IA e seus dados: o que é seguro, o que é risco e como se proteger
Usar inteligência artificial com os dados da sua empresa pode ser seguro — ou pode ser um problema sério. A diferença está em saber o que acontece com cada informação que você manda para uma IA, o que a LGPD exige, o que nunca deve sair da sua empresa e como criar hábitos simples que protegem o seu negócio sem travar a produtividade.
O contrato colado no ChatGPT
Imagine um gestor jurídico com uma tarefa urgente: resumir um contrato de 40 páginas antes da reunião das 14h.
Sem pensar muito, ele cola o texto inteiro no ChatGPT e pede o resumo. Em dois minutos, tem o que precisava.
Na reunião, alguém pergunta: "Esse contrato é confidencial, né? Você mandou pra onde?"
Pausa.
O gestor não sabe responder.
Esse cenário acontece toda semana em empresas de todos os tamanhos. Não por má-fé — por falta de informação. E a falta de informação, nesse caso, pode custar caro.
Não é hipótese. Em abril de 2023, engenheiros da Samsung colaram código-fonte proprietário e transcrições de reuniões internas no ChatGPT para acelerar o trabalho. Em menos de 20 dias, três incidentes de vazamento. A Samsung baniu o ChatGPT para todos os funcionários. (Fontes: Forbes e Bloomberg.)
O que de fato acontece com seus dados quando você usa uma IA
Quando você digita algo em uma ferramenta de IA, o texto vai para um servidor externo para ser processado. Isso é inevitável — a IA precisa "ver" o que você escreveu para responder.
O que varia é o que acontece depois.
O dado é usado para treinar o modelo?
Depende da ferramenta e do plano:
- ChatGPT Free / Plus / Pro (planos individuais): por padrão, sim. O usuário pode desativar em Perfil → Configurações → Controles de dados → "Melhorar o modelo para todos". Depois de desativar, as novas conversas não são usadas para treinar. (Fonte: openai.com/policies.)
- ChatGPT Business / Enterprise / API: por padrão, não. A OpenAI declara que não treina modelos com as entradas e saídas dos clientes corporativos. Os dados são criptografados em trânsito e em repouso. (Fonte: openai.com/enterprise-privacy.)
- Google Workspace com Gemini e Microsoft Copilot 365: as políticas corporativas garantem que os dados dos clientes não são usados para treinar os modelos. Confirme sempre no contrato do plano específico.
O dado fica armazenado? Por quanto tempo?
- ChatGPT Free / Plus / Pro: as conversas ficam armazenadas até o usuário apagar; depois de apagadas, são removidas dos sistemas em até 30 dias (exceto quando há retenção por ordem judicial).
- ChatGPT Enterprise: o administrador do espaço de trabalho define o período; os dados apagados são removidos em até 30 dias.
- API da OpenAI: os dados são retidos por 30 dias e depois apagados automaticamente. Há a opção de Zero Data Retention (retenção zero) para clientes elegíveis — nesse caso, entradas e saídas nunca são registradas.
(Fontes: help.openai.com e openai.com/enterprise-privacy.)
Quem pode acessar esse dado?
Funcionários da empresa fornecedora podem acessar conversas para fins de segurança, suporte ou melhoria do serviço, conforme previsto nos termos de uso. As políticas variam — e a maioria das pessoas nunca as leu.
A boa notícia: as empresas sérias do setor têm políticas claras e contratos de processamento de dados. A má notícia: você precisa ler e entender essas políticas antes de usar, não depois.
A diferença entre "plano produto" e "plano API"
Existe uma diferença importante que pouca gente conhece:
Plano produto (ChatGPT, Gemini, Copilot como produto de usuário): você acessa por uma tela pronta, seus dados passam pela infraestrutura do fornecedor e as políticas de privacidade se aplicam conforme o plano que você contratou.
Plano API (integração técnica): sua empresa faz uma integração direta e assina um contrato de processamento de dados — o Data Processing Agreement, ou DPA — com o fornecedor. OpenAI, Anthropic e Google oferecem esse contrato para clientes de API, com garantia por escrito de que os dados não são usados para treinamento, além de regras de segurança e de retenção. (Fonte: openai.com/enterprise-privacy.)
Para empresas que levam a privacidade a sério, o caminho da API com contrato de processamento oferece garantias mais sólidas.
O que a LGPD diz sobre isso
A Lei Geral de Proteção de Dados (Lei 13.709/2018) não proíbe o uso de IA. Mas exige que todo tratamento de dados pessoais tenha uma base legal e uma finalidade definida.
Quando você manda um dado pessoal de cliente, fornecedor ou colaborador para uma ferramenta de IA externa, a sua empresa está transferindo dados para um terceiro — o fornecedor da IA. Isso é um uso compartilhado de dados, e precisa estar previsto na sua política de privacidade, com a devida base legal.
A ANPD, a autoridade brasileira de proteção de dados, ainda não publicou uma resolução específica sobre o uso de ferramentas de IA por empresas privadas — mas o tema está avançando. A agência colocou "IA e tecnologias emergentes" entre os temas prioritários da sua agenda regulatória e mantém em elaboração um guia sobre uso ético de inteligência artificial. (Fonte: gov.br/anpd.)
O que isso significa na prática:
- Dados pessoais identificáveis (nome, CPF, e-mail, dados financeiros) não devem ser enviados para ferramentas de IA sem um contrato adequado com o fornecedor.
- Dados anonimizados ou genéricos têm menos restrições.
- Contratos sensíveis, informações estratégicas e segredos comerciais não são "dados pessoais" — mas são confidenciais por outras razões (sigilo profissional, cláusulas de contrato).
O que é seguro fazer, o que é arriscado, o que nunca fazer
✅ Seguro
- Usar IA para rascunhar textos a partir de briefings internos, sem dados pessoais identificáveis.
- Pedir para a IA resumir documentos públicos, notícias ou materiais de mercado.
- Usar IA para analisar dados agregados e anonimizados (relatórios de vendas sem identificar clientes).
- Fazer perguntas conceituais: "como funciona X?", "quais são as melhores práticas para Y?".
- Usar ferramentas corporativas (Copilot 365, Gemini for Workspace) dentro do ambiente da empresa, com contrato de dados ativo.
⚠️ Arriscado (avalie antes)
- Colar propostas comerciais com nome de clientes e valores.
- Enviar e-mails de negociação que identificam as partes.
- Usar IA para analisar dados de RH (salário, desempenho, avaliações de colaboradores).
- Enviar documentos financeiros com informações de terceiros.
Nesses casos: verifique a política do plano que você usa, considere anonimizar antes de enviar e consulte o responsável pelo compliance da empresa se a informação for sensível.
❌ Nunca fazer
- Colar contratos com dados pessoais de clientes em ferramentas sem contrato de processamento ativo.
- Enviar dados de saúde (laudos, prontuários) para qualquer IA pública.
- Compartilhar credenciais, senhas ou tokens de acesso em prompts de IA.
- Usar IA para processar dados de crianças e adolescentes sem verificar os requisitos legais específicos.
- Tratar informações com cláusula de sigilo explícita como se fossem dados comuns.
Checklist: como usar IA com dados sem exposição desnecessária
Antes de mandar qualquer informação para uma ferramenta de IA, passe por este checklist:
- [ ] O dado é público ou genérico? → Pode usar sem restrição adicional.
- [ ] O dado identifica uma pessoa? → Verifique a política de privacidade do plano. Considere anonimizar.
- [ ] O dado é coberto por sigilo contratual? → Não envie sem verificar os termos do contrato.
- [ ] A empresa tem contrato de processamento (DPA) com o fornecedor? → Se sim, verifique o escopo. Se não, use somente dados não sensíveis.
- [ ] A ferramenta que você usa tem política de não usar dados para treinar modelos? → ChatGPT Free/Plus: treina por padrão (dá para desativar). ChatGPT Business/Enterprise/API: não treina por padrão. Google Workspace Gemini e Microsoft Copilot 365: não usam dados corporativos para treinar. Planos gratuitos: verifique os termos.
Cinco perguntas. Trinta segundos. Evitam um problema que pode levar meses para resolver.
O que muda nos próximos anos
O mercado está respondendo à demanda por privacidade:
IA que roda na própria empresa (on-premise): modelos que ficam nos servidores da empresa, sem enviar dados para nuvens externas. Hoje já é acessível para empresas menores: ferramentas como o Ollama e o LM Studio permitem rodar modelos abertos (como Llama, Mistral e Gemma) em um servidor local com placa de vídeo razoável, o suficiente para usos internos de pequeno volume. O custo é de instalação, uma vez só, sem cobrança por uso.
Contratos de dados mais simples: os fornecedores de IA corporativa estão simplificando os contratos de processamento para empresas médias. O que antes exigia negociação jurídica está virando autoatendimento.
Regulação crescente: a ANPD, no Brasil, e os reguladores europeus estão desenvolvendo orientações específicas para o uso de IA. Empresas brasileiras que usam fornecedores europeus ou que atendem usuários na Europa podem ser afetadas por essas regras, especialmente em sistemas considerados de alto risco.
A tendência é que a privacidade vire diferencial — não obrigação. As empresas que tratam dados com critério hoje constroem vantagem competitiva amanhã.
Segurança não é paranoia — é critério
A IA não é inimiga dos dados da sua empresa. É uma ferramenta poderosa com regras de uso — como qualquer outra.
A empresa que usa IA com critério não perde velocidade. Ela ganha algo mais valioso: confiança. Dos clientes, dos colaboradores, dos parceiros.
E confiança, no longo prazo, é o ativo mais difícil de construir e o mais fácil de destruir.
Perguntas frequentes
Posso usar o ChatGPT com dados de clientes?
Depende do plano e da natureza do dado. Para dados pessoais identificáveis, verifique se o plano que você usa inclui um contrato de processamento de dados (DPA). Em caso de dúvida, anonimize antes de enviar.
A IA usa os dados que eu mando para treinar o modelo?
Depende do plano: ChatGPT Free e Plus treinam por padrão (dá para desativar em Configurações → Controles de dados). ChatGPT Business, Enterprise e API não treinam por padrão. Google Workspace Gemini e Microsoft Copilot 365 não usam dados corporativos para treinar. Verifique sempre os termos do plano que você usa.
O que a LGPD fala sobre IA?
A LGPD não proíbe o uso de IA, mas exige base legal para qualquer tratamento de dados pessoais — incluindo o envio a terceiros. O uso de IA com dados pessoais precisa estar previsto na política de privacidade da empresa.
Existe IA que não compartilha meus dados?
Sim. Modelos que rodam localmente (on-premise), via Ollama ou LM Studio, não enviam dados para servidores externos. O ChatGPT Enterprise garante por contrato que os dados não são usados para treinamento. E, na API com retenção zero, entradas e saídas nunca são registradas.
Como saber se um fornecedor de IA é seguro?
Verifique: (1) se o fornecedor tem política de privacidade clara e atualizada; (2) se oferece contrato de processamento (DPA) para clientes corporativos; (3) se é certificado por padrões de segurança reconhecidos. Entre as certificações que os grandes fornecedores costumam apresentar estão a SOC 2 e a ISO 27001 — peça ao fornecedor a documentação atualizada antes de fechar. --- Leia também: - O que é IA aplicada a negócios e por onde uma empresa média começa - ChatGPT, Gemini, Claude: qual IA usar na sua empresa e para quê - Quanto custa colocar IA na sua empresa (sem cair em armadilhas) --- Schema sugerido: Article + FAQPage (bloco de Perguntas frequentes). Autor: Gleidson Andrade. Editor: Machado (Brand Office).
Quer aplicar IA no seu negócio com quem já fez em escala?
20+ anos em tecnologia, SaaS com milhões de usuários e um gateway de pagamentos, num ecossistema que somou R$7 bilhões em faturamento no último ano. Vamos conversar sobre o seu caso.
Falar com Gleidson