Funcionários usando ChatGPT com dados da empresa: política de uso de IA e LGPD

Em muita PME, a inteligência artificial chegou sem ninguém decidir. A atendente cola a reclamação do cliente no ChatGPT para escrever uma resposta educada. O financeiro sobe a planilha de inadimplentes para "organizar". O RH pede ajuda para resumir currículos. Tudo pela conta pessoal, no celular ou no navegador, sem que a direção saiba. O nome que o mercado deu a isso é shadow AI: IA usada por fora da TI e das regras da empresa.

Este artigo mostra por que proibir não resolve, o que nunca deve ir para um chat de IA, a diferença real entre conta pessoal, plano empresarial e API (conferida nas páginas oficiais da OpenAI, do Google e da Anthropic em 30/09/2026), um modelo de política de uso de IA em 1 página para copiar e adaptar, e o que a LGPD, a ANPD e o PL 2338/2023 já sinalizam. O texto é informativo e não substitui parecer jurídico: para decisões sobre a sua empresa, fale com o seu advogado ou encarregado de dados (DPO).

Por que proibir não resolve

A reação mais comum é mandar um e-mail: "está proibido usar ChatGPT". O problema é que a ferramenta resolve uma dor real (escrever, resumir, traduzir, montar fórmula de planilha) e está a um toque no celular pessoal do funcionário. Proibição sem alternativa não tira o uso, só tira a visibilidade. A empresa passa a ter o mesmo risco e nenhuma informação sobre ele.

O caminho que funciona é o inverso: oferecer a ferramenta certa, com conta da empresa e configuração conhecida, e escrever regras curtas sobre o que pode e o que não pode. Quando existe uma opção oficial tão prática quanto a pessoal, a maioria das pessoas prefere a oficial, porque ninguém quer ser o responsável por um vazamento.

Proibir continua fazendo sentido para casos específicos: dados de saúde, dados de crianças, informações sob sigilo contratual. Mas a proibição vira uma linha da política, não a política inteira.

O que não pode ir para um chat de IA

A regra prática: se você não mandaria aquilo por e-mail para um desconhecido, não cole em um chat de IA pessoal. Em qualquer ferramenta, mesmo a empresarial, trate com cuidado redobrado:

• Dado pessoal de cliente, funcionário ou fornecedor: nome, CPF, telefone, e-mail, endereço, histórico de compras, salário, avaliação de desempenho. A LGPD define dado pessoal como qualquer informação relacionada a pessoa natural identificada ou identificável (art. 5º, I).
• Dado pessoal sensível: saúde, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual, dado genético ou biométrico (art. 5º, II). Atestado médico, laudo e exame não entram em chat de IA pessoal em hipótese nenhuma.
• Segredo comercial: tabela de custos, margem, proposta de concorrência, contrato com cliente, estratégia, lista de clientes, código-fonte proprietário.
• Credenciais: senhas, tokens de API, chaves de acesso, dados de conexão de banco. Um print de tela com senha aparecendo conta.
• Documentos de terceiros sob sigilo: material recebido com NDA, dados que o cliente confiou à sua empresa para um serviço específico.

Na maioria das tarefas dá para tirar o dado e manter a utilidade. Em vez de "responda ao cliente João Silva, CPF tal, que reclamou do boleto 4521", escreva "responda a um cliente que reclamou de um boleto com vencimento errado, em tom cordial". A IA não precisa saber quem é o cliente para escrever uma boa resposta.

Conta pessoal, plano empresarial ou API: o que muda nos seus dados

A mesma marca oferece produtos com regras de dados muito diferentes. O resumo abaixo foi conferido nas páginas oficiais dos fornecedores em 30/09/2026. Termos mudam, então releia antes de contratar.

Os detalhes por fornecedor, com o que cada página oficial diz:

• OpenAI (ChatGPT): nas contas Free, Plus e Pro, a OpenAI pode usar as conversas para treinar modelos se a opção "Improve the model for everyone" estiver ligada; dá para desligar em Configurações, Controles de dados. Conversas temporárias não treinam e são apagadas em 30 dias. No ChatGPT Business, Enterprise, Edu e na API, a OpenAI declara que não usa dados para treino por padrão. Na API, dados enviados não treinam modelos desde 1º de março de 2023, e os registros de monitoramento de abuso ficam guardados por até 30 dias; clientes aprovados podem ter retenção zero (Zero Data Retention). A OpenAI oferece contrato de tratamento de dados (DPA) para Business, Enterprise e API.
• Google (Gemini): no Gemini de conta pessoal, parte das conversas é lida por revisores humanos, conversas revisadas ficam guardadas por até 3 anos, e o próprio Google pede para não inserir informação confidencial. O histórico padrão é apagado em 18 meses. Na conta de trabalho do Google Workspace, o Google declara que o conteúdo não é revisado por humanos nem usado para treinar modelos fora do seu domínio sem permissão. Na API do Gemini, atenção: no nível gratuito o Google pode usar o conteúdo para melhorar produtos, com revisão humana; no nível pago, não usa (termos atualizados em 28/04/2026).
• Anthropic (Claude): nos planos Free, Pro e Max, as conversas são usadas para treinar modelos quando a configuração de melhoria está ligada, com retenção de até 5 anos; com ela desligada, a retenção é de 30 dias. Claude for Work (Team e Enterprise), Claude for Education, Claude for Government e a API ficam sob os termos comerciais, e a Anthropic declara que não usa entradas e saídas desses produtos para treino por padrão.

Dois pontos que pouca gente olha. Primeiro, o botão de avaliação (joinha para cima ou para baixo) pode enviar a conversa inteira ao fornecedor para melhoria, mesmo em plano empresarial; o administrador pode desligar. Segundo, os servidores desses fornecedores ficam fora do Brasil. A lista de regiões de armazenamento de dados da API da OpenAI, por exemplo, não inclui o Brasil. Isso é transferência internacional de dados pessoais, que a LGPD só permite nas hipóteses do art. 33, regulamentadas pela Resolução CD/ANPD nº 19/2024 (que trata, entre outros mecanismos, das cláusulas-padrão contratuais). Com dado pessoal envolvido, o contrato com o fornecedor precisa ser lido por quem entende do assunto.

Modelo de política de uso de IA em 1 página

Uma política que ninguém lê não protege nada. O modelo abaixo cabe em uma página e usa frases que o funcionário entende. Troque os nomes entre colchetes e ajuste ao seu setor.

O item 9 é o mais importante. A LGPD obriga o controlador a comunicar à ANPD e aos titulares incidentes de segurança que possam gerar risco ou dano relevante (art. 48), e a Resolução CD/ANPD nº 15/2024 fixou o prazo de 3 dias úteis a partir do conhecimento do incidente. Se o funcionário tem medo de contar, a empresa descobre tarde demais. Para o restante da rotina de segurança, veja o nosso checklist de cibersegurança para PMEs.

O que a LGPD, a ANPD e o PL 2338/2023 já sinalizam

Não existe, hoje, uma lei brasileira específica de IA em vigor. Mas a LGPD (Lei 13.709/2018) já se aplica a qualquer dado pessoal que passe por uma ferramenta de IA, como se aplica a uma planilha ou a um e-mail. Na prática, quatro pontos pesam:

• Segurança (art. 46): quem trata dados pessoais deve adotar medidas técnicas e administrativas para protegê-los de acesso não autorizado e de tratamento inadequado. Uma política de uso de IA e contas empresariais controladas são exatamente esse tipo de medida administrativa.
• Responsabilidade (art. 42): o controlador ou o operador que causar dano ao titular em violação à legislação de proteção de dados é obrigado a repará-lo. Para o cliente que teve o dado exposto, quem tratou o dado foi a sua empresa, não o funcionário isolado.
• Transferência internacional (art. 33): só é permitida nas hipóteses da lei, o que inclui as cláusulas-padrão da Resolução CD/ANPD nº 19/2024.
• Sanções (art. 52): entre elas, multa simples de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de advertência, publicização da infração e bloqueio ou eliminação dos dados.

A ANPD também deixou claro que IA está no radar. O Mapa de Temas Prioritários para o biênio 2026-2027, aprovado pela Resolução CD/ANPD nº 30, de 23/12/2025, lista quatro temas prioritários de fiscalização, e um deles é "inteligência artificial e tecnologias emergentes" no contexto do tratamento de dados pessoais. A Agenda Regulatória 2025-2026 mantém um item sobre IA, que trata do direito de revisão de decisões automatizadas (art. 20 da LGPD), e a autarquia publicou um volume da série Radar Tecnológico dedicado à IA generativa. Para o básico da LGPD no dia a dia, veja o nosso artigo LGPD na prática em sistemas e apps.

Sobre o PL 2338/2023, o chamado marco legal da IA: o texto foi aprovado pelo Senado em 10/12/2024 e seguiu para a Câmara dos Deputados. Em consulta ao portal da Câmara em 30/09/2026, a situação era "Aguardando Parecer do(a) Relator(a) na Comissão Especial", com regime de tramitação de prioridade e relatoria do deputado Aguinaldo Ribeiro. Ou seja: é projeto de lei, não está valendo, e o texto ainda pode mudar. Quem se organiza agora pela LGPD não perde o trabalho quando a lei de IA vier.

Assistente interno com dados sob controle

Para muitas empresas, o plano empresarial de um grande fornecedor resolve o uso do dia a dia. Há casos em que faz sentido ir além e ter um assistente interno, ligado aos sistemas da empresa pela API:

• A equipe precisa perguntar sobre documentos da empresa (manuais, contratos padrão, procedimentos) e você quer controlar quais documentos cada área vê.
• O trabalho envolve dado de cliente e você quer mascarar CPF, nome e telefone antes de qualquer envio ao modelo, de forma automática, sem depender da boa vontade de cada pessoa.
• Você precisa de registro: quem perguntou o quê, quando, com qual resposta, para auditoria e para responder ao titular.
• A tarefa se repete: classificar chamados, resumir atendimentos, extrair dados de documentos. Aí a IA deixa de ser chat e vira parte do sistema.

É esse tipo de projeto que fazemos no nosso serviço de inteligência artificial: assistentes e automações que usam modelos de mercado pela API, com controle de acesso, mascaramento de dados e registro de uso. Se a dúvida ainda é por onde começar e quanto a IA de terceiros custa por mês, o artigo IA generativa para PMEs ajuda a dimensionar.

"Proibir a IA só tira o uso da vista da empresa. Dar a ferramenta certa, com regra curta, tira o risco."

Conclusão

A IA já está dentro da sua empresa, com ou sem autorização. A pergunta útil não é se a equipe vai usar, mas em qual conta, com quais dados e sob quais regras. Conta pessoal para assunto da empresa é o pior dos mundos: a empresa responde pelo dado e não tem controle nenhum sobre ele.

O roteiro é curto: listar o que a equipe já usa, escolher a ferramenta oficial, publicar a política de 1 página, treinar em meia hora com exemplos do próprio setor e revisar a cada semestre. Quando o volume ou a sensibilidade dos dados crescer, o assistente interno entra.

Perguntas frequentes

Usar o ChatGPT fere a LGPD?

Usar a ferramenta, por si só, não. O que pode ferir a LGPD é tratar dado pessoal sem finalidade e base legal, sem medidas de segurança ou com transferência internacional fora das hipóteses do art. 33. Texto sem dado pessoal (um e-mail genérico, uma fórmula de planilha) não é tratamento de dado pessoal. Colar a ficha de um cliente em uma conta pessoal é outra história.

A empresa responde pelo que o funcionário colou?

Perante o titular dos dados, em regra quem trata o dado é a empresa, que é a controladora, e a LGPD obriga a reparar o dano causado em violação à lei (art. 42). Por isso política escrita, treinamento e ferramentas oficiais importam: são as medidas que a empresa consegue demonstrar. A análise de um caso concreto é com o seu advogado.

O ChatGPT treina com os dados da minha empresa?

Depende do produto. Nas contas Free, Plus e Pro, pode treinar se a opção de melhoria do modelo estiver ligada. No ChatGPT Business, Enterprise, Edu e na API, a OpenAI declara que não usa os dados para treino por padrão (consulta às páginas oficiais em 30/09/2026). Google e Anthropic seguem a mesma lógica: conta pessoal pode treinar, produto empresarial e API paga não, por padrão.

O PL 2338 já está valendo?

Não. O PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024 e, em consulta ao portal da Câmara em 30/09/2026, aguardava parecer do relator na Comissão Especial. Enquanto isso, o que vale para dado pessoal em IA é a LGPD, com fiscalização da ANPD.

Preciso de um assistente interno ou o plano empresarial basta?

Para escrever, resumir e revisar textos sem dado pessoal, o plano empresarial com a política de uso costuma bastar. O assistente interno faz sentido quando a IA precisa consultar documentos e sistemas da empresa, mascarar dado pessoal automaticamente ou guardar registro de uso para auditoria.