说清楚你的生意，拿走一份能派工的义务清单

逐项处理活动确定第 7 条（一般个人数据）或第 11 条（敏感个人数据）项下的合法性基础，并在隐私政策中以清晰、充分、显著的方式告知处理目的、处理形式与期间、控制者身份与联系方式、共享对象及其目的、数据主体权利及行使方式。以同意为基础时，同意须以书面或其他可证明的方式作出、针对特定目的、可随时撤回且撤回同样便捷；未成年人数据、敏感数据与国际传输相关的同意须单独、突出取得。AI 产品需特别注意：把用户输入用于模型训练属于与提供服务不同的目的，须单独说明并选择恰当基础。

需留存证据：处理活动与合法性基础映射表；葡萄牙语隐私政策版本与生效时间留痕；同意取得与撤回的技术记录（时间戳、版本、范围）；训练用途单独告知与选择退出机制的产品截图

数据主体有权要求复审完全基于自动化处理作出、影响其利益的决定，包括用于界定其个人、职业、消费与信用画像或人格特征的决定。注意：现行文本（经第 13.853/2019 号法修订）已删去原始文本中"由自然人（por pessoa natural）"的限定，因此法条本身不再明文要求人工复审——但第 20 条第 1 款要求控制者在被要求时提供关于自动化决定所用标准与程序的清晰、充分的信息，受商业与工业秘密保护；第 2 款规定，控制者若以商业与工业秘密为由不提供该信息，ANPD 可开展审计以核查自动化处理中的歧视性因素。工程与产品上需要预先设计：可解释性输出、复审工单流程、以及对复审结果的记录与回溯。

需留存证据：自动化决策清单与影响评估；复审请求受理入口、工单流程与处理时限记录；决策标准与程序的对外说明文本（含商业秘密裁剪版本的裁剪理由）；复审结论与改判记录样本

第 33 条限定国际传输只能在九类情形（I–IX）下进行：（I）向 ANPD 认定其个人数据保护程度与本法相当的国家或国际组织传输；（II）控制者提供并证明其遵守本法原则、数据主体权利与数据保护制度的保障，形式为特定传输的特定合同条款、标准合同条款、全球公司规则、或经正式颁发的印章、证书与行为准则；（III）为情报、调查与检控机关之间依国际法文书进行的国际司法合作所必需；（IV）为保护数据主体或第三人的生命或人身安全所必需；（V）经 ANPD 授权；（VI）传输系国际合作协议项下所作承诺的结果；（VII）为执行公共政策或公共服务法定职责所必需（须依第 23 条第 I 项公示）；（VIII）数据主体就该传输给予特定且突出的同意，且事前被告知该操作的国际性质、与其他目的明确区分；（IX）为满足第 7 条第 II（履行法定义务）、V（司法、仲裁或行政程序）、VI（保护生命或人身安全）项情形所必需。中国 AI 企业把巴西用户数据回传中国训练，最现实的路径是第 II 项的合同类保障，并配套落实数据最小化、加密与访问控制；第 VIII 项的同意路径门槛很高（须单独、突出、事前告知国际性质），不宜作为批量训练数据的主依据。

需留存证据：国际传输清单（接收方、所在国、数据类别、所依赖的第 33 条路径）；已签署的合同条款或全球公司规则文本；与传输相关的单独同意记录（若依赖同意路径）；补充技术措施（加密、最小化、访问日志）的实施证据

打开工具：跨境传输矩阵

依第 48 条，控制者在发生可能对数据主体造成相关风险或损害的安全事件时，须在"由国家主管机关界定的合理期限内"通知 ANPD 与数据主体（具体期限见本条 deadline 栏说明），通报至少包括受影响数据的性质、相关数据主体的信息、已采取的技术与安全措施、事件的风险、未立即通报时的延迟理由、以及为逆转或减轻损害已采取或将采取的措施。依第 37 条，控制者与处理者须保存其所执行个人数据处理活动的记录，尤其是以正当利益为基础时。AI 企业应把提示日志、向量库与模型检查点纳入事件影响面评估。

需留存证据：安全事件响应预案与 ANPD 通报模板；事件台账与通报提交记录（含延迟理由）；处理活动记录（含以正当利益为基础的活动）；影响面评估清单（含提示日志、向量库、模型检查点）

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

LGPD 对儿童与青少年个人数据设有加强规则（第 14 条），处理须以其最佳利益为准，儿童数据原则上须经父母或法定监护人特别、显著的同意。ANPD 近期执法明确把未成年人保护列为重点：抓取当日其官网公告对某平台因未成年人数据保护缺陷处以 1.537 亿雷亚尔罚款，并提示数字平台须在 2026-09-17 前依《数字儿童与青少年法》（ECA Digital）发布透明度报告。面向巴西市场提供社交、内容生成、陪伴或教育类 AI 产品的企业，应建立年龄识别与分流、家长同意、未成年人默认更严设置，并评估是否落入平台透明度报告义务。

需留存证据：年龄识别与分流机制说明及测试报告；家长／监护人同意取得流程与记录；未成年人默认设置与内容安全策略文档；ECA Digital 透明度报告义务适用性评估结论

依第 41 条指定负责人，作为数据主体与 ANPD 的联络点，其身份与联系方式须公开（通常在隐私政策与官网显著位置）；职责包括接收数据主体的投诉与沟通并作出说明与采取措施、接收 ANPD 的沟通并采取措施、就数据保护实践向组织内员工与承包商提供指引。境外主体在巴西无实体时，实务上仍应指定可用葡萄牙语接收沟通的负责人并公开渠道。

需留存证据：负责人任命文件与职责说明；官网／隐私政策上公开负责人身份与联系方式的截图；数据主体与 ANPD 沟通处理台账；面向员工与承包商的数据保护培训记录

按参议院通过文本第 29 条，通用与生成式 AI 系统的开发者除相关开发文档外，还须开展初步评估以识别其预期风险等级，包括潜在的系统性风险；评估须考虑合理可预期的使用目的与第三章第三节规定的判定标准。现阶段的准备动作是：把这项评估并入现有的模型发布评审流程，产出可被巴西监管口径复用的评估报告模板，并与欧盟 AI 法案通用模型技术文档共用同一份底稿，避免将来重复建设。

需留存证据：初步评估报告模板与首版试评估结果；合理可预期使用目的清单与风险判定依据；系统性风险判定的内部标准与结论；与欧盟通用模型技术文档的字段对照表

ISO/IEC 42001 人工智能管理体系实施与认证准备清单

按参议院通过文本第 30 条，具系统性风险的通用与生成式 AI 系统开发者在商业投放或进入市场前须满足：描述该通用目的 AI 模型；记录为识别与管理合理可预见风险所进行的测试与分析（在适当且技术可行的范围内）；记录开发后仍存在的不可缓解残余风险；仅处理与纳入依法收集处理并受适当数据治理约束的数据集（涉及个人数据时须符合第 13.709/2018 号法与本法第二章）；按规定公布训练数据集摘要；在设计与开发中运用适用标准，结合使用场景降低能源与资源消耗、减少废弃物并提升能效与系统整体效率；并编制可理解的技术文档与使用说明，使开发者、分销者与应用者能清楚了解系统运作方式（第 VII 项）。第 30 条第 1 款特别明确：上述要求的适用不因该系统是作为独立模型提供、嵌入其他 AI 系统或产品提供、以免费与开源许可提供、以服务方式提供还是经由其他分销渠道提供而有所不同——这一点对以开放权重方式发布模型的中国厂商尤其关键。第 2 款允许开发者制定或加入良好实践准则以证明合规。准备动作：现在就把训练数据来源与授权链、评测与红队记录、残余风险台账、技术文档与使用说明、以及可对外发布的训练数据摘要纳入常规产出，避免立法生效后无法回溯举证。

需留存证据：模型描述文档（架构、能力边界、预期用途与禁止用途）；风险测试与分析记录（含红队、评测集与结论）；残余风险台账与缓解措施状态；训练数据来源与授权链证明，以及可对外发布的训练数据集摘要草稿；面向开发者／分销者／应用者的技术文档与使用说明（第 30 条第 VII 项）；能效与资源消耗的设计说明与所依据标准

模型卡（Model Card）数据卡（Data Card）——训练、验证与测试数据集说明书