Checklist de LGPD para contratar uma plataforma de IA na escola

A objeção chega quase sempre com as mesmas palavras: "e os dados das crianças?" É a pergunta certa. O problema é a resposta que o fornecedor costuma dar, que é alguma variação de "é tudo criptografado, pode ficar tranquilo".

Criptografia é uma medida de segurança entre várias, e nenhuma pergunta da LGPD é respondida por ela. A lei trata de outra coisa: quem decide o que acontece com o dado, para qual finalidade, por quanto tempo, para onde ele vai e quem responde quando algo dá errado. Dá para verificar tudo isso antes de assinar, e a conversa fica objetiva quando a escola chega com uma lista em vez de uma preocupação.

Este texto é um guia de perguntas escrito por quem constrói software educacional. Não é parecer jurídico: contrato de fornecedor e política de privacidade da escola merecem leitura de um advogado de proteção de dados, e o que está aqui serve para você chegar nessa conversa sabendo o que perguntar.

O ponto que muda todo o resto: a escola é a controladora

A LGPD separa dois papéis (art. 5º, VI e VII). Controlador é quem decide sobre o tratamento dos dados. Operador é quem trata em nome do controlador, seguindo as instruções dele (art. 39).

Numa contratação de software educacional, a escola é a controladora e a plataforma é a operadora. Quase sempre. Isso tem três consequências práticas que costumam surpreender a direção:

1. A decisão continua sendo da escola. Contratar não transfere a responsabilidade; distribui. Controlador e operador respondem pelos danos, nos termos do art. 42, e a família que se sentir lesada vai reclamar com quem ela conhece — a escola.
2. "Seguindo as instruções do controlador" pressupõe que existam instruções. Se o contrato não diz o que o fornecedor pode e não pode fazer com o dado do aluno, quem definiu o tratamento foi o fornecedor, e a escola assinou embaixo sem saber.
3. O aviso de privacidade às famílias é da escola. Não adianta o fornecedor ter uma política impecável no site dele se a família da sua escola nunca foi informada, em linguagem acessível, do que passa a acontecer (art. 14, § 6º).

Se a reunião de compra terminar sem que esses papéis estejam escritos, o resto do checklist não se sustenta.

As três regras que decidem quase tudo

Art. 14 — criança e adolescente. O tratamento tem que se dar no melhor interesse do menor, e o § 1º exige consentimento específico e em destaque, dado por pelo menos um dos pais ou responsável legal, para o tratamento de dados de crianças. Pelo ECA (Lei nº 8.069/1990, art. 2º), criança é quem tem até doze anos incompletos; adolescente, de doze a dezoito. Para a faixa dos adolescentes a redação da lei alimenta discussão jurídica honesta, e o caminho conservador é pedir autorização do responsável para todo o Ensino Fundamental. Essa é uma decisão da escola com o jurídico dela, não um detalhe de configuração do sistema.

Dois parágrafos do mesmo artigo passam despercebidos e valem ouro numa negociação: o § 4º proíbe condicionar a participação a fornecer mais dados do que os estritamente necessários, e o § 5º manda o controlador fazer esforços razoáveis para verificar que quem consentiu foi mesmo o responsável.

Art. 11 — dado sensível. Laudo, diagnóstico, relatório de terapeuta, informação de saúde do aluno atípico: tudo isso é dado sensível, com regime mais rígido. Se a plataforma usa esse tipo de informação para adaptar atividade ou plano de aula, a escola precisa saber exatamente em que forma ela circula — e, em especial, se ela chega identificada a um modelo de inteligência artificial de terceiro.

Art. 20 — decisão automatizada. É o mais esquecido dos três e o mais relevante quando entra IA. O titular tem direito a pedir revisão de decisões tomadas unicamente por tratamento automatizado que afetem seus interesses. Se a plataforma produz escore de risco, classificação de aluno ou recomendação de encaminhamento, a escola tem que saber quem revisa aquilo, com base em quê, e o que exatamente é mostrado a quem. Sistema que rotula criança sem revisão humana não é um problema pedagógico apenas.

O checklist para levar à reunião

Quatro blocos. Cada pergunta vem com o que ela protege.

Papéis e finalidade

1. O contrato diz, com essas palavras, quem é controlador e quem é operador? Se o fornecedor resistir a escrever, entenda o porquê antes de continuar.
2. Qual é a lista de campos que a plataforma coleta sobre cada aluno? Peça a lista, não a descrição. O princípio da necessidade (art. 6º, III) só é verificável contra uma lista: para cada campo, pergunte qual funcionalidade deixa de existir sem ele. Data de nascimento costuma ter uma boa resposta (ela decide o regime do art. 14); CPF do aluno de sexto ano, quase nunca.
3. Para que finalidade os dados são usados, além de prestar o serviço? Estatística agregada, melhoria de produto, material de divulgação — cada uma é uma finalidade própria e precisa estar declarada.
4. Os dados da escola são usados para treinar modelos de IA, do fornecedor ou de terceiros? Essa é uma cláusula contratual, não uma propriedade técnica. Exija por escrito, e exija que valha também para os subcontratados.

O que sai da escola

5. O que exatamente é enviado ao provedor de IA a cada uso? O texto que o aluno escreve vai junto com o nome dele? Com a matrícula? Esta é a pergunta mais importante da lista e a que mais fornecedor não sabe responder de cabeça.
6. Há transferência internacional de dados (art. 33)? Quase sempre a resposta honesta é sim, porque os grandes modelos rodam fora do Brasil. "Não" dito rápido demais costuma significar "nunca verifiquei". O que interessa é qual é a salvaguarda e se ela está no contrato.
7. Quem são os subcontratados? Provedor de IA, hospedagem, envio de e-mail, notificação. Peça a lista e uma cláusula de aviso prévio quando ela mudar.
8. Como o dado de uma escola fica separado do de outra? Peça para explicarem o mecanismo. "Cada escola tem seu login" não é isolamento de dados; é tela diferente sobre a mesma base.
9. Quem, dentro da escola, consegue ver o dado de qual aluno — e isso fica registrado? Professor ver a turma inteira do colégio é um problema de LGPD que nasce dentro da escola, não no fornecedor.

Tempo, saída e direitos

10. Qual é o prazo de guarda de cada categoria de dado? Conversa do aluno com o tutor, produção textual, registro técnico e histórico escolar têm prazos diferentes. Fornecedor que responde "guardamos tudo" ainda não pensou no assunto.
11. O que acontece com os dados no fim do contrato? Devolução em formato utilizável e eliminação do restante, com prazo e confirmação por escrito. Note que parte do acervo escolar fica retida por obrigação legal (art. 16, I) — nota, frequência, histórico —, e isso é correto, desde que a régua esteja declarada item a item em vez de ser decidida na hora.
12. Como um responsável exerce os direitos do art. 18? Confirmação, acesso, correção, portabilidade e eliminação. Pergunte qual é o caminho concreto: por quem entra o pedido, em quanto tempo é atendido, e o que a família recebe. O art. 19 fala em atendimento imediato em formato simplificado, ou em até quinze dias para a declaração completa. Se a resposta for "manda e-mail que a gente resolve no banco", saiba que você está comprando um processo manual que ninguém auditou.
13. Quando o pedido é atendido só em parte, a família recebe a justificativa? O art. 18, § 4º exige isso. Na prática é a diferença entre "atendemos parcialmente" e uma lista que diz o que foi apagado, o que ficou e por quê.

Quando dá errado

14. Em quanto tempo o fornecedor avisa a escola de um incidente de segurança? A ANPD regulamentou a comunicação de incidente em 2024 e o prazo do controlador é contado em dias, a partir do conhecimento do fato. Logo, o prazo do operador para avisar a escola tem que ser menor que isso — e estar no contrato com um número.
15. Existe encarregado (art. 41) dos dois lados, com canal que funciona? Teste o canal do fornecedor antes de assinar: mande uma mensagem e veja se responde. Endereço publicado que ninguém lê é pior que endereço nenhum, porque cria a aparência de um canal.
16. O fornecedor mantém registro das operações de tratamento (art. 37) e consegue mostrar? E a escola, mantém o dela? O art. 37 obriga controlador e operador.
17. Quem aprova o conteúdo gerado por IA antes de chegar ao aluno? Se a resposta for "ninguém", a escola terceirizou decisão pedagógica junto com a infraestrutura.

Cinco respostas que devem acender a luz amarela

• "Somos compatíveis com a LGPD." Não existe certificado de conformidade com a LGPD emitido pela ANPD. A frase é uma afirmação sobre si mesmo; peça os documentos que a sustentam.
• "É tudo criptografado." Responde ao art. 46 e a nenhum dos outros. Pergunte em seguida quem tem a chave e quem tem acesso ao dado já decifrado.
• "O dado é anonimizado." Anonimizado, na LGPD, é o dado que não permite identificar o titular nem com esforço razoável — e aí sai do alcance da lei. Trocar o nome por um número é pseudonimização, útil e bem-vinda, mas continua sendo dado pessoal. Fornecedor que confunde os dois termos provavelmente confundiu também no desenho do sistema.
• "Os dados ficam na nuvem, em servidores seguros." Pergunte em que país e sob qual salvaguarda.
• "Ninguém nunca perguntou isso." Talvez seja verdade. Também é o motivo pelo qual vale perguntar.

O que a escola precisa fazer do próprio lado

Nenhum fornecedor resolve estes cinco pontos por você:

1. Inventário. Quais dados de aluno a escola já trata, onde, com que finalidade e por quanto tempo. A plataforma nova entra nesse mapa, não o substitui.
2. Aviso às famílias e coleta da autorização, em linguagem que uma mãe entende sem advogado, antes do primeiro acesso do aluno — não no meio do bimestre.
3. Quem acessa o quê dentro da escola. Perfil de acesso por função, e revisão quando alguém sai.
4. Encarregado designado e canal publicado, com alguém de fato lendo.
5. Um plano para o dia ruim. Quem é avisado, em que ordem, quem fala com as famílias. Incidente acontece em organização competente também; o que distingue é o tempo de reação.

O que uma plataforma bem desenhada faz — e o que ela não faz

Vale terminar com um exemplo concreto, inclusive porque você deve aplicar o mesmo checklist a nós.

No Auvien, o consentimento do responsável é um portão: sem autorização registrada, o aluno não entra, e a verificação se repete a cada turno de conversa com o tutor, não só no login. Sem data de nascimento cadastrada, o sistema assume o regime mais protetivo e barra — falhar fechado é uma decisão de projeto, e ela às vezes irrita a secretaria no dia do cadastro. O texto do aluno passa por minimização de dados pessoais antes de ir para o provedor de IA, e no planejamento com aluno atípico o nome real é substituído por um rótulo antes do envio, voltando ao texto só na tela do professor. Acesso a dado de aluno identificado deixa rastro. Prazo de guarda é configurado por categoria, não por atacado. E o pedido de eliminação responde com um catálogo declarado item a item: o que foi apagado, o que foi minimizado e o que ficou retido por obrigação legal, com o motivo escrito.

O que o Auvien não faz, e nenhuma plataforma faz: não transforma a escola em outra coisa que não a controladora dos dados; não obtém pelas famílias o consentimento que cabe à escola obter; não elimina a transferência internacional, porque o modelo de linguagem que responde ao aluno roda fora do Brasil e isso precisa estar declarado no seu aviso de privacidade; e não substitui a leitura de um advogado no contrato.

Conformidade não é um selo que se compra junto com a licença. É um processo que a escola conduz, e uma boa plataforma é aquela que consegue responder, com detalhe e por escrito, às seis ou sete perguntas desta lista que o seu jurídico vai considerar as mais importantes.

Para conferir na fonte

• Lei nº 13.709/2018 (LGPD), em especial os artigos 5º, 6º, 11, 14, 16, 18, 19, 20, 33, 37, 39, 41, 42, 46 e 48.
• Lei nº 8.069/1990 (ECA), art. 2º, para a definição legal de criança e adolescente.
• Autoridade Nacional de Proteção de Dados (ANPD): regulamentos e guias orientativos, inclusive sobre comunicação de incidente de segurança.