A LGPD vale para o que eu digito na IA?
Vale. Colar um dado pessoal numa ferramenta de IA é tratar esse dado, do mesmo jeito que salvá-lo numa planilha ou enviá-lo por e-mail. A diferença é que, dependendo do plano, a ferramenta pode guardar a conversa e até usá-la para treinar modelos. A empresa continua responsável pelo que a equipe colou ali.
Eu construo IA dentro de uma Defensoria Pública, onde quase tudo é dado pessoal de quem precisa de atendimento. Lá, esse cuidado vem antes de qualquer linha de código.
O que pode entrar num prompt?
- O processo: como o trabalho acontece, as etapas, quem aprova.
- Regras de negócio: prazos, limites, exceções.
- Modelos de documento sem dados de ninguém.
- Dados inventados para testar o sistema.
- Dados anonimizados, sem nada que permita chegar à pessoa.
- Informação pública, como uma lei ou o texto do seu próprio site.
O que nunca deve entrar num prompt?
- Dados pessoais sensíveis, que a LGPD protege com mais rigor: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, dados de saúde ou da vida sexual, e dados genéticos ou biométricos.
- Senhas, chaves de acesso e tokens de qualquer sistema.
- Documentos de clientes numa ferramenta sem contrato que proteja os dados.
- Qualquer coisa sob sigilo: segredo de justiça, segredo comercial, contrato com cláusula de confidencialidade.
- Dados financeiros identificáveis, como número de cartão ou conta com o nome do titular.
Como decidir caso a caso?
| Tipo de dado | Pode entrar? | Como fazer |
|---|---|---|
| Processo e regras | Sim | Descreva à vontade. |
| Nome, CPF, telefone de cliente | Só se necessário | Em plano corporativo com contrato; prefira anonimizar. |
| Dado de saúde, religião, biometria | Não | Deixe de fora ou use dados inventados. |
| Senha ou chave de sistema | Nunca | Guarde no cofre de senhas, não no chat. |
| Documento sob sigilo | Nunca | Trabalhe sobre um modelo sem dados. |
Como anonimizar antes de mandar para a IA?
- Troque nomes por papéis: "Cliente A", "Fornecedor B".
- Apague números que identificam: CPF, RG, telefone, placa, número de processo.
- Generalize o que é muito específico: "uma cidade do interior" em vez do nome do bairro.
- Releia perguntando: alguém de fora conseguiria descobrir quem é? Se sim, ainda não está anônimo.
O que conferir no plano da ferramenta de IA?
- Se os dados são usados para treinar modelos. Planos corporativos costumam excluir isso nos termos; planos gratuitos e contas pessoais, em geral, não oferecem essa garantia.
- Onde os dados ficam e por quanto tempo.
- Se existe contrato de tratamento de dados entre a empresa e o fornecedor.
- Se a conta é da empresa, com administração central, e não pessoal de cada colaborador.
E quando o sistema criado com IA guarda dados pessoais?
Aí o cuidado muda de lugar. O cadastro de clientes de um CRM feito com vibe coding é dado pessoal, e tudo bem: ele fica no banco de dados do sistema, e não na conversa com a IA. O que a empresa precisa garantir é login, permissão para cada pessoa ver só o que precisa, conta da plataforma no nome da empresa e um motivo legítimo para guardar cada dado. É a quarta hora inteira do meu curso.
Este texto é orientação prática, e não parecer jurídico. Para um caso específico, fale com o encarregado de dados (DPO) da empresa ou com um advogado.
Que regra escrever para a equipe?
Uma política de uso de IA não precisa de vinte páginas. Precisa caber numa folha, ser lida por todos e dizer o que fazer. Um ponto de partida:
- Ferramentas aprovadas: [lista], sempre na conta da empresa.
- Pode entrar: processos, regras, modelos sem dados, dados inventados ou anonimizados, informação pública.
- Nunca entra: dado pessoal sensível, senha, documento sob sigilo, dado financeiro identificável.
- Dado de cliente: só nas ferramentas aprovadas para isso, e só o mínimo necessário.
- Tudo o que a IA produz é revisado por uma pessoa antes de sair da empresa.
- Na dúvida: pergunte a [responsável] antes de colar.
- Se algo indevido foi colado: avise [responsável] no mesmo dia.
O que fazer se um dado indevido já foi colado?
- Apague a conversa na ferramenta e, se houver, desative o histórico daquela conta.
- Avise o responsável pela proteção de dados da empresa no mesmo dia.
- Registre o que aconteceu: que dado, em que ferramenta, em que plano, quando.
- Avalie o risco com o encarregado de dados ou um advogado. A LGPD prevê comunicar à Autoridade Nacional de Proteção de Dados e aos titulares os incidentes de segurança que possam causar risco ou dano relevante.
- Corrija a causa: quase sempre é falta de regra clara ou de ferramenta aprovada.
Perguntas frequentes
Posso usar a versão gratuita do ChatGPT no trabalho?
Para tarefas sem dados pessoais nem informação interna, como revisar um texto público ou organizar ideias, em geral sim. Para qualquer coisa com dado de cliente, use um plano corporativo com termos que excluam o uso dos dados para treinar modelos.
Anonimizar é só tirar o nome?
Não. Sem o nome, uma pessoa ainda pode ser identificada pelo CPF, pelo endereço, pelo número de processo ou por uma combinação de detalhes. Só está anônimo quando ninguém de fora consegue chegar à pessoa.
Quem responde se alguém da equipe colar um dado indevido?
A empresa, perante o titular e a autoridade. Por isso a regra precisa ser escrita, curta e conhecida por todos, e a ferramenta precisa ser contratada pela empresa, e não escolhida por cada um.