Quem responde por um documento anonimizado é sempre uma pessoa. Uma máquina não tem inscrição, patrimônio nem reputação a perder quando erra. Por isso a pergunta útil é quem responde, e o que essa pessoa conferiu antes de assinar.
Uma máquina não tem o que perder
Um advogado que deixa passar o CPF de uma testemunha responde perante o cliente, a OAB e, conforme o caso, a ANPD. Ele pode perder algo concreto: a inscrição, os clientes, o nome.
Um modelo de linguagem não pode ser suspenso nem pagar indenização. Quando erra, o custo cai sobre quem o configurou, o vendeu ou confiou nele sem conferir. Um sistema mais preciso continua sem patrimônio.
Assinar sem conferir
Quem avaliza a dívida de um parente sabe que o banco só pergunta se a assinatura é sua, e que, depois, é seu patrimônio que responde. Por isso ninguém sensato avaliza uma dívida que não conhece.
Com um documento anonimizado acontece o mesmo. O cliente e o juízo leem sua assinatura como “alguém conferiu isto”. Se ninguém conferiu, assinar não é assumir responsabilidade, mas sim apostar o próprio nome.
O que a lei brasileira diz
O art. 5º, VI e VII da LGPD define os agentes de tratamento: o controlador, que decide, e o operador, que trata dados em nome dele. O art. 7º lista as bases legais, e o art. 6º, X exige que o agente demonstre as medidas que adotou. Desde a Emenda Constitucional nº 115/2022, a proteção de dados é direito fundamental expresso.
Para advogados, violar o sigilo profissional é infração disciplinar (art. 34, VII da Lei nº 8.906/1994). Revelar segredo profissional sem justa causa também é crime (art. 154 do Código Penal).
Pelo art. 12, dado anonimizado deixa de ser dado pessoal, salvo quando o processo pode ser revertido com meios próprios ou esforços razoáveis. Códigos que você mesmo desfaz ficam mais perto da pseudonimização. Por isso a revisão precisa garantir que nada identificável sobrou fora dos códigos. Avaliar a conformidade de um caso concreto cabe à sua assessoria jurídica.
Por que uma boa taxa de acerto não basta
Imagine, como hipótese, uma ferramenta que encontre 99,5% dos identificadores de um lote. Num contrato de quarenta páginas com duzentas ocorrências, o meio por cento restante é um valor, e ninguém sabe qual. A taxa descreve o lote, e sua assinatura descreve este documento.
O Parecer 05/2014 do Grupo de Trabalho do Artigo 29 e o guia de anonimização do ICO britânico mostram que o risco também está no contexto. Nenhum dos dois é lei no Brasil. “O diretor financeiro da filial de Campinas” identifica alguém sem conter um nome. O framework de risco de IA do NIST, de 2023, atribui a responsabilização a pessoas e organizações.
Anonimização com revisão humana: a máquina propõe
O promptShield não dispensa o olhar humano. A detecção usa expressões regulares para CPF, CNPJ, CEP e dados bancários, e um modelo de entidades para nomes e endereços. Uma análise opcional com modelo de linguagem vem desligada por padrão. Os resultados são combinados, um nome da página 1 é marcado também na página 4, e um filtro descarta o ruído.
O resultado é uma proposta. Cada detecção aparece como uma região que você confirma, ajusta ou exclui, e você pode desenhar outras. Confira também o tipo atribuído: uma empresa marcada como pessoa, ou uma data marcada como número de documento, precisa ser corrigida. Por padrão, um arquivo protegido só é baixado depois dessa revisão. Se você clicar em Baixar antes, o aplicativo explica o que falta e abre a janela Rever, onde a confirmação grava os códigos no Registro de códigos.
Codificar troca o valor por um código reversível. Ocultar remove o texto em vez de cobri-lo com um retângulo preto, e faz isso também nos metadados e nos campos de formulário.
Na mesma pasta, o mesmo valor recebe o mesmo código, e só um código fixado à mão vale em qualquer pasta. O que acontece depois da confirmação está em como funcionam a ocultação e a codificação reversível.
No desktop, o documento não sai da máquina. A versão no navegador também processa localmente, mas envia um sinal anônimo ao abrir.
Perguntas de quem assina
Por que uma máquina não pode responder pelo que produz?
Porque responder supõe ter algo a perder, e um sistema não tem inscrição, patrimônio nem reputação. Quando ele erra, o custo cai sobre uma pessoa.
A revisão humana anula o ganho de tempo?
Ela muda a forma de usar o tempo. Em vez de ler tudo procurando dados, você percorre regiões já marcadas e procura o que só o contexto revela.
O que a pessoa verifica, na prática?
Se cada região cobre o valor inteiro, o que ficou sem marcação (rodapés, carimbos, páginas escaneadas), a identificação indireta e a escolha entre Codificar e Ocultar.
A revisão humana basta para cumprir a LGPD?
Nenhum fornecedor pode responder isso pelo escritório. Depende da finalidade, do destino dos dados e do contexto, e essa análise jurídica cabe a você.
O nome no papel
Uma ferramenta busca mais rápido e com mais método do que alguém cansado lendo às oito da noite. O olhar final, que põe seu nome no arquivo, continua sendo seu.