Posso colocar dados de clientes no ChatGPT? O que a LGPD diz e como usar IA com segurança

É uma cena comum: alguém do time cola um contrato no ChatGPT ou no Claude e pede um resumo. Ou cola a planilha de clientes e pede uma análise. É rápido e o resultado é bom. Mas o que foi colado ali tinha nome, CPF, telefone e endereço de pessoas que nunca autorizaram isso.

Este guia explica o que a Lei Geral de Proteção de Dados (LGPD) tem a ver com isso e como usar IA no trabalho sem expor os dados dos seus clientes.

Este texto é informativo e não substitui a orientação de um advogado. Se o seu negócio trata dados sensíveis ou em grande volume, vale uma conversa com um especialista em proteção de dados.

O que conta como dado pessoal

Para a LGPD, dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável (art. 5º, I). Não é só CPF: nome, e-mail, telefone, endereço e até a combinação de informações que permite descobrir de quem se trata entram nessa definição.

Alguns dados são sensíveis (art. 5º, II), como dados de saúde, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, vida sexual, dados genéticos ou biométricos. Eles têm regras ainda mais rígidas.

Por que colar dados num chat de IA é um problema

1. Você está compartilhando os dados com outra empresa

Quando você cola dados num serviço de IA, eles são enviados ao fornecedor desse serviço. Na prática, isso é um compartilhamento com um terceiro, que precisa ter uma justificativa (uma base legal, art. 7º) e respeitar a finalidade para a qual os dados foram coletados.

2. Os dados podem ir para fora do Brasil

Os principais serviços de IA processam dados em servidores fora do país. A LGPD trata a transferência internacional de dados com regras próprias (art. 33), e a ANPD detalhou esse tema em regulamento próprio, incluindo cláusulas contratuais padrão.

3. O plano gratuito ou pessoal pode usar os dados para treinar modelos

As regras mudam de fornecedor para fornecedor e ao longo do tempo. Em geral, os planos pessoais podem usar as conversas para treinar modelos, dependendo da configuração da conta, e os planos empresariais e as APIs costumam não usar por padrão. Confira sempre os termos atuais do serviço que o time usa.

4. Você colou mais do que precisava

Um dos princípios da LGPD é o da necessidade (art. 6º, III): tratar só o mínimo de dados necessário para a finalidade. Para resumir um contrato, a IA quase nunca precisa saber o CPF de ninguém.

Cinco práticas para usar IA com segurança

1. Tire o dado pessoal antes de enviar

A prática mais simples e eficaz. Troque o nome por "Cliente A", o CPF por "[CPF]" e o telefone por "[telefone]". Para a maioria das tarefas (resumir, revisar, reescrever, organizar), a IA entrega o mesmo resultado.

2. Use planos empresariais, e não contas pessoais

Planos empresariais costumam oferecer contrato de tratamento de dados, não uso das conversas para treinar modelos e controle de quem tem acesso. Contas pessoais espalhadas pelo time são o cenário mais difícil de controlar.

3. Escreva uma política de uso de IA

Uma página que diz o que pode e o que não pode ser enviado à IA, quais ferramentas são aprovadas e a quem perguntar em caso de dúvida. Há um modelo pronto no guia modelo de política de uso de IA.

4. Mantenha uma pessoa na decisão

Se o resultado da IA afeta alguém (aprovação de crédito, contratação, avaliação), uma pessoa precisa revisar e decidir. A LGPD garante ao titular o direito de pedir revisão de decisões tomadas só com base em tratamento automatizado (art. 20).

5. Prefira ferramentas que separam o dado do texto

O jeito mais seguro de não enviar um dado à IA é a ferramenta nem ter como enviá-lo. Algumas ferramentas permitem marcar trechos de um documento como privados, e a IA recebe só uma descrição do trecho, e não o valor.

Como isso funciona no Ocary

No Ocary, você seleciona um trecho de um documento, como o nome, o e-mail ou o telefone de um cliente, marca como privado e diz o que ele é. O time continua vendo o valor normalmente. Quando o documento vai para uma IA ou outra integração, ela recebe só a descrição ("E-mail da responsável no cliente"), e não o dado. A IA pode editar o texto em volta, mas não apaga nem troca um trecho privado.

Assim, o time pode pedir a um agente que revise uma proposta ou organize um pedido sem que os dados pessoais do cliente saiam de casa.

Resumo

• Nome, e-mail e telefone já são dados pessoais. Colar isso num chat de IA é compartilhar com outra empresa, muitas vezes fora do Brasil.
• Envie só o necessário: na maioria das tarefas, a IA não precisa do dado pessoal.
• Use planos empresariais, escreva uma política simples e mantenha uma pessoa nas decisões que afetam alguém.