Privacidade e segurança de dados em sistemas de recomendação com inteligência artificial no e-commerce

Abstract

O presente trabalho investiga as vulnerabilidades e ameaças que afetam os sistemas de recomendação baseados em Inteligência Artificial no e-commerce, bem como os mecanismos técnicos e normativos disponíveis para mitigá-las. A personalização algorítmica tornou-se elemento estrutural do varejo digital, mas o extenso volume de dados pessoais necessário para seu funcionamento cria superfícies de exposição significativas. A pesquisa é de natureza bibliográfica e documental, com abordagem qualitativa, complementada por um estudo de caso exploratório sobre a Shopee Brasil. O referencial teórico abrange as principais arquiteturas de sistemas de recomendação, filtragem colaborativa, baseada em conteúdo e híbrida, os vetores de ataque documentados na literatura, envenenamento, inferência, roubo de modelo e ataques adversariais e os mecanismos de proteção disponíveis, como Privacy by Design, aprendizado federado, privacidade diferencial, anonimização e criptografia. Analisa-se também a incidência da Lei Geral de Proteção de Dados Pessoais (LGPD) e do Regulamento Geral de Proteção de Dados (GDPR) sobre o desenvolvimento e a operação dessas tecnologias. O estudo de caso identifica vulnerabilidades concretas na arquitetura da Shopee Brasil e examina o incidente de segurança de setembro de 2024, que resultou na exposição de dados cadastrais vinculados a chaves Pix. Os resultados evidenciam que a conformidade formal com a LGPD não equivale à robustez técnica necessária para enfrentar as ameaças identificadas, e que nenhum mecanismo de proteção isolado é suficiente. Conclui-se que o desenvolvimento responsável de sistemas de recomendação com IA exige a combinação de múltiplas camadas de proteção e que a privacidade deve ser tratada como requisito arquitetural desde a concepção do sistema, e não como obrigação de conformidade a ser atendida posteriormente. Palavras Chave: Sistemas de recomendação; privacidade de dados; LGPD.

This study investigates the vulnerabilities and threats affecting Artificial Intelligence-based recommendation systems in e-commerce, as well as the technical and regulatory mechanisms available to mitigate them. Algorithmic personalization has become a structural element of digital retail, but the extensive volume of personal data required for its operation creates significant exposure surfaces. The research adopts a bibliographic and documentary approach, with qualitative analysis, complemented by an exploratory case study of Shopee Brazil. The theoretical framework covers the main recommendation system architectures, collaborative filtering, content-based filtering, and hybrid models, the attack vectors documented in the literature, poisoning, inference, model stealing, and adversarial attacks, and available protection mechanisms, including Privacy by Design, federated learning, differential privacy, anonymization, and cryptography. The impact of Brazil's General Data Protection Law (LGPD) and the European General Data Protection Regulation (GDPR) on the development and operation of these technologies is also examined. The case study identifies concrete vulnerabilities in Shopee Brazil's architecture and analyzes the security incident of September 2024, which resulted in the exposure of registration data linked to Pix keys. The findings show that formal compliance with the LGPD does not equate to the technical robustness required to address identified threats, and that no single protection mechanism is sufficient. The study concludes that the responsible development of AI-based recommendation systems requires the combination of multiple layers of protection, and that privacy must be treated as an architectural requirement from the system's conception rather than a compliance obligation to be addressed afterward. Keywords: Recommendation systems; data privacy; LGPD.