ChatGPT e LGPD: cuidados com dados pessoais nas empresas

A LGPD não proíbe, como regra geral, o uso do ChatGPT no trabalho. No uso empresarial, inserir dados pessoais na ferramenta envolve tratamento que exige avaliação da finalidade, da base legal, do tipo de dado e das condições da conta utilizada.

Antes do envio, identifique quais informações a tarefa realmente precisa e confira os termos, as configurações e a documentação contratual do fornecedor. Registrar essa avaliação ajuda a organizar as decisões, mas não demonstra, sozinho, conformidade. Esta orientação não substitui a análise jurídica do caso concreto.

Em resumo:

• Inserir dados pessoais no ChatGPT envolve tratamento; a hospedagem no exterior não afasta, por si só, a LGPD.
• Dados sensíveis, pistas que identificam pessoas e configurações da conta exigem atenção antes do envio.
• Plano pago e contrato empresarial não autorizam automaticamente o tratamento de dados pessoais.
• Regras internas, treinamento e registros ajudam a supervisionar o uso e a responder a envios acidentais.

Por que enviar uma mensagem é tratamento de dados

Colar uma mensagem com informações de uma pessoa no ChatGPT é uma operação de tratamento. A avaliação considera o que acontece com esses dados, independentemente da tecnologia usada.

Dado pessoal é toda informação relacionada a uma pessoa natural identificada ou identificável. Tratamento abrange operações como utilização, acesso, transmissão, armazenamento e eliminação. Assim, o cuidado começa antes de copiar um e-mail, currículo ou registro de atendimento para a ferramenta.

As definições estão no art. 5º da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), que também define os papéis dos agentes de tratamento.

O endereço do fornecedor não encerra a análise. Pelo art. 3º da LGPD, a lei se aplica independentemente do país de sede do agente ou de onde estejam os dados, quando o tratamento ocorre no território nacional, tem por objetivo oferecer bens ou serviços ou tratar dados de pessoas localizadas no Brasil, ou envolve dados coletados no país. É necessário verificar as condições de aplicação ao tratamento concreto. A transferência internacional de dados tem regras próprias, no art. 33.

Onde está o risco: dado, ferramenta e configuração

A avaliação combina o conteúdo enviado, as condições do serviço e o uso da resposta. Conhecer apenas o nome do modelo ou o preço do plano não esclarece esses pontos.

Inserir dados pessoais em uma conversa com IA envolve tratamento e compartilhamento com o fornecedor. Por isso, antes de usar uma conta pessoal, confira se os termos permitem o uso do conteúdo para treinamento e quais controles existem naquela modalidade.

Para organizar a análise técnica, a Galícia Educação distingue treinamento, janela de contexto e registros do serviço. Treinamento é o uso de dados para desenvolver ou ajustar o modelo. A janela de contexto reúne o conteúdo usado para gerar a resposta. Logs e histórico são registros mantidos pelo serviço. Verificar uma dessas dimensões não esclarece automaticamente as outras.

Algumas informações exigem avaliação prévia:

• Dados pessoais sensíveis: por exemplo, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual e dados genéticos ou biométricos vinculados a uma pessoa (art. 5º, II, da LGPD). O tratamento desses dados só é permitido nas hipóteses do art. 11.
• Combinações de informações que identificam alguém, mesmo sem nome ou documento.
• Credenciais de acesso, como senhas e chaves.
• Informações estratégicas da empresa, que exigem cuidado mesmo quando não são dados pessoais.

Há também o risco de usar uma resposta incorreta em decisões sobre pessoas. Como medida operacional, mantenha revisão humana crítica: conferir os dados, examinar a conclusão e corrigir erros, em vez de apenas aprovar a resposta.

Como reduzir os dados antes do envio

Se a tarefa dispensa dados pessoais, retire-os. Se precisa deles, limite o conteúdo ao necessário e avalie a justificativa e as condições do tratamento antes de enviar.

Remover nome e CPF não garante anonimização. Cargo, unidade, data e descrição de uma situação podem identificar alguém em conjunto. Trocar nomes por códigos, uma medida de pseudonimização, não elimina necessariamente essa possibilidade. Enquanto a pessoa for identificável pelo contexto, trate a informação como dado pessoal.

Dados de saúde ilustram o cuidado: são dados sensíveis e só podem ser tratados nas hipóteses do art. 11 da LGPD. Por isso, evite enviar dados de pacientes a contas pessoais de IA. Um contrato empresarial também não autoriza automaticamente o envio: a base legal e as condições do tratamento continuam precisando de avaliação.

Revise também referências a terceiros. O candidato cujo currículo foi recebido (cuidado que vale também para prompts para RH), a pessoa citada em um e-mail e alguém mencionado numa reclamação continuam sendo pessoas identificáveis, mesmo sem relação comercial com a empresa.

Um roteiro adaptável reúne cinco perguntas. Ele serve para orientar a decisão interna, não como teste de conformidade:

• Qual é a finalidade de enviar esse dado específico à IA?
• A tarefa se resolve sem o dado, com menos informação ou com identificadores substituídos?
• O fornecedor e a documentação contratual foram avaliados para esse uso?
• Onde o conteúdo fica armazenado, por quanto tempo e quem tem acesso?
• Esse uso está autorizado pela política interna?

Em um exemplo hipotético, uma equipe de atendimento quer resumir reclamações. Se nome, telefone e número do pedido não forem necessários ao resumo, retire-os. Depois, revise o texto livre: ele ainda contém informações de saúde ou detalhes que identificam alguém? A equipe também precisa confirmar a conta autorizada e a justificativa para o tratamento. Se essas condições estiverem indefinidas, suspenda o envio e encaminhe a avaliação à área responsável.

Conta pessoal, plano individual e contrato empresarial: o que comparar

A modalidade precisa ser avaliada pelo contrato, pelos recursos e pelo uso efetivo. O pagamento de uma assinatura, isoladamente, não esclarece como o fornecedor trata o conteúdo.

A tabela organiza verificações, sem atribuir recursos atuais a cada plano. Confira as respostas nos termos e nas configurações vigentes antes da aprovação.

Pontos a verificar por modalidade de uso do ChatGPT

Modalidade	Documentação contratual	Treinamento	Retenção e controles	Dados sensíveis
Conta pessoal gratuita	Há documentação aplicável ao uso pela organização?	O conteúdo é usado para treinamento? Quais controles existem?	Quais são os prazos de retenção e os controles sob gestão da empresa?	Não enviar sem avaliação e autorização interna para esse uso.
Plano individual pago	A assinatura contempla as necessidades contratuais da organização?	Quais regras se aplicam à modalidade, sem presumir mudança pelo pagamento?	Quais acessos, registros e opções de exclusão ficam sob gestão da empresa?	Não presumir autorização por se tratar de plano pago.
Contrato empresarial ou API	Há DPA? Qual é sua cobertura e o papel do fornecedor?	O que contrato e configuração estabelecem sobre treinamento?	Quais retenções, exceções, acessos e registros se aplicam à operação?	Avaliar finalidade, base legal, minimização e controles para o caso.

DPA, sigla de data processing addendum, é um aditivo de tratamento de dados que descreve condições do tratamento pelo fornecedor em nome do cliente. Examine sua cobertura para a modalidade e a operação contratadas.

Separe duas perguntas: o conteúdo é usado para treinamento? Quais dados são retidos, por quanto tempo e com quais exceções? Uma cláusula de retenção zero precisa ser examinada pelo seu alcance; não a trate como resposta automática à política de treinamento.

O art. 46 da LGPD exige dos agentes de tratamento medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais. Na avaliação técnica, examine criptografia em trânsito e em repouso, controle de acesso por função, registros de auditoria e avaliações independentes pertinentes. São pontos de verificação, não uma prova suficiente de segurança ou uma lista completa de obrigações legais.

Para outras soluções de IA, executar o modelo localmente pode reduzir a exposição a terceiros, mas não dispensa a avaliação pela LGPD.

Base legal e papéis: quem decide e quem executa

Antes desse uso empresarial, o controlador precisa avaliar a finalidade e a base legal aplicável. A contratação da ferramenta não fornece essa justificativa por si só.

O controlador toma as principais decisões sobre o tratamento e define sua finalidade. O operador trata dados em nome do controlador, seguindo suas instruções. O encarregado, também chamado de DPO, recebe solicitações dos titulares e da Autoridade Nacional de Proteção de Dados (ANPD), adota providências e orienta funcionários e contratados.

Quando a organização decide a finalidade e os elementos essenciais do tratamento, ela exerce o papel de controladora nessa operação. Para identificar o papel do fornecedor, examine o contrato em conjunto com a forma efetiva de tratamento; o rótulo contratual não substitui essa análise.

As bases legais estão no art. 7º da LGPD e, para dados sensíveis, no art. 11. Consentimento, legítimo interesse e execução de contrato não são alternativas intercambiáveis. A escolha exige análise da finalidade e das condições do caso. Não presuma que uma autorização genérica do titular resolve qualquer envio, nem que a relação contratual com um cliente justifica automaticamente o uso de seus dados na IA.

A seleção e a avaliação do fornecedor integram a gestão de riscos. O alcance de eventual responsabilidade exige análise jurídica específica.

O art. 20 da LGPD garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, inclusive as que definem seu perfil profissional. Esse ponto se conecta ao risco de viés algorítmico. A aplicação das regras exige análise jurídica própria. Na operação, a revisão humana precisa incluir exame crítico, não apenas aprovação formal.

Governança interna para supervisionar o uso

A política interna precisa informar quais ferramentas, contas, tarefas e dados estão autorizados. Também precisa indicar quem resolve dúvidas e recebe relatos de envio acidental.

Shadow AI é o uso de ferramentas de IA por iniciativa individual, sem contrato corporativo nem visibilidade da TI. Contas pessoais em tarefas corporativas e ferramentas não mapeadas são situações a investigar. Oferecer um ambiente aprovado e instruções claras é uma medida a considerar para reduzir o uso informal.

Um roteiro adaptável para a organização inclui:

• Classificar os dados e definir quais envios são proibidos internamente ou exigem aprovação.
• Divulgar uma lista de ferramentas aprovadas e não aprovadas.
• Definir contas, configurações e responsáveis pelas tarefas autorizadas.
• Treinar as equipes para revisar dados em mensagens, anexos e textos livres.
• Registrar quem aprovou o uso, para qual finalidade e sob quais condições.
• Revisar as aprovações diante de mudanças de contrato, configuração ou finalidade.

Esses registros apoiam a supervisão interna e se relacionam às regras de boas práticas e governança que o art. 50 da LGPD permite aos controladores e operadores formular. Para o uso responsável da IA de forma mais ampla, veja também ética na inteligência artificial. O roteiro não substitui a identificação das obrigações legais aplicáveis à organização e ao tratamento.

Se um dado pessoal for enviado por engano

Trate o envio acidental como possível incidente e acione o encarregado ou o responsável por privacidade. A comunicação externa não é automática: o controlador, com apoio das áreas responsáveis, precisa avaliar o dever de comunicar à ANPD e aos titulares. Pelo art. 48 da LGPD, a comunicação é devida quando o incidente puder acarretar risco ou dano relevante aos titulares; o Regulamento de Comunicação de Incidente de Segurança da ANPD (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis para o controlador comunicar.

1. Interrompa o envio e registre o que foi compartilhado, em qual conta e em que momento, evitando reproduzir os dados desnecessariamente.
2. Acione o canal interno de privacidade ou de resposta a incidentes.
3. Avalie o tipo de dado, as pessoas afetadas, a sensibilidade e os riscos de dano.
4. Verifique as condições da conta para treinamento, retenção e exclusão. Apagar o histórico não encerra necessariamente a ocorrência.
5. Encaminhe ao controlador a avaliação sobre comunicação, observando os critérios e prazos da regulamentação aplicável.
6. Documente a resposta e ajuste os controles ou o treinamento necessários.

Perguntas frequentes sobre ChatGPT e LGPD

Usar o ChatGPT viola a LGPD?

Não como regra geral. No uso empresarial com dados pessoais, é necessário avaliar finalidade, base legal e segurança compatível com o risco. A ferramenta não dispensa essas obrigações.

Posso inserir dados de clientes no ChatGPT?

O envio exige avaliação do dado, da justificativa jurídica e das condições da conta. Dados sensíveis pedem avaliação específica. Sem definição dessas condições, não envie as informações até a análise da área responsável.

Basta remover nome e CPF para o dado deixar de ser pessoal?

Não. Retirar esses campos não garante anonimização. Informações de contexto, como cargo, local e uma situação específica, podem identificar a pessoa em conjunto.

A LGPD se aplica a uma ferramenta hospedada fora do Brasil?

A hospedagem no exterior não afasta, por si só, a LGPD. É necessário verificar as condições de aplicação da lei ao tratamento e examinar separadamente as regras de transferência internacional.

Quem é controlador e quem é operador no uso do ChatGPT?

Quem decide a finalidade e os elementos essenciais do tratamento exerce o papel de controlador. O fornecedor atua como operador nas operações em que trata dados em nome do cliente, conforme suas instruções. A análise considera contrato e tratamento efetivo.

Como alguns princípios da LGPD se relacionam ao uso de IA?

Os princípios estão no art. 6º da LGPD. Finalidade e necessidade orientam a justificativa e a quantidade de dados utilizados. Transparência, segurança e não discriminação também são relevantes para avaliar o fluxo e seus efeitos. Esses exemplos não esgotam os princípios da lei.

Qual é o objetivo da LGPD?

Proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, conforme o art. 1º. A LGPD é a Lei nº 13.709, de 14 de agosto de 2018.

O que fazer após enviar dados pessoais por engano?

Interrompa o envio, acione o responsável por privacidade e registre o ocorrido. O controlador, apoiado pelas áreas responsáveis, avalia os riscos e eventual dever de comunicação conforme a regulamentação aplicável.

Decida antes do envio, com condições definidas

Para cada tarefa, identifique os dados necessários, a finalidade, a base legal e as condições do serviço. Registre a aprovação e os limites de uso. Esses pontos organizam a avaliação, sem esgotar as obrigações aplicáveis nem demonstrar, isoladamente, conformidade.

Se a justificativa ou as condições do tratamento estiverem indefinidas, não envie os dados pessoais até a avaliação da área responsável. Reduzir informações e escolher outra modalidade de conta fazem parte dessa análise, mas não resolvem uma base legal indefinida. Um plano pago, por si só, não autoriza o tratamento.