Posso colocar dados de clientes no ChatGPT? O que a LGPD diz

Posso colocar dados de clientes no ChatGPT? O que a LGPD diz

Pode, desde que a empresa tenha uma finalidade clara, uma base legal da LGPD, uma conta e um contrato adequados ao uso profissional e envie apenas o mínimo necessário. Em contas pessoais, com configuração padrão, o melhor é não enviar dados identificáveis de clientes. Dados sensíveis, dados de crianças e grandes volumes pedem análise formal antes de qualquer envio.

Principais pontos

• A LGPD não proíbe o uso de ferramentas de IA, mas exige finalidade, necessidade e base legal para cada tratamento de dados pessoais.
• O tipo de conta muda o risco: conta pessoal, plano empresarial e API têm condições de uso e de treinamento diferentes, e isso deve ser confirmado na documentação oficial do fornecedor.
• Retenção, histórico e treinamento são configurações que a empresa precisa decidir e registrar, não detalhes que cada funcionário resolve sozinho.
• Anonimizar de verdade é mais difícil do que apagar o nome; na dúvida, trate o dado como pessoal.
• Há casos em que a decisão correta é não enviar: dados sensíveis, documentos completos, e qualquer situação sem base legal ou contrato claros.

A LGPD proíbe usar o ChatGPT com dados de clientes?

Não. A Lei Geral de Proteção de Dados (Lei 13.709) regula o tratamento de dados pessoais, e colar o nome, o telefone ou o histórico de um cliente em uma ferramenta de IA é tratamento. Isso significa que as mesmas regras valem para esse uso e para qualquer outro: finalidade específica, adequação, necessidade, transparência, segurança e responsabilização, todos princípios do art. 6.

O erro mais comum é tratar o ChatGPT como um bloco de notas privado. Do ponto de vista jurídico, ele é um serviço de terceiro que recebe o dado. Dependendo do contrato, esse terceiro pode atuar como operador, e a empresa continua sendo a controladora, ou seja, quem responde perante o titular e perante a ANPD. Vale ler com calma o artigo sobre operador e controlador na LGPD para entender quem responde em cada arranjo.

Uma observação sobre fontes: neste texto, o que afirmamos sobre a lei vem do texto oficial; o que dizemos sobre o produto deve ser conferido na documentação do fornecedor, que muda com o tempo; e as recomendações de processo são experiência de implementação, não exigência legal. Nada aqui substitui a opinião do seu encarregado (DPO) ou de um advogado.

Qual base legal sustenta o envio de dados ao ChatGPT?

A LGPD não tem uma base legal específica para IA. Você usa as mesmas do art. 7 e precisa justificar a que se aplica ao caso concreto. As mais usadas em rotinas de empresa são:

• Execução de contrato: o dado é necessário para cumprir o que foi combinado com o cliente, por exemplo redigir uma resposta sobre um pedido em andamento.
• Legítimo interesse: a empresa tem um interesse legítimo e concreto, o titular não é surpreendido pelo uso e o tratamento respeita seus direitos. Exige avaliação documentada, o chamado teste de balanceamento.
• Cumprimento de obrigação legal ou regulatória: raramente se aplica a enviar o dado a uma IA, mas pode se aplicar à finalidade original.
• Consentimento: possível, mas frágil para esse caso, porque precisa ser específico, informado e revogável.

O ponto prático é que a base legal vale para a finalidade, não para a ferramenta. Se você coletou o telefone do cliente para entregar um serviço, usar esse dado para resumir uma conversa de suporte pode ser compatível. Usá-lo para treinar um modelo de terceiros ou para fins sem relação com o contrato provavelmente não é.

Dados pessoais sensíveis (saúde, origem racial ou étnica, convicção religiosa, dado biométrico, entre outros listados no art. 11) têm hipóteses mais restritas. Se o seu negócio lida com esse tipo de dado, a regra de partida é não enviar a uma ferramenta de IA sem análise jurídica prévia e sem um ambiente contratado para isso.

O tipo de conta muda o risco?

Muda bastante. Em termos gerais, e conforme a documentação pública da OpenAI (confira a página atual de privacidade para empresas, pois as condições mudam), os produtos se dividem assim:

• Contas individuais, gratuitas ou pagas: há controles de dados que o próprio usuário ajusta, incluindo a opção de permitir ou não que as conversas sejam usadas para melhorar os modelos. A empresa não tem gestão central, não vê quem configurou o quê e não controla o que cada pessoa faz.
• Planos para equipes e empresas: costumam ter administração central, termos comerciais próprios e, segundo a documentação, tratamento diferente em relação a treinamento. É o mínimo para qualquer uso recorrente com dados de clientes.
• API: voltada a integração com sistemas, com termos próprios para desenvolvedores e empresas. Dá mais controle sobre o que entra e o que fica registrado do seu lado, mas exige engenharia.

A diferença decisiva não é só técnica, é contratual. Em conta pessoal, o aceite é do indivíduo, não da empresa. Se o funcionário cola dados de clientes ali, a empresa perdeu a capacidade de provar finalidade, limitar acesso e atender pedidos de titulares. Isso é um problema de governança, e é por isso que uma política de uso de ChatGPT na empresa vem antes de qualquer treinamento.

Também avalie a transferência internacional. Se o fornecedor trata dados fora do Brasil, o art. 33 exige um mecanismo válido para essa transferência. Peça ao fornecedor a informação sobre localização do tratamento e cláusulas contratuais, e registre a resposta.

O que configurar em retenção, histórico e treinamento?

Mesmo em plano empresarial, existem decisões a tomar. Uma lista de verificação para o administrador:

• Treinamento: confirmar, na documentação e no contrato, se os dados enviados são ou não usados para melhorar modelos, e desativar a opção quando ela existir e for ajustável.
• Histórico: decidir se as conversas ficam salvas para os usuários e por quanto tempo, considerando que histórico é mais um repositório de dados pessoais a proteger e a eliminar.
• Conversas temporárias: recursos desse tipo reduzem o que fica visível ao usuário, mas não significam necessariamente que o fornecedor não guarda nada. Leia o que a documentação diz sobre retenção para segurança e obrigações legais.
• Acessos: usar login corporativo, autenticação forte e remover contas de quem saiu da empresa.
• Exportação e exclusão: saber como apagar um conteúdo específico caso um titular peça eliminação (art. 18) ou caso o envio tenha sido indevido.
• Registro: manter um registro das operações de tratamento (art. 37) que inclua o uso da ferramenta, a finalidade e os tipos de dados.

O objetivo dessa lista é poder responder, sem improviso, a três perguntas: onde esse dado foi parar, quem teve acesso e como eu o retiro. Se a resposta depender de memória de alguém, a configuração ainda não está pronta.

Anonimizar basta? Como reduzir o dado antes de enviar

A LGPD define dado anonimizado como aquele que não permite identificar o titular, considerando meios técnicos razoáveis na data do tratamento. Dado anonimizado, em regra, sai do alcance da lei. O problema é que, na prática de empresa, quase nada é anonimizado de verdade: apagar o nome mas deixar o CPF, o endereço, o número do pedido ou uma combinação de detalhes raros ainda permite identificar a pessoa. Nesse caso, o dado é apenas pseudonimizado, e continua sendo pessoal.

Uma ordem de redução que costuma funcionar:

• Não envie o que a tarefa não precisa. Para melhorar o tom de uma resposta, o nome do cliente é dispensável.
• Troque identificadores por marcadores, como Cliente A, Pedido X e Cidade Y, mantendo a tabela de correspondência apenas dentro dos seus sistemas.
• Generalize: no lugar de uma data exata e um endereço, use mês e região.
• Remova trechos livres que carreguem identificação, como assinaturas de e-mail, anexos e áudios transcritos.
• Revise antes de enviar. Um segundo par de olhos, ou uma verificação automática de padrões como CPF, e-mail e telefone, pega o que passou.

Cenário ilustrativo: uma loja precisa de ajuda para responder a uma reclamação sobre atraso na entrega. Em vez de colar o e-mail completo, o atendente envia o texto com marcadores: Cliente A reclama que o pedido X, feito há duas semanas, não chegou, e já recebeu duas respostas padrão. A IA sugere um rascunho; o atendente insere os dados reais no sistema da loja e envia pelo canal oficial. O ganho de redação foi aproveitado sem que nome, endereço ou telefone saíssem da empresa.

Quando é melhor não enviar?

Há situações em que o benefício de produtividade não compensa o risco, e a resposta mais profissional é manter o dado fora. Evite enviar quando:

• Houver dado sensível, como informações de saúde, biometria ou religião, sem ambiente contratado e análise jurídica.
• Houver dados de crianças e adolescentes, que exigem atenção reforçada (art. 14).
• O conteúdo for documento completo: contrato, prontuário, extrato, RG, CNH, comprovante de residência.
• Não houver conta empresarial, contrato ou política interna que autorize aquele uso.
• A finalidade for decidir algo relevante sobre a pessoa (crédito, contratação, cancelamento) sem revisão humana. Nesse caso, veja também o direito de revisão previsto no art. 20, tratado em decisões automatizadas na LGPD.
• O dado estiver sob sigilo contratual com o cliente ou sob dever de confidencialidade profissional.
• O volume for grande. Colar uma planilha inteira de clientes é o caso de maior risco e o de menor necessidade, porque quase sempre existe uma forma de pedir ajuda à IA sem os dados reais.

Se o uso for frequente e envolver dados pessoais em escala, pode ser necessário elaborar um relatório de impacto, o RIPD (art. 38). O artigo sobre RIPD para projetos de IA explica quando isso se aplica e o que incluir.

Plano em cinco passos para decidir e documentar

Para sair do "cada um faz como quer" e chegar a uma regra que a empresa consiga defender, siga esta sequência. Ela reflete o método de trabalho que usamos em projetos de IA: mapear, limitar, pilotar e transferir.

• Mapear: liste os usos reais do ChatGPT hoje, por área, e quais dados de clientes aparecem em cada um. Pergunte às equipes, não presuma. Muitas vezes o uso existe em contas pessoais e ninguém declarou.
• Limitar: para cada uso, defina os campos permitidos, os proibidos e a conta autorizada. Escolha a base legal e registre. Cada tarefa deve ter o mínimo de dados necessário.
• Configurar: ajuste a conta empresarial (treinamento, histórico, acessos), revise o contrato com o fornecedor e verifique a transferência internacional.
• Pilotar: escolha um fluxo real, com poucas pessoas, registro do que foi enviado e uma métrica combinada de sucesso, como tempo de resposta ou taxa de retrabalho. Revise os registros para ver se alguém enviou o que não devia.
• Transferir: entregue o resultado com regras escritas, treinamento curto e um responsável definido. Depois decida se amplia, ajusta ou encerra. Parar também é um resultado válido.

Para a primeira etapa, o texto sobre o que não delegar à inteligência artificial na empresa ajuda a separar tarefas em que a IA apoia daquelas em que a decisão e o dado devem permanecer com pessoas.

Perguntas frequentes

Posso colar o e-mail de um cliente no ChatGPT para pedir um rascunho de resposta? Em conta empresarial, com finalidade ligada ao atendimento e dados reduzidos ao necessário, geralmente é defensável. Em conta pessoal, a recomendação é não fazer. O caminho mais seguro é trocar nome, contato e identificadores por marcadores e reinserir os dados reais só no seu sistema.

Preciso avisar o cliente de que uso IA no tratamento dos dados dele? A LGPD exige transparência sobre a finalidade e sobre com quem os dados são compartilhados. Por isso, a política de privacidade deve descrever o uso de fornecedores de tecnologia e de IA de forma compreensível. A forma exata do aviso deve ser validada com o seu encarregado ou advogado, de acordo com o caso.

Se um funcionário enviou dados de clientes por engano, o que fazer? Registre o ocorrido, identifique quais dados e de quantas pessoas, apague o conteúdo quando a ferramenta permitir e avise o encarregado. Se houver risco ou dano relevante aos titulares, pode ser necessário comunicar a ANPD e as pessoas afetadas, conforme as orientações da própria autoridade. Depois, use o caso para corrigir a regra, não para procurar culpado.

Anonimizar os dados resolve a questão da LGPD? Só se a anonimização for efetiva, ou seja, se ninguém conseguir identificar o titular com meios razoáveis. Na rotina de empresa, o que se faz quase sempre é pseudonimização, e o dado continua sendo pessoal. Por isso, mantenha base legal, contrato e configuração adequados mesmo quando reduzir os identificadores.

Fontes

• Lei Geral de Proteção de Dados Pessoais (Lei 13.709), texto oficial
• ANPD: Autoridade Nacional de Proteção de Dados