LGPD e IA: posso colar dados de clientes no ChatGPT?

O que a LGPD diz sobre usar dados de clientes em IA?

A LGPD (Lei nº 13.709/2018) exige base legal, finalidade específica e segurança para qualquer tratamento de dados pessoais. A ANPD publicou material técnico alertando que prompts podem conter dados pessoais e sensíveis, como histórico de compras, e-mails ou informações médicas. Quando você cola esses dados no ChatGPT, está realizando um tratamento e precisa estar em conformidade.

O ponto central é a minimização e o pré-tratamento. Sem anonimização ou eliminação adequada de identificadores, o risco de tratamento indevido sobe. A ANPD destaca que a ausência desse cuidado aumenta problemas de privacidade e transparência.

Na Vértice, a gente vê empresas que querem usar IA generativa mas travam por medo de errar. A boa notícia é que dá para fazer, desde que você saiba onde pisar.

Qual a diferença entre ChatGPT grátis e plano corporativo?

A resposta curta: no plano grátis, a OpenAI pode usar seu conteúdo para analisar, melhorar e desenvolver os serviços. No plano corporativo, não. Essa diferença muda tudo para quem lida com dados de clientes.

A OpenAI informa que nos serviços de consumo (grátis e Plus) o uso para treinar modelos fica sujeito ao controle do usuário nas configurações. Já nos planos Business e Enterprise, existe um Data Processing Addendum (DPA) que garante que os dados da sua organização não viram treino. O Privacy Center permite revisar opções de acesso, exportação e exclusão, mas isso depende do plano e das configurações do workspace.

• Uso dos dados para treino: ChatGPT Grátis/Plus: Pode usar (você controla nas configurações); ChatGPT Business/Enterprise: Não usa por padrão
• Governança: ChatGPT Grátis/Plus: Foco no usuário individual; ChatGPT Business/Enterprise: DPA com regras para tratamento em nome da empresa
• Confidencialidade: ChatGPT Grátis/Plus: Menor garantia; ChatGPT Business/Enterprise: Maior garantia contratual
• Controles: ChatGPT Grátis/Plus: Limitados; ChatGPT Business/Enterprise: Mais controles de acesso, retenção e exportação
• Responsabilidade: ChatGPT Grátis/Plus: Maior risco para a empresa; ChatGPT Business/Enterprise: Compartilhada com a OpenAI sob contrato

Para PME, o ideal é plano corporativo se você vai enviar dados de clientes com alguma frequência. Se for teste pontual com dados públicos ou anonimizados, o plano grátis pode servir, mas com atenção redobrada.

Como minimizar riscos ao enviar dados para IA?

Minimização é a palavra. Envie só o que precisa e remova identificadores sempre que possível. Anonimização torna impossível reverter para a pessoa; pseudonimização substitui por um código que só você consegue desfazer.

Na prática:

1. Remova nome, CPF, e-mail, telefone do texto antes de colar no prompt.
2. Reduza o escopo: se você quer analisar padrão de compra, envie só categoria e valor, não o pedido completo com endereço.
3. Use dados agregados: em vez de 50 linhas de clientes, envie uma tabela resumida por faixa etária ou região.
4. Teste com dados fictícios antes de usar reais.
5. Registre a finalidade: anote por que você está usando aquele dado e qual a base legal.

A ANPD reforça que prompts sem pré-tratamento aumentam riscos. Se você não conseguir anonimizar, pelo menos pseudonimize ou use plano com DPA.

O que fazer se meu time já está colando dados no ChatGPT?

Primeiro, não entre em pânico. Muita gente já fez isso sem saber o risco. O segundo passo é criar uma política interna clara.

Defina:

• Quem pode usar IA generativa na empresa.
• Que tipo de dado pode ir no prompt (exemplo: dados públicos e anonimizados sim; CPF e contrato não).
• Qual plano usar (se corporativo, liberar acesso via workspace da empresa).
• Como registrar e revisar o uso.

Na Vértice a gente já rodou mais de 200 consultorias e 30 implementações. Boa parte das PMEs não tem política de uso de IA. Criar uma agora é melhor do que deixar o time solto e descobrir um problema depois.

Se você tem Engenheiro Dedicado ou está no nosso Plug and Play, a gente ajuda a montar esse documento em português claro, sem juridiquês. Se ainda não tem, vale agendar um diagnóstico gratuito para entender o que precisa.

Posso usar dados sensíveis (saúde, origem étnica) em IA?

Dados sensíveis exigem base legal mais rigorosa. A LGPD lista dados de saúde, origem racial, opinião política, dado genético, entre outros. O ideal é evitar completamente o envio desses dados para IA generativa.

Se for inevitável, você precisa de:

• Consentimento específico do titular ou outra base legal válida (execução de contrato, por exemplo).
• Anonimização completa, de forma que o dado não possa mais ser ligado à pessoa.
• Solução altamente controlada, preferencialmente interna ou com fornecedor que aceite DPA rigoroso.

Na prática, dado sensível em prompt de IA pública é alto risco. Se você atua em saúde, RH ou advocacia, considere soluções self-hosted ou provedores especializados em privacidade.

Quem é responsável se vazar dado de cliente?

A empresa. Mesmo que o vazamento tenha origem no provedor da IA, a LGPD responsabiliza o controlador dos dados (você) e o operador (o provedor). Se um funcionário seu colar dados de clientes no ChatGPT sem autorização, a empresa responde.

Por isso, treinar o time e ter política interna é proteção real. A LGPD prevê multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de danos à reputação e processos judiciais.

Se você contrata plano corporativo, a OpenAI compartilha responsabilidade sob contrato. A política de privacidade da OpenAI informa que a empresa pode agregar ou desidentificar dados pessoais para operar e melhorar serviços, e que compartilha apenas o mínimo necessário com prestadores, sob obrigações de confidencialidade. Isso reduz risco, mas não zera.

Na Vértice, a gente recomenda revisar o DPA antes de assinar e incluir cláusulas de segurança no contrato com qualquer fornecedor de IA.

Como começar a usar IA com dados de clientes amanhã?

Checklist rápido:

1. Escolha o plano certo: se for usar com frequência, contrate plano corporativo.
2. Anonimize os dados: remova ou substitua identificadores antes de enviar.
3. Documente a base legal: anote qual é (consentimento, legítimo interesse, execução de contrato).
4. Crie a política interna: defina quem pode usar, o quê e como.
5. Treine o time: explique os riscos e as boas práticas em 30 minutos.
6. Revise contratos: leia o DPA e os termos de uso do fornecedor.
7. Teste com dados fictícios antes de rodar com dados reais.

Se você quer orientação prática, os cursos do nosso Plug and Play (R$ 197/mês no anual) cobrem uso seguro de IA e conformidade básica. Se precisa de algo sob medida, o Engenheiro Dedicado (a partir de R$ 2.970/mês) monta o processo junto com você, incluindo anonimização, política e integração com sistemas internos.

A gente já fez isso com mais de 30 empresas. Dá para começar rápido e seguro.

Se você quer descobrir por onde começar na sua realidade, agende um diagnóstico gratuito com a Vértice. A gente mapeia o cenário, aponta os riscos e mostra o caminho mais curto para usar IA com dados de clientes sem medo da LGPD.