Uso de IA na empresa, LGPD e sigilo: o cuidado começa antes de enviar o primeiro comando
Ferramentas de inteligência artificial já ajudam empresas a resumir documentos, revisar textos, analisar planilhas, atender clientes e organizar rotinas. O ganho de produtividade, porém, pode vir acompanhado de uma exposição difícil de reverter quando o comando contém dados de clientes, empregados, fornecedores ou informações estratégicas do negócio.
Copiar um contrato inteiro, uma ficha médica, uma folha de pagamento ou uma base de clientes para uma ferramenta de IA também pode representar tratamento e compartilhamento de dados pessoais. Mesmo quando não há dado pessoal, podem existir segredos comerciais, obrigações contratuais de confidencialidade e informações protegidas por sigilo profissional.
A pergunta prática não é apenas se a empresa pode usar IA, mas quais informações podem entrar em cada ferramenta, com qual finalidade, sob quais garantias e quem responderá pela decisão final.
Por que o risco começa antes de clicar em “enviar”?
Ao inserir um texto, arquivo, áudio ou imagem em uma plataforma de IA, a empresa deixa de trabalhar apenas em seu ambiente interno. O conteúdo pode ser processado por um fornecedor, armazenado em infraestrutura de terceiros, transferido entre países, consultado por equipes de suporte ou utilizado conforme as configurações e os termos do produto.
Isso não significa que toda ferramenta seja insegura. Significa que o uso precisa ser compatível com a natureza da informação e com as garantias efetivamente contratadas. Uma conta gratuita, um ambiente corporativo e uma solução instalada em infraestrutura própria não oferecem necessariamente os mesmos controles.
Depois que uma informação foi enviada, apagar a conversa na tela não prova, por si só, que todas as cópias, registros técnicos ou backups foram eliminados.
Quais informações exigem maior cuidado?
Dados pessoais
São informações relacionadas a pessoa natural identificada ou identificável, como nome, CPF, endereço, telefone, e-mail, matrícula, remuneração, histórico profissional e dados de consumo. A Lei Geral de Proteção de Dados (LGPD) se aplica quando esses dados são coletados, transmitidos, analisados, armazenados ou submetidos a outras operações.
Dados pessoais sensíveis
Informações de saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical e vida sexual recebem proteção reforçada. A análise exige as hipóteses do art. 11 da LGPD e salvaguardas proporcionais ao risco.
Uma clínica que envia prontuários, uma empresa que submete atestados médicos ou um departamento pessoal que inclui dados biométricos em um comando deve tratar a situação como de risco elevado.
Informações sigilosas que não são dados pessoais
Preço de aquisição, margem, estratégia comercial, projeto técnico, fórmula, código-fonte, proposta ainda não divulgada e minuta de negociação podem não identificar uma pessoa. Mesmo assim, podem estar protegidos por contrato, segredo de negócio, propriedade intelectual ou dever profissional.
A Lei nº 9.279/1996 contém regras sobre concorrência desleal e uso indevido de informações confidenciais obtidas em razão de relação contratual ou de emprego. A ausência de dado pessoal não transforma o documento em conteúdo livre para compartilhamento.
A LGPD proíbe o uso de inteligência artificial?
Não. A LGPD não proíbe a adoção de IA. Ela exige que o tratamento de dados pessoais tenha finalidade legítima, base legal adequada e respeito aos princípios de finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização.
A empresa deve identificar a hipótese legal aplicável antes do tratamento. Consentimento é apenas uma das possibilidades e não deve ser utilizado como justificativa genérica. Conforme o caso, podem ser pertinentes execução de contrato, obrigação legal, exercício regular de direitos, legítimo interesse ou outra hipótese prevista nos arts. 7º e 11.
A base legal que autorizou a coleta original não permite automaticamente qualquer uso posterior. Utilizar dados de um cliente para executar um pedido, por exemplo, não significa que sua ficha completa possa ser enviada a uma plataforma externa para uma finalidade incompatível.
O que avaliar no fornecedor de IA?
Finalidade, retenção e uso para treinamento
Leia os termos aplicáveis ao plano realmente contratado. Verifique se comandos e arquivos podem ser usados para desenvolver ou treinar modelos, por quanto tempo ficam armazenados, como ocorre a exclusão e se há controles administrativos para impedir usos não autorizados.
Não presuma que uma configuração vista em publicidade, em uma versão gratuita ou em outra modalidade do serviço se aplica à conta corporativa da empresa.
Local do processamento e terceiros envolvidos
Identifique onde os dados são processados e armazenados, se há transferência internacional, quais subprocessadores participam da operação e como o fornecedor comunica mudanças relevantes.
Na LGPD, transferência internacional não é sinônimo automático de irregularidade, mas exige enquadramento jurídico e garantias compatíveis.
Segurança, acesso e resposta a incidentes
Avalie autenticação multifator, controle de perfis, criptografia, registros de auditoria, segregação entre clientes, testes de segurança, canais de incidente e prazos de notificação. As promessas comerciais devem aparecer em documentos verificáveis e, quando necessário, no contrato.
Conta gratuita e conta corporativa são equivalentes?
Não necessariamente. Produtos empresariais podem oferecer controles de administração, regras específicas sobre treinamento, maior capacidade de auditoria, isolamento de dados e compromissos contratuais distintos. Mas o nome “corporativo” também não elimina a necessidade de análise.
A empresa deve bloquear o uso de contas pessoais quando elas contornarem os controles internos. Se cada empregado escolhe uma ferramenta, aceita termos em nome próprio e envia documentos de trabalho, a organização perde visibilidade sobre quem recebeu os dados e quais regras foram aceitas.
Uma lista curta de ferramentas aprovadas costuma ser mais segura e mais fácil de treinar do que uma proibição genérica impossível de fiscalizar.
Minimização: envie apenas o que a tarefa exige
O princípio da necessidade, previsto no art. 6º, inciso III, da LGPD, limita o tratamento ao mínimo necessário. Antes de enviar um arquivo, pergunte se a IA realmente precisa do documento integral.
Em muitos casos, a tarefa pode ser realizada com nomes substituídos, valores aproximados, campos removidos ou um trecho sem identificação. Entretanto, retirar apenas o nome nem sempre anonimiza o conteúdo: cargo raro, cidade, idade, data, número de processo e contexto podem permitir a reidentificação.
Anonimização deve ser avaliada pelo risco real de reversão. Quando não for possível descaracterizar adequadamente a pessoa ou o segredo empresarial, escolha uma ferramenta e uma arquitetura compatíveis com o dado — ou não faça o envio.
Como organizar o contrato com o fornecedor?
O papel do fornecedor — operador, controlador independente ou outra configuração — depende das decisões efetivamente tomadas sobre o tratamento, e não apenas do nome usado no contrato. A empresa precisa compreender quem define finalidades e meios essenciais.
O instrumento contratual deve tratar, conforme o serviço, de:
- finalidades autorizadas e instruções para o tratamento;
- categorias de dados permitidas e usos proibidos;
- retenção, devolução e eliminação de informações;
- uso ou não dos conteúdos para treinamento de modelos;
- subcontratação e transferência internacional;
- medidas de segurança e evidências de conformidade;
- prazo e conteúdo da notificação de incidentes;
- cooperação no atendimento de titulares e autoridades;
- auditoria, responsabilidade e encerramento do serviço.
Termos padronizados podem não ser negociáveis, mas ainda precisam ser lidos. Se o risco excede as garantias oferecidas, a solução prática pode ser limitar os dados, mudar o plano ou escolher outro fornecedor.
Uma política interna de IA precisa ser extensa?
Não. Para uma pequena ou média empresa, um documento curto e operacional pode funcionar melhor do que uma política longa que ninguém consulta.
Classifique usos por nível de risco
- Baixo risco: ideias gerais, revisão de texto público e tarefas sem dados pessoais ou sigilosos.
- Risco moderado: informações internas não públicas, desde que minimizadas e usadas em ferramenta aprovada.
- Alto risco: dados sensíveis, crianças e adolescentes, grandes bases, segredos estratégicos, decisões que afetam pessoas ou material sujeito a sigilo profissional.
Defina quem pode aprovar casos de alto risco, quais plataformas estão liberadas, quais tipos de arquivo são proibidos, como registrar exceções e a quem reportar um envio indevido.
O Regulamento da ANPD para agentes de pequeno porte não dispensa as PMEs das bases legais, dos princípios e das medidas essenciais de segurança. Tecnologias emergentes, decisões automatizadas e dados sensíveis podem contribuir para caracterizar tratamento de alto risco.
A revisão humana continua necessária?
Respostas de IA podem conter erros, referências inexistentes, conclusões discriminatórias ou informações desatualizadas. O resultado deve ser conferido por alguém com competência para assumir a decisão.
Quando dados pessoais são usados em decisão tomada unicamente por tratamento automatizado que afete os interesses do titular, o art. 20 da LGPD assegura o direito de solicitar revisão e informações sobre critérios e procedimentos, observados os segredos comercial e industrial.
Recrutamento, concessão de crédito, avaliação de desempenho, prevenção a fraude e definição de perfil exigem controles adicionais. A Agenda Regulatória da ANPD mantém em andamento a elaboração de parâmetros para IA e para a aplicação do art. 20.
Exemplo: uma PME quer resumir contratos de clientes
Imagine uma prestadora de serviços do Oeste do Paraná que recebe contratos com nomes, contatos, valores e condições comerciais. Para acelerar a conferência, um empregado pretende enviar os arquivos completos a uma ferramenta pública de IA.
Antes disso, a empresa deve verificar se a finalidade pode ser cumprida com uma versão anonimizada; se a conta impede uso para treinamento; quais são os prazos de retenção; quem acessa o conteúdo; se o contrato com o cliente permite o compartilhamento; e quem revisará o resumo.
Se essas respostas não estiverem disponíveis, o ganho de alguns minutos não compensa a perda de controle. A alternativa pode ser remover identificadores, usar uma solução corporativa previamente avaliada ou manter o documento fora da ferramenta.
O que fazer se um arquivo já foi enviado indevidamente?
Interrompa o compartilhamento, preserve registros do que ocorreu e acione os responsáveis internos por tecnologia, proteção de dados e decisão jurídica. Verifique qual conta foi usada, quais informações estavam no arquivo, as opções de exclusão, o suporte do fornecedor e se houve acesso ou uso posterior.
O fato deve ser avaliado dentro do processo de resposta a incidentes. Nem todo envio indevido exige comunicação à ANPD e aos titulares, mas a decisão precisa considerar a confirmação do incidente, os dados envolvidos e a possibilidade de risco ou dano relevante.
O artigo sobre vazamento de dados na empresa e providências nas primeiras horas apresenta um roteiro complementar. Para rotinas de mensagens, consulte também os cuidados com WhatsApp da empresa e LGPD.
Checklist antes de enviar dados a uma IA
- Defina a tarefa e confirme se a ferramenta é realmente necessária.
- Classifique a informação: pública, interna, pessoal, sensível ou sigilosa.
- Remova dados e trechos que não sejam indispensáveis.
- Confirme a base legal e a compatibilidade com a finalidade original.
- Use somente conta e ferramenta aprovadas pela empresa.
- Verifique treinamento, retenção, exclusão e acesso humano pelo fornecedor.
- Avalie transferência internacional e subprocessadores.
- Confira contrato, confidencialidade e obrigações assumidas com terceiros.
- Ative autenticação multifator e perfis de acesso adequados.
- Registre a avaliação quando o uso puder gerar alto risco.
- Submeta o resultado a revisão humana qualificada.
- Saiba como reportar imediatamente um envio indevido.
Quando elaborar uma avaliação de impacto?
Usos de IA que combinam tecnologia emergente, grande volume de dados, informações sensíveis, grupos vulneráveis ou decisões automatizadas podem exigir análise mais estruturada. A ANPD recomenda elaborar o Relatório de Impacto à Proteção de Dados Pessoais antes do início de operações capazes de gerar alto risco.
O RIPD descreve dados, operações, finalidades, hipóteses legais, riscos e salvaguardas. Mesmo quando não houver obrigação formal imediata, documentar a avaliação ajuda a comparar fornecedores e demonstrar por que determinada solução foi aprovada ou recusada.
Conclusão: produtividade precisa vir acompanhada de controle
O uso de IA na empresa pode gerar eficiência sem exigir que clientes, empregados e parceiros assumam riscos invisíveis. Para isso, a organização precisa saber quais ferramentas utiliza, quais dados circulam e quais garantias foram verificadas.
O controle mais eficaz acontece antes do envio: minimizar informações, aprovar fornecedores, regular contratos, orientar equipes e manter revisão humana.
Uma política proporcional ao porte da empresa, acompanhada de treinamento e canal de reporte, transforma o uso improvisado de IA em uma decisão empresarial documentada. A análise jurídica individual deve considerar o tipo de dado, a finalidade, o contrato da ferramenta e o impacto sobre as pessoas envolvidas.
Fontes oficiais
- Lei nº 13.709/2018 (LGPD), especialmente arts. 5º, 6º, 7º, 11, 20, 38, 46, 47 e 50.
- Resolução CD/ANPD nº 2/2022: agentes de tratamento de pequeno porte.
- ANPD: Guia de segurança da informação para agentes de pequeno porte.
- ANPD: orientações sobre o Relatório de Impacto à Proteção de Dados Pessoais.
- ANPD: documentos técnicos e orientativos sobre inteligência artificial e proteção de dados.
- Lei nº 9.279/1996: proteção de informações confidenciais e concorrência desleal.
Atualizado em 29 de outubro de 2026. Autor: Anderson Fernandes.
Conteúdo de caráter exclusivamente informativo, sem substituição da avaliação individualizada das ferramentas, contratos, dados e riscos de cada empresa.
