Matriz de responsabilidade legal: como a LGPD organiza a relação entre instituição e fornecedor de IA

Última atualização: 28/08/2026

O que você vai aprender neste artigo

• A diferença entre controlador e operador segundo a LGPD
• O que a lei diz sobre responsabilidade no tratamento de dados de aluno
• Em que situação a responsabilidade é solidária entre instituição e fornecedor
• Como isso se aplica em situações concretas
• O que vale ter claro em contrato, pra proteger os dois lados
• Como a emy trata dados de alunos na prática

Soluções de AVA, LMS e IA educacional tratam dados de alunos como parte da operação acadêmica, o mesmo tipo de dado que sustenta a gestão acadêmica com IA em tempo real. Por isso, a contratação desses fornecedores também precisa definir com clareza quais dados podem ser tratados e quais são as responsabilidades de cada parte. Isso não é burocracia: é o que evita ambiguidade se algo precisar ser esclarecido depois, e protege tanto a instituição quanto o fornecedor.

Controlador e operador não são a mesma coisa

A Lei Geral de Proteção de Dados (Lei 13.709/2018) diferencia os papéis dos agentes envolvidos no tratamento de dados, no artigo 5º. O controlador toma as principais decisões sobre o tratamento, incluindo suas finalidades. Na educação superior, a instituição normalmente ocupa esse papel em relação aos dados de seus alunos.

O operador realiza o tratamento em nome do controlador e de acordo com as instruções dele. Esse papel costuma caber a fornecedores de AVA, LMS ou soluções de IA pedagógica, dependendo da relação estabelecida e das atividades realizadas.

O que são controlador e operador? Controlador é quem decide como e por que um dado é usado. Operador é quem executa esse tratamento seguindo as instruções do controlador. A distinção existe pra deixar claro o papel de cada parte, o que ajuda os dois lados a saberem exatamente o que esperar um do outro.

O que a lei diz sobre responsabilidade

A LGPD prevê responsabilização por danos causados em violação à legislação, e estabelece situações em que pode haver responsabilidade solidária entre os agentes de tratamento, conforme o artigo 42. O operador pode responder solidariamente quando descumpre obrigações da LGPD ou quando não segue as instruções lícitas do controlador; controladores diretamente envolvidos num mesmo tratamento também podem responder entre si de forma solidária.

A lei também prevê, no artigo 43, situações em que um agente pode não ser responsabilizado. Pra demonstrar essas circunstâncias, é necessário ter evidências sobre como o tratamento ocorreu e quais eram as responsabilidades de cada parte. Uma relação bem documentada facilita essa avaliação, o que de novo favorece os dois lados, não só um.

Como isso se aplica em situações diferentes

Alguns exemplos ajudam a tornar isso concreto. Quando há uso inadequado pela própria instituição, como a utilização de dados pra uma finalidade incompatível com aquela que fundamentou o tratamento original, a análise está relacionada à atuação dela como controladora.

Numa falha de segurança no ambiente do fornecedor, a responsabilização depende das circunstâncias do incidente, da atuação de cada agente e do cumprimento das obrigações previstas na LGPD por cada parte, não é automática pra nenhum dos lados.

E quando o fornecedor usa os dados fora das instruções recebidas, passando a tratá-los pra uma finalidade própria, sua atuação pode deixar de se limitar ao papel de operador naquele contexto específico.

Cada situação envolve responsabilidades diferentes, o que reforça por que vale definir desde a contratação os limites de atuação de cada parte no tratamento dos dados, o que dá segurança tanto pra instituição quanto pro fornecedor.

O que vale ter claro em contrato

• Cláusula definindo com clareza quem é controlador e quem é operador na relação
• Quais dados são tratados, com qual finalidade, e por quanto tempo
• Procedimentos em caso de incidente de segurança, incluindo comunicação entre as partes e responsabilidades envolvidas
• Se há subcontratação de algum processamento de dados a terceiros, e sob quais condições

Isso não é uma lista de desconfiança: é o tipo de clareza que qualquer fornecedor sério já deveria trazer pra mesa, porque também protege ele. É a mesma lógica por trás da correção de discursivas alinhada ao Decreto 12.456/2025: regra clara facilita conformidade pros dois lados.

Onde entra o Decreto 12.456/2025 e o CNE 2026

Essas duas frentes regulatórias reforçam por que esse tema ganhou peso em 2025 e 2026. O Decreto 12.456/2025 trouxe novas regras pra EAD no ensino superior, incluindo exigências sobre avaliação e presença de questões discursivas nos cursos, com prazo de adequação até maio de 2027 para cursos já existentes.

Já o CNE aprovou em 11 de maio de 2026 as diretrizes de uso de IA na educação, com um parecer que ainda depende de consulta pública e homologação do MEC pra virar norma definitiva (veja mais no nosso guia de adequação ao CNE 2026, que estamos revisando com esse dado atualizado). O texto classifica o uso de IA em quatro categorias de risco: baixo (apoio ao cotidiano, como organização de material e recursos de acessibilidade), moderado (sistemas que interagem diretamente com a pedagogia, como tutores virtuais), alto (tecnologias que exigem supervisão humana significativa, como correção automática de prova) e excessivo, que é proibido (vigilância emocional, sistemas de pontuação social, decisões de promoção totalmente automatizadas). O parecer trata a IA como apoio operando sob supervisão docente, com formação de professores como pré-requisito pra qualquer implementação.

Como a emy trata dados de alunos na prática

A emy se integra ao AVA ou LMS já utilizado pela instituição, sem necessidade de migração, e realiza o tratamento necessário à prestação do serviço de acordo com as finalidades e instruções estabelecidas pela IES. A solução é estruturada com medidas de segurança e práticas de proteção de dados alinhadas às exigências aplicáveis da LGPD, considerando os limites e as finalidades definidos para a prestação do serviço.

Na prática, isso coloca a emy no papel de operadora na maioria das relações com instituições clientes, dentro de finalidades e instruções já combinadas com cada IES. É esse tipo de clareza, definida desde o início, que reduz risco pros dois lados da relação.

Perguntas frequentes sobre responsabilidade legal e LGPD

Um contrato bem definido elimina qualquer risco pra instituição e pro fornecedor?
Não elimina completamente, mas reduz bastante a ambiguidade, que é normalmente o que gera problema. A LGPD estabelece responsabilidade própria pra cada papel, e um contrato claro ajuda a documentar como essa relação funciona na prática.

Uma instituição pode ser controladora e operadora ao mesmo tempo?
Sim, dependendo da situação. Uma mesma organização pode assumir os dois papéis em contextos diferentes, ou até no mesmo tratamento, se tomar decisões e também executar o processamento.

Isso é aconselhamento jurídico?
Não. Este artigo é informativo, baseado no texto da Lei 13.709/2018. Pra decisão sobre contrato específico, é recomendável consultar o jurídico da instituição.

Última atualização: 28/08/2026

Resumo do artigo

• A diferença entre controlador e operador segundo a LGPD
• O que a lei diz sobre responsabilidade no tratamento de dados de aluno
• Em que situação a responsabilidade é solidária entre instituição e fornecedor
• Como isso se aplica em situações concretas
• O que vale ter claro em contrato, pra proteger os dois lados
• Como a emy trata dados de alunos na prática

Fontes: Lei 13.709/2018 (LGPD), Planalto, artigos 5º, 42 e 43; Decreto 12.456/2025 e Portaria MEC 506/2025; parecer do CNE sobre IA na educação, aprovado em 11/mai/2026 (pendente de consulta pública e homologação do MEC).

José Messias Jr. é CEO e cofundador da emy education, ferramenta pedagógica de IA que se integra ao AVA/LMS que a instituição já usa para oferecer tutoria 24h, exercícios adaptativos e correção de atividades discursivas em escala. À frente da emy, liderou a empresa a ser a única edtech da América Latina selecionada pelo Google para o Gemini Founders Forum (2025). Escreve sobre IA aplicada à educação, retenção de alunos e o futuro das instituições de ensino no Brasil. LinkedIn: https://www.linkedin.com/in/josé-messias-jr-7b94a5136