ChatGPT Business ou conta pessoal: o que muda nos dados

ChatGPT Business ou conta pessoal: o que muda nos dados

A principal diferença entre ChatGPT Business e conta pessoal é quem controla os dados. No plano Business a empresa tem administração central e, conforme a documentação do fornecedor, o conteúdo de trabalho não é usado para treinar modelos por padrão. Na conta pessoal, a decisão fica com cada pessoa, nas configurações dela. O plano reduz risco, mas não substitui regras internas nem a leitura da documentação vigente, que muda com o tempo.

Principais pontos

• Conta pessoal e plano empresarial têm termos de dados diferentes. Confirme na documentação do fornecedor, e não em resumos de terceiros, o que vale para cada plano.
• O ganho central do plano Business é o controle administrativo: gestão de usuários, de configurações e, conforme o plano, de integrações e de acesso.
• Treinamento com dados e retenção são duas perguntas separadas. Um plano pode não treinar com seu conteúdo e ainda assim guardar o histórico por um período.
• Misturar contas pessoais e corporativas é o risco mais comum: o dado da empresa acaba em um ambiente que ela não administra.
• Contratar o plano é só o primeiro passo. Sem política de uso, mapeamento dos dados e revisão periódica, a diferença contratual vira papel.

O que muda de fato entre os dois tipos de conta?

A conta pessoal é pensada para um indivíduo. Quem a cria aceita termos de uso de consumidor, administra as próprias configurações e pode sair quando quiser, levando consigo o histórico. A empresa não enxerga o que foi feito, não pode revogar o acesso e não tem como exigir que uma configuração de privacidade esteja ligada.

O plano empresarial inverte essa lógica. Existe um espaço de trabalho com administradores, usuários convidados e termos próprios para organizações. A empresa passa a ser a parte contratante, o que importa para a LGPD: fica mais claro quem é o controlador, quem opera o dado e qual documento rege a relação.

Isso não quer dizer que o plano empresarial resolva tudo. Ele muda o ponto de partida do contrato e do controle. O que a pessoa digita, o que anexa e o que a empresa decide permitir continuam sendo responsabilidade da própria empresa.

Como fica o uso de dados para treinamento?

É a pergunta que mais aparece, e a que mais se responde de memória. Em termos gerais, a documentação do fornecedor costuma distinguir contas de consumidor de contas organizacionais. Em contas de consumidor, o conteúdo pode ser usado para melhorar os modelos, com a opção de desativar nas configurações. Em planos para empresas, o padrão descrito costuma ser o inverso: o conteúdo não é usado para treinamento, salvo escolha da organização.

Trate isso como ponto de partida, não como garantia. Três cuidados práticos:

• Leia a página de privacidade e os termos do plano que você de fato contratou, não os de outro plano.
• Registre a data em que você conferiu e guarde uma cópia do texto. Se o documento mudar, você saberá o que valia quando decidiu.
• Verifique se a regra vale para tudo: conversas, arquivos enviados, imagens, voz e recursos extras podem ter tratamentos distintos.

Há ainda um detalhe que costuma passar despercebido. Na conta pessoal, a configuração de treinamento é por usuário. Mesmo que a empresa oriente a desligar, ninguém consegue comprovar que todos desligaram. Esse é um dos argumentos mais fortes para ter um ambiente administrado.

Retenção e exclusão: quem guarda o quê e por quanto tempo?

Treinamento e retenção são assuntos diferentes. Retenção diz respeito a por quanto tempo o fornecedor guarda o conteúdo, por que motivos (operação, segurança, obrigações legais) e quem consegue apagar.

Na conta pessoal, o usuário normalmente gerencia o próprio histórico: apaga conversas, usa modos temporários, exporta dados. A empresa não tem visibilidade nem poder sobre isso. Se alguém sai da empresa, o histórico de trabalho vai junto com a conta dele.

No plano empresarial, a discussão passa a incluir perguntas de governança. A organização consegue definir ou influenciar o período de retenção? Existe exportação de dados para fins de auditoria ou de pedido de titular? O que acontece com o conteúdo de um usuário removido do espaço de trabalho? Os controles de retenção variam entre planos, e alguns recursos ficam apenas em níveis mais altos. Por isso, a resposta precisa vir da documentação do plano específico, e não de uma regra geral.

Para a LGPD, importa também o ciclo de vida do dado pessoal que entrou na ferramenta. Se um cliente pede a eliminação dos dados dele, a empresa precisa saber se o conteúdo foi parar em conversas de IA e se consegue apagá-lo. Com contas pessoais, essa resposta é praticamente impossível de dar.

Que controles administrativos a conta pessoal não oferece?

O valor do plano empresarial aparece mais nos controles do que na promessa de privacidade. Estes são os pontos que vale checar, lembrando que a disponibilidade varia por plano:

• Gestão de usuários: convidar, remover e definir funções, para que o acesso acabe quando o vínculo acaba.
• Autenticação: possibilidade de login único ou exigências de segurança aplicadas pela organização.
• Configurações do espaço de trabalho: quais recursos, ferramentas e integrações ficam liberados ou bloqueados.
• Conectores e acesso a arquivos: quem pode conectar fontes como armazenamento em nuvem, e com que permissões.
• Compartilhamento: regras para compartilhar conversas e assistentes personalizados dentro e fora da organização.
• Registro e auditoria: se há logs de atividade, a quem estão disponíveis e por quanto tempo.
• Exportação e eliminação: como a empresa recupera ou apaga conteúdo do espaço de trabalho.

A lógica por trás desses itens é a do menor privilégio: cada pessoa acessa só o que precisa. O guia da OWASP sobre autorização descreve esse princípio de forma clara, e ele vale tanto para sistemas desenvolvidos quanto para ferramentas contratadas.

Cenário ilustrativo: a equipe comercial que já usa contas pessoais

Cenário ilustrativo: uma empresa de serviços com uma equipe comercial pequena percebe que os vendedores usam o ChatGPT em contas pessoais para resumir propostas e redigir e-mails. Ninguém cometeu má-fé; a ferramenta simplesmente ajudava. Mas as propostas têm nome do cliente, escopo e condições comerciais, e às vezes trechos de conversas do WhatsApp.

O gestor faz três perguntas: onde esse conteúdo está guardado, quem consegue apagá-lo e o que acontece se um vendedor sair. A resposta honesta é que ninguém na empresa sabe. Contratar o plano Business resolve parte do problema, pois cria um espaço administrado. Mas ele não resolve o histórico já acumulado nas contas pessoais, nem decide quais dados podem entrar.

A saída combina três decisões: migrar o uso de trabalho para o espaço administrado, definir que dados de cliente só entram em casos aprovados e orientar o time a não usar mais a conta pessoal para trabalho. Para a parte de regras, vale partir da política de uso de ChatGPT na empresa, que detalha o que permitir e proibir.

Checklist para conferir na documentação do fornecedor

Antes de decidir, leve estas perguntas para a documentação oficial do plano que você está avaliando. Anote a resposta, o link e a data da consulta.

• O conteúdo do plano é usado para treinar modelos por padrão? Existe exceção ou opção que a organização possa alterar?
• Os termos de dados são contratuais (com aditivo de tratamento de dados) ou apenas políticas publicadas?
• Quais são as regras de retenção para conversas, arquivos e conteúdo de usuários removidos?
• Quem na empresa pode apagar, exportar ou recuperar conteúdo?
• Onde os dados são processados e armazenados? Há opções de região? (Isso conversa diretamente com a transferência internacional de dados com IA e a LGPD.)
• Quais subprocessadores e integrações de terceiros entram em jogo quando conectores são ativados?
• Que recursos têm regras diferentes das conversas comuns, como voz, imagens, pesquisa na web, memória e agentes?
• Que registros de atividade a organização consegue ver?
• Como o fornecedor comunica mudanças nos termos e como a empresa será avisada?

Como aplicar isso em etapas: mapear, limitar, pilotar, transferir

O método que usamos em projetos de IA serve bem para essa decisão, porque ela é menos sobre tecnologia e mais sobre processo.

• Mapear: levante quem já usa IA, em que contas, para quais tarefas e com que tipo de dado (cliente, funcionário, financeiro, estratégico). Sem esse retrato, qualquer política é palpite.
• Limitar: defina o que pode e o que não pode entrar na ferramenta. Dados pessoais sensíveis, segredos comerciais e documentos sob sigilo costumam exigir regra própria. Limite também o que a ferramenta pode acessar via conectores.
• Pilotar: comece com um grupo pequeno e um fluxo real, com um critério de sucesso combinado e revisão do que foi feito. Observe se as pessoas realmente migraram das contas pessoais.
• Transferir: documente as decisões, treine os administradores e escolha o que fazer ao fim do piloto: expandir, ajustar ou parar. Reveja a documentação do fornecedor em intervalos definidos.

Para estruturar a avaliação de riscos, o NIST AI Risk Management Framework oferece um vocabulário útil (governar, mapear, medir, gerenciar). E para dúvidas sobre tratamento de dados pessoais no Brasil, o ponto de partida são os materiais da ANPD.

Quando o plano empresarial ainda não basta

Há situações em que nem o plano Business é a resposta final. Se o dado não pode sair do ambiente da empresa, a discussão passa para alternativas como rodar um modelo local ou desenhar um agente com permissões e registros próprios. Se o caso envolve decisões que afetam pessoas, vale ler sobre o que não delegar para IA.

Também é preciso lembrar que o plano não elimina riscos de uso: alguém pode colar um documento que não deveria, ou um conector pode dar acesso amplo demais. Controle administrativo ajuda, mas o comportamento da equipe continua sendo parte do sistema.

Perguntas frequentes

ChatGPT Business é automaticamente compatível com a LGPD? Não. Nenhum plano torna a empresa compatível sozinho. O plano oferece termos e controles que ajudam, mas a empresa continua responsável por base legal, finalidade, minimização e atendimento aos titulares. Vale pedir apoio jurídico e conferir o aditivo de tratamento de dados do fornecedor.

Posso deixar a equipe usar contas pessoais se todos desativarem o treinamento? É uma solução frágil. A configuração é individual, a empresa não consegue verificá-la, não controla o histórico e perde o acesso quando a pessoa sai. Para qualquer uso com dados de clientes ou da operação, um ambiente administrado é mais defensável.

O que fazer com o histórico que já está em contas pessoais? Primeiro, descubra o tamanho do problema com um levantamento simples e sem punição. Depois, oriente as pessoas a apagar o conteúdo de trabalho que não deve permanecer e a migrar o uso para o ambiente da empresa. Registre a orientação, pois ela ajuda a demonstrar diligência.

Como saber se o que li sobre os planos ainda vale? Considere válido apenas o que está na documentação oficial do fornecedor na data em que você consulta. Planos, nomes e recursos mudam. Guarde o link e a data da consulta, e marque uma revisão periódica, principalmente antes de renovar o contrato ou de ativar um recurso novo.

Fontes

• ANPD: Autoridade Nacional de Proteção de Dados
• NIST AI Risk Management Framework
• OWASP: guia de autorização