Sua ouvidoria com IA responde em segundos. Para onde vai o CPF do munícipe enquanto ela pensa?

O cidadão liga para a ouvidoria municipal. Reclama de um buraco na rua, pede informação sobre IPTU, solicita segunda via de certidão. Atendente humano levaria minutos. O chatbot com IA responde em segundos.

O prefeito comemora: "Atendimento mais rápido, menos fila, cidadão satisfeito."

Mas enquanto a IA formula a resposta, uma pergunta permanece sem resposta: para onde foi o CPF que o munícipe digitou?

O fluxo invisível que ninguém audita

Quando o cidadão informa "sou João da Silva, CPF 123.456.789-00, morador da Rua das Flores, 247", o sistema de ouvidoria registra a solicitação. Até aí, processo administrativo normal.

O problema começa quando essa solicitação é enviada para o modelo de IA que gera a resposta:

O texto da solicitação — incluindo o CPF — é transmitido ao modelo
Se o modelo é externo (API de terceiro, serviço em nuvem), o CPF cruza o perímetro municipal
O modelo processa o texto para gerar a resposta
A resposta volta ao cidadão
O CPF nunca deveria ter saído — mas saiu

O cidadão não sabe. O atendente não sabe. O secretário de tecnologia provavelmente não sabe. E quando a ANPD perguntar "para onde foram os dados dos cidadãos que passaram pela sua ouvidoria?", a resposta será: "não temos certeza."

Por que isso é um problema jurídico — não apenas técnico

A LGPD não proíbe o uso de IA no setor público. O que ela exige é que o tratamento de dados pessoais tenha base legal, finalidade legítima, necessidade, transparência e segurança.

Quando a prefeitura envia o CPF do munícipe para um modelo de IA externo, ela precisa responder:

Base legal: Qual é a base legal para compartilhar o CPF com o fornecedor da IA? (Art. 7º, LGPD)
Finalidade: O fornecedor da IA precisa do CPF para responder sobre IPTU? (Art. 6º, I, LGPD)
Necessidade: É possível responder sem o CPF? (Art. 6º, III, LGPD)
Segurança: O fornecedor protege o CPF conforme Art. 46? (Art. 46, LGPD)
Transferência internacional: O CPF sai do Brasil? (Art. 33, LGPD)

Se a resposta para qualquer uma dessas perguntas for "não sabemos" ou "o fornecedor disse que é seguro", a prefeitura está em risco.

O que a ANPD pode perguntar

A ANPD já publicou o Mapa de Temas Prioritários 2026-2027, que inclui biometria, saúde e inteligência artificial. Prefeituras que operam IA em atendimento ao cidadão estão no radar.

Em uma fiscalização, a ANPD pode perguntar:

"Mostre o fluxo de dados da sua ouvidoria com IA"
"Quais dados pessoais são enviados ao modelo?"
"O fornecedor da IA é operador ou suboperador? (Art. 39, LGPD)"
"Existe acordo de tratamento de dados com o fornecedor? (Art. 39, §1º)"
"Como você garante que o CPF não é usado para treinar o modelo?"

Se a prefeitura não conseguir responder com evidência, as consequências incluem:

Advertência com prazo para correção (Art. 52, I)
Multa simples de até 2% do faturamento (Art. 52, II)
Multa diária até o limite de R$ 50 milhões (Art. 52, §1º)
Publicização da infração (Art. 52, IV)
Bloqueio ou eliminação dos dados (Art. 52, V e VI)

Para um município, a publicização da infração pode ser mais danosa que a multa: manchete de jornal em ano eleitoral.

PII-Zero: o CPF que nunca chega à IA

O Certus Engine resolve esse problema com PII-Zero, uma camada de sanitização que opera antes de qualquer dado chegar ao modelo de IA.

Como funciona na prática:

O munícipe digita: "Sou João da Silva, CPF 123.456.789-00, morador da Rua das Flores, 247. Preciso de segunda via do IPTU."
O PII-Zero detecta dados sensíveis: nome completo, CPF, endereço
O PII-Zero tokeniza esses dados: João da Silva → TOKEN_8F29 / CPF → TOKEN_A3B7 / Endereço → TOKEN_C4D1
O modelo de IA recebe a solicitação sanitizada — sem nenhum dado pessoal real
O modelo responde com base na solicitação, sem nunca ver o CPF real
Quando a resposta precisa referenciar o cidadão, o PII-Zero reconstitui os dados — mas apenas dentro do perímetro municipal, sob política explícita

Resultado: O modelo processa a solicitação, o cidadão recebe a resposta, e o CPF nunca cruzou o perímetro municipal em forma legível.

O que muda na operação da ouvidoria

| Sem PII-Zero | Com PII-Zero | |---|---| | CPF enviado ao modelo externo | CPF tokenizado antes de sair | | Risco de vazamento pelo fornecedor | Zero risco de vazamento (dado nunca sai) | | Base legal questionável | Base legal clara (Art. 7º, LGPD) | | Transferência internacional possível | Dados permanecem no perímetro municipal | | Auditoria depende de logs do fornecedor | Auditoria com evidência criptográfica (LAZARUS) | | Resposta da prefeitura: "o fornecedor disse que é seguro" | Resposta da prefeitura: "o CPF nunca saiu em forma legível" |

Casos de uso municipais além da ouvidoria

O PII-Zero não se limita à ouvidoria. Qualquer fluxo municipal que usa IA e toca dados pessoais pode ser protegido:

Atendimento social (Cadastro Único): O cidadão informa renda, composição familiar, endereço. O PII-Zero tokeniza antes de qualquer modelo processar.

Triagem de saúde (SUS municipal): O paciente informa sintomas, histórico, medicamentos. O PII-Zero tokeniza antes de qualquer IA de pré-triagem processar.

Atendimento educacional: Pais informam dados de matrícula, endereço, renda. O PII-Zero tokeniza antes de qualquer chatbot escolar processar.

Licitações e contratos: Fornecedores informam CNPJ, dados bancários, documentos. O PII-Zero tokeniza antes de qualquer IA de análise documental processar.

LAZARUS: a evidência de que o CPF nunca saiu

Quando a ANPD perguntar "para onde foi o CPF?", a prefeitura não responde com narrativa. Responde com evidência criptográfica.

O LAZARUS Vault registra cada operação do PII-Zero:

Qual dado foi tokenizado
Quando foi tokenizado
Qual token foi gerado
Se a reconstituição ocorreu — e sob qual política
Hash criptográfico de cada etapa

A cadeia de evidência é assinada e imutável. Qualquer auditor independente pode verificar que o CPF nunca cruzou o perímetro em forma legível — sem precisar acessar o CPF.

Isso transforma a resposta da prefeitura de "acredite em mim" para "verifique a prova".

A pergunta que o secretário de tecnologia deveria fazer

Não é "qual IA vamos usar na ouvidoria?". É:

"Quando o modelo externo processa a solicitação do munícipe, ele vê o CPF real — ou vê um token?"

Se a resposta for "ele vê o CPF real", a prefeitura está expondo dados pessoais sem base legal clara.

Se a resposta for "ele vê um token", a prefeitura está operando com Privacy by Design — conforme Art. 46 da LGPD.

A diferença entre as duas respostas é a diferença entre uma multa da ANPD e uma evidência de conformidade.

Município pequeno, risco grande

Prefeituras de menos de 50 mil habitantes enfrentam o mesmo escrutínio da ANPD que capitais — mas sem DPO nomeado, sem equipe de segurança, sem orçamento para consultoria de privacidade.

Muitas vezes, a ouvidoria com IA foi contratada por uma secretaria isolada, sem passar pela procuradoria, sem avaliação de impacto, sem acordo de tratamento de dados. O prefeito descobre o problema quando a ANPD bate à porta — ou quando um vereador pergunta em sessão pública.

O Civitas Governamental é entregue como infraestrutura compartilhada: a prefeitura não precisa contratar consultoria, montar equipe de privacidade, ou desenvolver solução própria. O PII-Zero opera como camada intermediária entre o cidadão e o modelo de IA, independente de qual modelo ou fornecedor a prefeitura já usa.

A decisão que fica

A ouvidoria com IA vai continuar atendendo cidadãos. A questão não é se a prefeitura vai usar IA, mas o que acontece com o CPF enquanto a IA pensa.

Sem PII-Zero, o CPF cruza o perímetro municipal e a prefeitura responde por ele.

Com PII-Zero, o CPF permanece tokenizado e a prefeitura responde com evidência.

Isso transforma o atendimento ao cidadão de um risco de privacidade em uma demonstração de governança. E quando o munícipe perguntar "o que vocês fizeram com meu CPF?", a resposta da sua prefeitura não será "o fornecedor disse que não armazena". Será:

"Seu CPF nunca saiu do perímetro municipal em forma legível. Aqui está a prova criptográfica."

Essa é a diferença entre atendimento por promessa e atendimento por prova.

Não acredite neste artigo. Teste-o.

Sua prefeitura pode iniciar um piloto de PII-Zero na ouvidoria em três passos:

Passo 1 — Identifique o fluxo. Escolha um canal de atendimento com IA: ouvidoria, triagem de saúde, atendimento social, matrícula escolar.

Passo 2 — Mapeie os dados sensíveis. Quais dados pessoais fluem nesse canal? CPF, endereço, telefone, dados de saúde, dados de renda?

Passo 3 — Ative o PII-Zero. O Certus Engine tokeniza os dados sensíveis antes de qualquer modelo processar. O cidadão recebe a mesma resposta — mas o modelo nunca vê o dado real.

Ao final, sua prefeitura recebe: relatório de evidência assinado (LAZARUS), mapa de fluxo de dados, avaliação de risco residual e o roteiro de conformidade LGPD — independentemente de contratar ou não.

Se o piloto não produzir evidência verificável em 60 dias, ele termina ali — e o município fica com o diagnóstico. Fail-closed também é uma promessa comercial: sem prova, sem contrato.

Agende o piloto de PII-Zero na sua ouvidoria: canal direto do Centro de Comando Certus — ou responda a este nó CS-408 pela OMNI MATRIX.