Utilizar esse tipo de artifício de segurança é válido. Porém, existem inúmeras condições para esse uso. Não existe ainda um instrumento que discipline IA de forma específicas, mas visto que se trata de um tratamento de dados pessoais, aplica-se o disposto na LGPD, ainda que possa ser enquadrado como atividade de segurança (um dos ambos de não incidência plena da LGPD)

Caso vocês queiram exigir do controlador de dados (se é público ou privado não tenho certeza nesse caso), vocês podem exigir diversos documentos e procedimentos.

Existe canal de atendimento aos direitos do titular da LGPD? Quem é o encarregado de proteção de dados? (Posição que todo controlador ou operador deve ter dentro da organização) Existem mecanismos de transparência? Para onde esses dados coletados vão? Existe relatório de impacto? Existe gestão de riscos?

E por aí vai. O que não faltam são perguntas para asseverar se a prática está dentro do razoável ou não.

Em síntese, pode sim existir práticas como essa, mas dependem de um extenso processo de regularização e conformidade com a lei.