IA e LGPD para pequenos negócios: guia prático e seguro

O que muda quando sua empresa usa IA

Usar inteligência artificial para resumir e-mails, responder clientes ou organizar planilhas pode economizar horas. O risco aparece quando, junto com a tarefa, entram nomes, telefones, contratos, dados financeiros ou informações de saúde que não precisavam estar ali.

A Lei Geral de Proteção de Dados vale para operações com dados pessoais em meios físicos ou digitais. Pela lei, tratamento inclui atividades como coleta, acesso, uso, armazenamento, compartilhamento e eliminação. Copiar uma conversa de cliente para um chatbot pode, portanto, representar uma nova operação de tratamento.

Isso não significa que a LGPD proíba a IA. Significa que a empresa precisa saber qual dado será usado, para qual finalidade, por que ele é necessário, quem terá acesso, onde ficará armazenado e quais medidas reduzem o risco. A responsabilidade não desaparece porque o processamento foi confiado a uma plataforma.

• Defina uma finalidade concreta para o uso.
• Envie somente os dados estritamente necessários.
• Verifique acesso, retenção, exclusão e segurança.
• Mantenha uma pessoa responsável pelo resultado.

Dados pessoais, sensíveis e confidenciais: qual é a diferença?

Dado pessoal é uma informação relacionada a uma pessoa identificada ou identificável. Nome e CPF são exemplos evidentes, mas e-mail, telefone, endereço, placa, localização, histórico de compras e uma combinação de informações também podem identificar alguém.

Dado pessoal sensível recebe proteção especial. A LGPD inclui, entre outros, informações sobre saúde, biometria, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual e dados genéticos.

Informação confidencial da empresa não é uma categoria criada pela LGPD, mas ainda pode causar prejuízo se exposta. Senhas, chaves de API, propostas não anunciadas, preços internos, segredos comerciais e contratos sob sigilo entram aqui. Uma mesma planilha pode reunir as três camadas; por isso, classifique o conteúdo antes de enviá-lo.

Ficha de decisão antes de enviar um documento à IA

Exemplo fictício: uma loja quer resumir reclamações para descobrir problemas de entrega. Para contar os motivos, o modelo não precisa de nome, CPF, endereço, telefone ou número de pedido. Remova esses campos e leia também o texto livre, onde o cliente pode ter repetido informações pessoais.

Trocar o nome por CLIENTE-01, mantendo uma tabela que permite reidentificação, é pseudonimização; não trate o arquivo automaticamente como anônimo nem dispense as obrigações da LGPD. A decisão exige avaliar os dados restantes e o contexto.

Preencha a ficha com finalidade, categorias de dados, ferramenta e conta autorizadas, destinatários, retenção e responsável. Se faltar justificativa para um campo, retire-o do envio. A ficha organiza a análise; não cria por si só base legal ou conformidade.

O que nunca deve ser enviado sem proteção

Evite colar ou anexar dados reais em ferramentas não aprovadas. Mesmo quando a plataforma oferece proteção empresarial, o princípio da necessidade continua valendo. Se a IA precisa sugerir o tom de uma resposta, provavelmente não precisa do CPF, do pedido completo nem de todo o histórico do cliente.

Quando uma senha ou chave for enviada por engano, tratá-la apenas como dado apagado não basta: revogue ou troque a credencial imediatamente.

• Senhas, códigos de recuperação e chaves de API.
• Cartões, credenciais bancárias e documentos completos.
• Prontuários, exames, biometria ou informações de saúde identificáveis.
• Dados de crianças e adolescentes.
• Folhas de pagamento, contratos e processos com informações reais.
• Bases exportadas de CRM, e-commerce ou WhatsApp.

Conta pessoal e plano empresarial não são a mesma coisa

Não existe uma resposta universal para a pergunta ‘a ferramenta usa meus dados para treinar?’. Isso depende do produto, do plano, do contrato, das configurações e, em alguns casos, da região.

A OpenAI informa que não treina seus modelos com dados de clientes da API e de produtos empresariais por padrão. O Google descreve proteções de nível empresarial para edições qualificadas do Workspace nas quais o Gemini é um serviço principal. A Microsoft informa que contas corporativas elegíveis do Copilot recebem proteção de dados empresarial.

Essas proteções não tornam qualquer uso automaticamente adequado à LGPD. A empresa ainda precisa definir finalidade, fundamento, acesso, retenção e segurança. Confirme sempre a documentação do produto e do plano contratados, registre a data da consulta e revise mudanças de política.

• Entradas e respostas são usadas para treinamento por padrão?
• Quais controles de retenção e exclusão existem?
• Há contrato empresarial e termos de tratamento de dados?
• Administradores controlam acessos, integrações e registros?
• Quais subprocessadores participam do serviço?

Use o semáforo dos dados

Um semáforo ajuda a equipe a decidir sem transformar toda tarefa em reunião. Verde representa conteúdo público, fictício ou agregado que não identifica pessoas. Amarelo exige redução e avaliação. Vermelho não deve ser enviado a uma ferramenta comum.

No verde entram textos públicos do site, descrições genéricas de produto, modelos vazios e dados fictícios. No amarelo ficam documentos internos sem dados pessoais, indicadores agregados, conversas anonimizadas e dados estritamente necessários em uma ferramenta empresarial aprovada.

No vermelho ficam dados sensíveis identificáveis, credenciais, bases completas de clientes ou funcionários, informações de crianças e dados usados em decisões de alto impacto. Se um caso vermelho for essencial, ele exige avaliação técnica e jurídica, contrato adequado e controles proporcionais.

Um processo seguro em oito passos

Primeiro, liste onde a equipe já usa IA: atendimento, marketing, documentos, recrutamento, planilhas ou código. Inclua ferramentas gratuitas usadas por iniciativa individual. Depois, descreva a finalidade em uma frase concreta; sem isso, fica difícil saber quais dados são necessários.

Remova nome, e-mail, telefone, CPF, endereço, pedido e detalhes que permitam reidentificação. Troque-os por marcadores como [CLIENTE], [PRODUTO] e [DATA]. Apenas esconder o nome pode ser insuficiente quando o contexto ainda identifica a pessoa; para testes, prefira dados fictícios.

Crie uma lista curta de serviços permitidos, adote contas individuais, autenticação em dois fatores e menor privilégio. Uma pessoa deve revisar respostas ao cliente e qualquer decisão que afete indivíduos. Registre ferramenta, finalidade, categoria de dados, responsável, controles e incidentes. Por fim, treine a equipe com exemplos verdes, amarelos e vermelhos.

• Mapeie os usos reais.
• Defina uma finalidade específica.
• Minimize e anonimize os dados.
• Aprove contas e ferramentas.
• Controle o acesso e use autenticação forte.
• Exija revisão humana.
• Registre decisões e incidentes.
• Treine com exemplos e revise periodicamente.

Exemplo: responda um cliente sem expor dados

Imagine que uma loja recebeu uma reclamação extensa sobre atraso. A abordagem arriscada seria colar o e-mail inteiro, com nome, telefone, endereço, pedido e histórico de pagamento, em uma conta pessoal.

Uma abordagem mais segura remove os identificadores, resume somente os fatos necessários, usa uma conta aprovada e pede apenas um rascunho. Antes de enviar, uma pessoa confere prazo, política de troca e tom.

Um prompt possível seria: ‘Escreva um rascunho cordial para um cliente cuja entrega está cinco dias atrasada. Reconheça o transtorno, informe que a equipe verificará o rastreio hoje e não invente prazo. Não há dados reais neste exemplo.’ A IA ajuda na redação, mas a empresa continua responsável pela mensagem.

Como avaliar um fornecedor de IA

Não escolha apenas pela marca ou por um selo isolado. Compare a documentação com o uso real da empresa e repita a avaliação na renovação ou quando o produto ganhar novas integrações.

Verifique se existe documentação clara, se o plano usa conteúdo para treinamento, qual é a retenção, como excluir arquivos e conversas, se há contrato empresarial, controles administrativos, logs, autenticação forte, subprocessadores, suporte a incidentes e exportação de dados. Integrações com Drive, e-mail, CRM e calendário merecem atenção especial ao escopo de acesso.

O que fazer após um envio indevido

Interrompa o compartilhamento, pause automações, remova links públicos e limite acessos. Apague a conversa ou o arquivo quando possível e revogue imediatamente qualquer senha, token ou chave exposta.

Avise o responsável interno e registre o que foi enviado, quando e para qual serviço. Preserve apenas as evidências necessárias, avalie o tipo e o volume de dados, a possibilidade de acesso e as consequências. Incidentes relevantes podem exigir medidas e comunicação conforme a LGPD e as regras da ANPD; busque orientação adequada em vez de improvisar ou esconder o ocorrido.

• Pare o fluxo e restrinja o acesso.
• Exclua o conteúdo quando o serviço permitir.
• Troque credenciais expostas.
• Registre fatos e ações tomadas.
• Avalie o risco e procure orientação.

Perguntas frequentes

ChatGPT, Gemini ou Copilot são compatíveis com a LGPD? Uma ferramenta, sozinha, não torna a operação compatível. É preciso avaliar produto e plano, termos, configurações, finalidade, fundamento, minimização, segurança e contrato.

Posso colocar dados de clientes em uma IA? Não como regra geral. Verifique necessidade, fundamento, ferramenta aprovada, contrato, retenção e controles. Sempre que possível, use dados anônimos ou fictícios.

Desativar o treinamento resolve tudo? Não. Essa configuração reduz uma preocupação, mas não resolve retenção, acesso, integrações, transferências, transparência ou direitos dos titulares.

Apagar a conversa elimina tudo imediatamente? Não presuma. O prazo e as exceções dependem da política do produto e do plano.

Pequena empresa também precisa cumprir a LGPD? Sim. Há regras e orientações simplificadas para agentes de pequeno porte, mas não uma dispensa geral de proteção.

Crie uma política de IA que caiba em uma página

Uma política inicial pode listar ferramentas aprovadas, usos permitidos e proibidos, exemplos do semáforo, obrigação de minimizar dados, revisão humana, regras de conta e autenticação, canal para incidentes, responsável e data da próxima revisão.

Começar pequeno é melhor do que deixar a equipe sem referência. Escolha hoje uma tarefa em que a empresa usa IA, elimine um dado desnecessário, confirme a conta utilizada e defina quem revisa o resultado. Depois, adapte a política ao inventário de dados e aos riscos reais.