Brasil y LGPD: detectar el CPF y otros identificadores antes de la IA

En Brasil, el número de CPF está en todas partes: en facturas, contratos, fichas de clientes y tickets de soporte. También es uno de los datos que aparecen con más frecuencia en los prompts enviados a ChatGPT, Gemini o Copilot, junto con el resto de una tabla o un correo. Para una empresa sujeta a la LGPD, ese simple copiar y pegar es un tratamiento de datos personales.

Este artículo resume el marco jurídico brasileño y luego entra en lo técnico: qué identificadores buscar, cómo reconocerlos de forma fiable y cómo anonimizarlos sin que la IA deje de ser útil.

El marco: LGPD, ANPD y reglamento de sanciones

La Lei Geral de Proteção de Dados Pessoais (Ley n.º 13.709/2018) se aplica a cualquier tratamiento de datos de personas que se encuentren en Brasil. Distingue los datos personales, los datos sensibles (salud, origen racial o étnico, convicciones religiosas, opiniones políticas, afiliación sindical, datos genéticos o biométricos, vida sexual) y los datos anonimizados. Su artículo 46 exige medidas de seguridad técnicas y administrativas adecuadas.

La ANPD, la autoridad nacional de protección de datos, vela por su cumplimiento. Su reglamento de dosimetría y aplicación de sanciones (Resolução CD/ANPD n.º 4, de 24 de febrero de 2023) explica cómo calcula las multas. La LGPD prevé, entre otras sanciones, el apercibimiento, la publicación de la infracción, el bloqueo o la eliminación de los datos y una multa simple de hasta el 2 % de la facturación en Brasil, con un límite de 50 millones de reales por infracción.

La ANPD ya vigila la IA

El 2 de julio de 2024, la ANPD impuso a Meta una medida preventiva que suspendía el uso de los datos personales de sus usuarios brasileños para entrenar sus sistemas de IA, bajo una multa diaria de 50.000 reales.

En el plano legislativo, el proyecto de ley PL 2338/2023, que crearía un marco para la IA basado en el riesgo, fue aprobado por el Senado Federal el 10 de diciembre de 2024. Desde entonces lo examina una comisión especial de la Cámara de los Diputados, sin votación final por ahora. Mientras tanto, la LGPD basta para regular los prompts.

Los identificadores brasileños que hay que detectar

En Brasil, un motor de detección eficaz debe cubrir mucho más que nombres y direcciones de correo. Estos son los principales formatos:

• CPF: 11 dígitos, que suelen escribirse 000.000.000-00, con dos dígitos de control calculados en módulo 11.

• CNPJ: 14 posiciones, con el formato 00.000.000/0000-00. Desde el 1 de julio de 2026, los nuevos CNPJ pueden contener letras en las 12 primeras posiciones, y las dos últimas siguen siendo dígitos de control.

• Cartão Nacional de Saúde (CNS): 15 dígitos, vinculado a datos de salud y, por tanto, sensible.

• PIS/PASEP/NIT: 11 dígitos, presentes en documentos de recursos humanos y nóminas.

• Título de elector, CNH y RG, teniendo en cuenta que el formato del RG cambia según el estado.

• Claves Pix: un CPF, un correo, un número de teléfono o una clave aleatoria, que deben tratarse como datos financieros.

Detectar sin ahogar a los equipos en falsos positivos

Una simple expresión regular que busca 11 dígitos salta con números de pedido, teléfonos o referencias internas. Un método fiable combina varias señales:

1. Reconocer el formato, con o sin puntuación (000.000.000-00 o 00000000000).

2. Validar los dígitos de control del CPF, del CNPJ o del CNS. Un número aleatorio de 11 dígitos solo tiene alrededor de una posibilidad entre cien de superar la validación del CPF.

3. Excluir las secuencias no válidas, como 111.111.111-11, que superan el cálculo pero nunca se asignan.

4. Analizar el contexto: palabras como «CPF», «inscrição» o «titular» cerca del número aumentan la confianza.

El CNPJ alfanumérico obliga a revisar las reglas: un detector que solo acepte dígitos no verá las empresas registradas desde julio de 2026.

Anonimizar sin romper el uso de la IA

Según el artículo 12 de la LGPD, un dato anonimizado deja de ser un dato personal, siempre que el proceso no pueda revertirse con medios razonables. Poner asteriscos en un CPF lo protege, pero suele dejar inservible la respuesta de la IA: el modelo ya no sabe que se trata de un identificador, ni a qué fila de una tabla corresponde cada uno.

La anonimización que preserva el formato sustituye cada CPF por otro ficticio pero válido, coherente en todo el documento. El modelo conserva la estructura y el usuario obtiene una respuesta útil. Si la correspondencia se guarda en local para restaurar los valores reales, la LGPD hablaría más bien de seudonimización, que sigue siendo una medida de seguridad sólida según el artículo 46.

Poner el control en el lugar adecuado

Las herramientas DLP de red tradicionales apenas ven lo que ocurre dentro de una sesión cifrada de ChatGPT, como explicamos en por qué el DLP de red falla con ChatGPT. El control debe estar lo más cerca posible del usuario, en el navegador y en el equipo, antes del cifrado. Lo mismo vale para los desarrolladores que usan agentes de IA en línea de comandos, capaces de enviar archivos de configuración o extractos de bases de datos llenos de CPF.

Ese es el enfoque de ZeusLock. Detecta datos sensibles en prompts y archivos, incluidos identificadores nacionales como el CPF o el CNPJ, y después, según sus reglas, los anonimiza conservando su formato, avisa al usuario o bloquea el envío. Cada incidente queda registrado, lo que documenta las medidas de seguridad que espera la LGPD.

En resumen

• La LGPD (Ley 13.709/2018) se aplica a cada prompt que contenga datos personales.

• La ANPD tiene un reglamento de sanciones desde 2023 y ya actuó sobre la IA en 2024.

• El PL 2338/2023 fue aprobado por el Senado y sigue en debate en la Cámara de los Diputados.

• Una buena detección combina formato, dígitos de control y contexto, e incluye el CNPJ alfanumérico.

¿Quiere probar la detección de datos brasileños en sus propios casos de uso? Solicite una demo de ZeusLock.