabelecidas. A proteção jurídica exige, consequentemente, não apenas integridade e confidencialidade, mas também observância dos limites materiais do tratamento.
Nesse contexto, os mecanismos de governança e autorregulação desempenham função complementar. O art. 50 da LGPD contempla a formulação de regras de boas práticas pelos agentes de tratamento, individualmente ou por intermédio de associações, abrangendo procedimentos organizacionais, normas de segurança, padrões técnicos, mecanismos de supervisão e medidas de mitigação de riscos. Sua relevância reside na possibilidade de converter exigências normativas gerais em práticas verificáveis de gestão.
A autorregulação, contudo, não constitui fonte de exoneração dos deveres legais. Políticas internas, certificações e compromissos voluntários podem representar elementos relevantes para a aferição da diligência organizacional, mas não afastam a fiscalização pública nem substituem o exame concreto da conformidade. Sua legitimidade depende da compatibilidade com o ordenamento jurídico e da efetividade das medidas adotadas, não bastando a existência formal de documentos ou declarações institucionais.
É nesse ponto que a disciplina consumerista oferece contribuição especialmente interessante. O art. 6º, III, do Código de Defesa do Consumidor assegura o direito à informação adequada e clara sobre produtos e serviços, inclusive quanto aos riscos envolvidos. Os arts. 8º e 9º desenvolvem deveres relacionados à segurança e à advertência acerca de produtos e serviços potencialmente nocivos ou perigosos, evidenciando que a informação integra um sistema mais amplo de proteção (BRASIL, 1990).
O art. 10, § 1º, por sua vez, estabelece a obrigação de comunicação às autoridades e aos consumidores quando o fornecedor, posteriormente à introdução no mercado, toma conhecimento da periculosidade de determinado produto ou serviço. A racionalidade subjacente ao chamado recall revela que os deveres de proteção podem subsistir e adquirir novo conteúdo à medida que se tornam conhecidos riscos anteriormente não identificados.
A aproximação com o tratamento de dados pessoais exige prudência. Não se pretende sustentar que qualquer risco associado à inteligência artificial desencadeie automaticamente o procedimento de recall previsto na legislação consumerista. Trata-se, antes, de reconhecer a existência de uma lógica preventiva comum: o conhecimento de riscos relevantes pode impor ao fornecedor deveres de informação e atuação que não se esgotam no momento inicial da contratação ou da utilização do serviço.
Essa perspectiva permite compreender a utilidade de advertências apresentadas antes do fornecimento de determinadas informações pessoais. Quando compatíveis com a natureza do tratamento e os riscos envolvidos, alertas claros e objetivos podem contribuir para que o titular compreenda as finalidades da coleta, as possibilidades de conservação e compartilhamento e os mecanismos disponíveis para exercício de seus direitos. A informação, nesses casos, aproxima-se do momento concreto da escolha, em vez de permanecer dispersa em documentos de difícil compreensão.
A advertência, todavia, não deve converter-se em expediente de transferência indiscriminada dos riscos ao usuário. A ciência acerca de determinada possibilidade não representa autorização para operações ilícitas, tampouco dispensa o fornecedor de adotar medidas razoáveis de proteção. A multiplicação de avisos genéricos, desacompanhados de providências efetivas, poderia reproduzir o mesmo formalismo que compromete a utilidade do consentimento.
O dever de informação apresenta, ademais, dimensão temporal. Quando surgem circunstâncias relevantes durante o tratamento, podem tornar-se necessárias novas comunicações ou providências corretivas. A LGPD contempla essa preocupação no art. 48, ao disciplinar a comunicação de incidentes de segurança capazes de acarretar risco ou dano relevante aos titulares, matéria regulamentada pela Resolução CD/ANPD nº 15/2024. Não se trata de equiparação ao recall, mas de manifestação específica da preocupação legislativa com a contenção de riscos supervenientes.
A responsabilidade civil completa esse sistema, sem substituir sua dimensão preventiva. No julgamento do Recurso Especial nº 2.121.904/SP, a Terceira Turma do Superior Tribunal de Justiça reconheceu, em controvérsia relativa a contrato de seguro de vida, a responsabilidade objetiva da seguradora e o dano moral presumido decorrentes do vazamento de dados sensíveis do consumidor. A decisão conferiu particular relevância à natureza das informações expostas, à relação de consumo e ao dever de proteção incidente sobre a atividade desempenhada (STJ, REsp nº 2.121.904/SP, Rel. Min. Nancy Andrighi, Terceira Turma, j. 11/02/2025, DJEN 17/02/2025).
Em sentido diverso, no julgamento do Agravo em Recurso Especial nº 2.130.619/SP, a Segunda Turma do Superior Tribunal de Justiça concluiu que o vazamento de dados pessoais comuns, nas circunstâncias examinadas, não autorizava, por si só, o reconhecimento de dano moral presumido, exigindo demonstração do prejuízo indenizável. A distinção evidencia que a violação dos deveres de tratamento e a configuração de dano extrapatrimonial não constituem questões necessariamente coincidentes (STJ, AREsp nº 2.130.619/SP, Rel. Min. Francisco Falcão, Segunda Turma, j. 07/03/2023, DJe 10/03/2023).
Os precedentes não permitem estabelecer uma regra indiferenciada para todas as operações envolvendo inteligência artificial. Seus fundamentos estão vinculados às características dos dados, às relações jurídicas e às circunstâncias fáticas apreciadas. Revelam, entretanto, a importância de distinguir a ilicitude do tratamento, a ocorrência de dano e os pressupostos da responsabilidade civil, preservando a possibilidade de medidas preventivas e corretivas mesmo quando não se reconheça indenização por dano moral.
A efetividade da tutela da personalidade não pode, desse modo, depender exclusivamente da reparação posterior. A eliminação de informações indevidamente conservadas, a limitação de operações incompatíveis com suas finalidades, a correção de procedimentos e a adoção de medidas de segurança representam instrumentos que podem revelar-se mais adequados à preservação dos direitos envolvidos, conforme as circunstâncias e as providências juridicamente cabíveis.
O ponto de convergência dessas disciplinas encontra-se na existência de deveres de proteção que acompanham a atividade de tratamento. O consentimento pode legitimar determinada operação quando exigido e validamente prestado, mas não elimina os deveres de transparência, segurança, prevenção e responsabilização. A informação, por sua vez, deve servir à autonomia do titular sem funcionar como substituto das obrigações que o ordenamento atribui ao fornecedor.
6. Conclusão
A utilização recreativa da inteligência artificial generativa constitui manifestação contemporânea de transformações mais profundas nas relações entre tecnologia, atividade econômica e direitos da personalidade. O fornecimento voluntário de fotografias e informações pessoais, estimulado por experiências digitais de acesso simplificado, revela a necessidade de examinar os pressupostos jurídicos da liberdade de escolha em ambientes marcados por complexidade tecnológica e assimetria informacional.
A investigação demonstrou que o consentimento, embora relevante para a autodeterminação informativa, não constitui instrumento autossuficiente de tutela dos dados pessoais. Sua validade depende de condições legalmente estabelecidas e não afasta a incidência dos princípios da finalidade, adequação, necessidade, transparência, segurança e responsabilização. A obtenção regular de informações para determinada finalidade tampouco importa autorização irrestrita para utilizações posteriores.
A Constituição Federal oferece fundamento decisivo para essa compreensão. A dignidade da pessoa humana, a proteção da intimidade e da imagem e o direito fundamental à proteção de dados pessoais estabelecem limites à exploração econômica de informações relacionadas à personalidade. Esses limites não negam a livre iniciativa nem a legitimidade da inovação tecnológica, mas condicionam seu exercício à observância das garantias integrantes do ordenamento jurídico.
Também se verificou que a proteção não se esgota na prevenção de acessos indevidos. A cibersegurança constitui instrumento indispensável, porém insuficiente quando considerada isoladamente, uma vez que operações tecnicamente seguras podem contrariar exigências materiais de legitimidade. Os mecanismos de governança e autorregulação assumem, nesse contexto, função relevante de concretização dos deveres legais, sem substituir a fiscalização estatal ou afastar a responsabilidade dos agentes envolvidos.
A experiência do Direito do Consumidor acrescenta dimensão particularmente expressiva à análise. A racionalidade preventiva que informa os deveres de advertência e a comunicação de riscos supervenientes evidencia que a proteção da pessoa não se encerra com a manifestação inicial de vontade. Na disciplina dos dados pessoais, essa compreensão encontra correspondência nos deveres de transparência, segurança e comunicação de incidentes, observados os pressupostos específicos de cada instituto.
Conclui-se, portanto, que a efetividade da proteção de dados pessoais na inteligência artificial generativa exige a articulação entre autonomia individual e deveres objetivos de proteção. O consentimento conserva sua importância como manifestação de liberdade, mas não pode ser convertido em instrumento de exoneração genérica das responsabilidades decorrentes do tratamento das informações pessoais.
A resposta jurídica ao fenômeno não está na supressão da liberdade de escolha, tampouco na proliferação indiscriminada de advertências formais. Encontra-se na construção de condições efetivas para o exercício dessa liberdade, acompanhadas de mecanismos de transparência, prevenção e controle capazes de preservar a personalidade ao longo do tratamento dos dados.
Afinal, a liberdade de consentir somente realiza sua função protetiva quando não se transforma em justificativa para dispensar aqueles que recebem os dados do dever de protegê-los.
Referências
BARRUCHO, Luis. 'Trend' dos anos 80 no ChatGPT: o que você está entregando de graça para a IA e como se proteger. BBC News Brasil, 12 out. 2026. Disponível em: https://www.bbc.com/portuguese/articles/c5vgjmxzrxyno. Acesso em: 12 out. 2026.
BIONI, Bruno Ricardo. Proteção de dados pessoais: a função e os limites do consentimento. 3. ed. Rio de Janeiro: Forense, 2021.
BRASIL. [Constituição (1988)]. Constituição da República Federativa do Brasil de 1988. Brasília, DF: Presidência da República, [2026]. Disponível em: https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm. Acesso em: 12 out. 2026.
BRASIL. Emenda Constitucional nº 115, de 10 de fevereiro de 2022. Altera a Constituição Federal para incluir a proteção de dados pessoais entre os direitos e garantias fundamentais e para fixar a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais. Brasília, DF: Presidência da República, 2022. Disponível em: https://www.planalto.gov.br/ccivil_03/constituicao/emendas/emc/emc115.htm. Acesso em: 12 out. 2026.
BRASIL. Lei nº 8.078, de 11 de setembro de 1990. Dispõe sobre a proteção do consumidor e dá outras providências. Brasília, DF: Presidência da República, 1990. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l8078compilado.htm. Acesso em: 12 out. 2026.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília, DF: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709compilado.htm. Acesso em: 12 out. 2026.
BRASIL. Autoridade Nacional de Proteção de Dados. Resolução CD/ANPD nº 15, de 24 de abril de 2024. Aprova o Regulamento de Comunicação de Incidente de Segurança. Brasília, DF: ANPD, 2024. Disponível em: https://www.gov.br/anpd/pt-br/acesso-a-informacao/institucional/atos-normativos/regulamentacoes_anpd/documentos/rcis___anonimizado_final_ocultado_2_parte3.pdf. Acesso em: 12 out. 2026.
BRASIL. Superior Tribunal de Justiça (2. Turma). Agravo em Recurso Especial nº 2.130.619/SP. Relator: Ministro Francisco Falcão, 7 de março de 2023. Diário da Justiça eletrônico, Brasília, DF, 10 mar. 2023. Disponível em: https://processo.stj.jus.br/jurisprudencia/externo/informativo/?livre=%40CNOT%3D019794. Acesso em: 12 out. 2026.
BRASIL. Superior Tribunal de Justiça (3. Turma). Recurso Especial nº 2.121.904/SP. Relatora: Ministra Nancy Andrighi, 11 de fevereiro de 2025. Diário da Justiça eletrônico nacional, Brasília, DF, 17 fev. 2025. Disponível em: https://processo.stj.jus.br/SCON/GetInteiroTeorDoAcordao?dt_publicacao=17%2F02%2F2025&num_registro=202400312927. Acesso em: 12 out. 2026.
MENDES, Laura Schertel; FONSECA, Gabriel Campos Soares da. Proteção de dados para além do consentimento: tendências contemporâneas de materialização. REI – Revista Estudos Institucionais, Rio de Janeiro, v. 6, n. 2, p. 507-533, 2020. DOI: https://doi.org/10.21783/rei.v6i2.521. Disponível em: https://www.estudosinstitucionais.com/REI/article/view/521. Acesso em: 12 out. 2026.
MENDES, Laura Schertel Ferreira. Autodeterminação informativa: a história de um conceito. Pensar – Revista de Ciências Jurídicas, Fortaleza, v. 25, n. 4, p. 1-18, 2020. DOI: https://doi.org/10.5020/2317-2150.2020.10828. Disponível em: https://ojs.unifor.br/rpen/article/view/10828. Acesso em: 12 out. 2026.
