LGPD decisão automatizada: o checklist antes do primeiro pedido de revisão

O problema

Sou auditor de sistemas críticos, e a pergunta que mais ouço de quem responde por risco numa empresa grande é sobre o artigo 20 da LGPD, raramente sobre ISO 42001. Desde 2020, quem é afetado por uma decisão tomada unicamente por tratamento automatizado de dados pessoais pode pedir revisão. Quase nenhuma empresa que eu auditei sabia listar, de cabeça, quais das próprias decisões são unicamente automatizadas hoje e quais ainda têm alguém olhando o caso antes de confirmar.
Scoring de crédito, triagem de currículo, precificação dinâmica e liberação de limite em aplicativo costumam rodar sem esse controle escrito. O titular só descobre que foi decidido por máquina quando o resultado já chegou.

A palavra que decide tudo: unicamente

Se existe uma pessoa entre o modelo e o resultado final, com poder real de mudar esse resultado e usando esse poder de fato, a decisão deixou de ser unicamente automatizada. Se essa pessoa só confirma em lote, sem abrir o caso individual, a decisão continua sendo unicamente automatizada, mesmo com alguém clicando em aprovar no final.
A redação original do artigo 20, aprovada pelo Congresso, previa revisão feita por pessoa natural. A Lei 13.853/2019 retirou essa expressão do caput antes mesmo de a LGPD entrar em vigor, e vetou o parágrafo que previa multa própria para o artigo. O veto não apaga a obrigação. Só retira uma penalidade específica, que passou a seguir a régua geral de sanção da lei, a mesma de qualquer outra infração.
Formalmente, hoje, a lei não exige que o revisor seja humano. A pergunta que decide, na minha leitura, não é se existe humano no processo. É se quem revisa tem poder real de mudar o resultado, e usa esse poder quando o caso individual pede isso. Um aprovador que só roda o mesmo modelo de novo, sem abrir o caso, não cumpre o artigo 20, seja ele humano ou outro sistema.

O que ter pronto antes do pedido chegar

Três frentes resolvem a maior parte do que uma auditoria externa ou a ANPD vai perguntar:

1. Inventário: lista das decisões que a empresa toma hoje sem nenhuma pessoa olhando o caso individual, atualizada, não um levantamento feito uma vez e esquecido.2. Critério em linguagem simples: o procedimento de cada decisão, escrito para o titular entender sem abrir código-fonte, respeitando segredo comercial onde ele existir de verdade.3. Processo de resposta: quem recebe o pedido, quem tem poder real de mudar o resultado, e em quanto tempo responde. A lei não fixa prazo próprio para essa revisão; o mercado usa como referência os 15 dias corridos que o artigo 19 já exige para outros pedidos do titular. Sem esse inventário, a resposta a um pedido de revisão nasce inventada na hora, sob pressão do prazo, e normalmente erra algum detalhe que o titular, ou a ANPD depois dele, percebe. ## Um cenário comum Uma empresa de crédito ao consumidor usa um modelo de score para aprovar ou negar pedido de empréstimo em segundos. Quando o modelo nega e a pessoa pede revisão, o time de atendimento reabre o mesmo modelo, roda de novo com os mesmos dados de entrada, e devolve a mesma negativa, sem olhar o caso individual. Existe um registro de revisão no sistema. Na prática, é o mesmo algoritmo revisando a si mesmo, e é esse desenho que o artigo 20 não aceita como cumprimento. O custo de ignorar isso está na mesma lei: o artigo 52 prevê multa simples de até 2% do faturamento do grupo no Brasil no último exercício, sem contar tributos, limitada a R$ 50 milhões por infração. O artigo 20 não tem multa própria desde o veto de 2019, então uma falha nele cai nessa régua geral. ## Por que isso é prioridade agora Em 2025 a ANPD fechou uma tomada de subsídios dedicada ao tema, com 124 contribuições recebidas. ANPD decisão automatizada virou prioridade oficial de fiscalização para o biênio 2026 e 2027, ao lado de proteção de dados de criança e adolescente e tratamento de dados pelo poder público. A autarquia está organizando a fiscalização de um instrumento que já existe desde 2020, com nota técnica publicada e agenda regulatória atualizada. ## Onde a ISO 42001 entra O Anexo A da ISO 42001 pede avaliação de impacto, papel definido para quem decide sobre o sistema de IA e mecanismo de contestação para quem é afetado por ele. O artigo 20 pede, na prática, quase a mesma coisa, só que como direito individual do titular, não como controle de gestão da organização. Quem organiza o inventário de sistemas de IA pensando na ISO 42001 resolve boa parte da base documental que o artigo 20 exige. Quem organiza pensando no artigo 20 primeiro chega à ISO 42001 depois com metade do caminho andado. ## Conclusão A decisão que vale tomar esta semana não é certificar a ISO 42001 nem esperar o PL 2338 virar lei. É pegar as três decisões automatizadas que mais afetam gente de fora da empresa hoje, crédito, recrutamento, preço, acesso, e perguntar, para cada uma, quem tem poder real de mudar o resultado quando alguém reclama. Se a resposta for ninguém, só o próprio modelo, o artigo 20 já está sendo descumprido, com ou sem fiscalização no horizonte. Este texto é uma versão condensada de uma análise mais longa que publiquei em https://iso42001.com.br/artigos/lgpd-decisao-automatizada-artigo-20/