IA e LGPD: posso colocar dados de clientes no ChatGPT?

Seu time já usa IA. Talvez você tenha autorizado, talvez não. Em qualquer dos casos, a dúvida é a mesma: IA e LGPD combinam, ou cada pergunta feita ao ChatGPT é um risco para o negócio?

O medo tem fundamento. Mas o risco não está em "usar IA ou não usar". Ele depende de três coisas: qual versão da ferramenta, qual dado e qual contrato.

Este texto separa as três e termina com cinco regras que sua empresa pode adotar. Ele explica o que a lei e os fornecedores dizem; não é parecer jurídico, e a DIX7 não é escritório de advocacia.

Antes de seguir, uma definição. Dado pessoal é toda informação relacionada a pessoa natural identificada ou identificável, conforme o art. 5, I, da Lei 13.709/2018 (LGPD). Nome, CPF, e-mail e telefone de um cliente são exemplos.

Dado de cliente colado em uma IA é tratamento de dado pessoal?

Sim. Pela definição acima, nome, CPF, e-mail, telefone e histórico de compras costumam entrar na categoria de dado pessoal.

A lei também define tratamento como toda operação com esses dados, incluindo coleta, transmissão, processamento, armazenamento e eliminação (art. 5, X). A lei não cita IA. A conclusão de que colar dados em um chat é tratamento é uma leitura direta do conceito.

E quem responde? O Guia Orientativo da Agência Nacional de Proteção de Dados (ANPD) sobre agentes de tratamento explica que funcionários agem sob o poder diretivo da empresa e não são controladores nem operadores.

Pela leitura da DIX7, a empresa responde pelo que a equipe faz em nome dela, porque o guia trata o funcionário como parte da empresa, e não como agente separado. O art. 42 da LGPD manda reparar o dano causado em violação da lei, e o juiz pode inverter o ônus da prova em certas condições. O art. 43 prevê exceções, como provar que não houve violação.

A lei também prevê advertência, publicização da infração, bloqueio ou eliminação dos dados, suspensão parcial do banco de dados, suspensão do exercício da atividade de tratamento e proibição parcial ou total de atividades de tratamento.

Conta gratuita e plano empresarial tratam os dados do mesmo jeito?

Não. Esta diferença pesa muito, e ela vem da política de cada fornecedor. As informações abaixo foram lidas nos sites oficiais em 20/10/2026. Essas políticas mudam, então confira a página do fornecedor antes de decidir.

Planos empresariais e API

• OpenAI, ChatGPT Business, Enterprise, Edu e API: por padrão, entradas e saídas não são usadas para treino. A OpenAI diz apoiar clientes na assinatura de um acordo de tratamento de dados (DPA). Na API, a página de controles de dados cita logs de monitoramento de abuso mantidos por até 30 dias, com exceções como a retenção zero de dados para clientes elegíveis. Ou seja, "não treina" não quer dizer "nada fica guardado". Fonte: páginas de privacidade empresarial e de controles de dados da OpenAI, lidas em 20/10/2026.

• Anthropic, produtos comerciais (Claude for Work e API): por padrão, não usa entradas e saídas para treinar modelos, salvo se o cliente reportar feedback ou permitir. Fonte: Central de Privacidade da Anthropic, versão de 18/08/2026, lida em 20/10/2026.

• Google Workspace: o conteúdo do cliente não é usado para treinar os modelos fora do Workspace sem permissão. Se um usuário com conta pessoal compartilhar dados com o aplicativo Gemini, valem os termos desse serviço. A página reserva alguns compromissos do Gemini a clientes com planos de IA do Google, então confira a edição do seu contrato. Fonte: ajuda do Google Docs, lida em 20/10/2026.

Contas individuais

• OpenAI, contas individuais (Free, Plus, Pro): o conteúdo pode ser usado para treinar modelos. Dá para desligar a opção em Configurações, mas o polegar de feedback pode levar a conversa inteira ao treino mesmo com a opção desligada. Conversas temporárias não são usadas para treino. Fonte: central de ajuda da OpenAI, lida em 20/10/2026.

• Anthropic, contas de consumo: as conversas são usadas para melhorar modelos se o usuário permitir, se forem sinalizadas para revisão de segurança ou se houver adesão explícita. O polegar de feedback faz a conversa inteira ser guardada por até 5 anos. Fonte: Central de Privacidade da Anthropic, versão de 16/03/2026, lida em 20/10/2026.

• Gemini, uso individual: a página de privacidade do Google diz que o conteúdo pode ser usado para melhorar os serviços, conforme as configurações. Mesmo com a atividade desligada, o Google usa os chats para responder e proteger o serviço, inclusive com revisão humana. Os dados revisados por prestadores ficam desconectados da conta e são guardados por até 3 anos, e o Google pede que não se digitem informações confidenciais que você não queira que um revisor veja. Fonte: Gemini Apps Privacy Hub, lida em 20/10/2026.

O que muda na prática: nos planos empresariais e na API, os fornecedores lidos dizem não treinar com seus dados por padrão.

Nas contas individuais, as regras variam por fornecedor e por configuração, e pagar um plano individual não muda isso: a própria OpenAI inclui Plus e Pro entre as contas em que o conteúdo pode treinar modelos. Nada disso substitui ler o contrato da sua empresa.

IA e LGPD: o que a lei exige de quem usa IA, e o que ela não diz?

A LGPD exige princípios e responsabilidade. Ela não traz um capítulo sobre IA. Três regras importam no dia a dia:

1. Finalidade e necessidade (art. 6): use o dado só para o que foi coletado e só o mínimo necessário. Se a IA resume um chamado sem precisar do CPF, não mande o CPF.

2. Base legal (arts. 7 e 11): todo tratamento precisa de uma hipótese prevista em lei. Dado sensível, como saúde, biometria ou opinião política, tem lista própria e mais restrita.

3. Segurança (arts. 46 e 48): a empresa deve adotar medidas técnicas e administrativas e comunicar à ANPD e ao titular um incidente com risco ou dano relevante.

E o que a ANPD diz especificamente sobre IA? Até 20/10/2026, nas páginas da ANPD que lemos, não consta guia geral sobre uso de IA generativa por empresas. Constam notas técnicas e documentos orientativos de casos específicos, como a de 2024 sobre o plano de conformidade da Meta, e um estudo técnico.

A ANPD também incluiu inteligência artificial entre os quatro temas prioritários de fiscalização do biênio 2026-2027 (Mapa de Temas Prioritários; Resolução CD/ANPD nº 30/2025).

Por isso, não existe "IA aprovada pela LGPD". A lei não certifica ferramentas. Vale a lei geral, aplicada ao seu uso.

Mandar dados para uma IA é transferência internacional?

Pode ser, e depende de onde o fornecedor processa e guarda os dados. Quando o dado vai para o exterior, o art. 33 da LGPD só permite a transferência em casos listados, como país com grau de proteção adequado, cláusulas contratuais com garantias ou consentimento específico e em destaque.

A Resolução CD/ANPD nº 19, de 23/08/2024, aprovou o regulamento de transferência internacional e as cláusulas-padrão contratuais. Quem usa essas cláusulas deve adotar o texto integralmente.

Nós não verificamos o que cada fornecedor faz nesse ponto. A regra é perguntar a ele: onde o dado é processado, onde fica armazenado e sob qual mecanismo a transferência acontece.

Sobre residência de dados, a OpenAI lista regiões para clientes elegíveis de Enterprise, Edu, Healthcare e API, e o Brasil não consta na lista lida em 20/10/2026. Isso não vale para conta pessoal.

O que acontece quando o vazamento vem de dentro?

Pode acontecer sem má intenção, como no caso público da Samsung. Em abril de 2023, segundo a KED Global, a Samsung proibiu ChatGPT, Bard e Bing em um de seus setores depois de um vazamento de código-fonte interno, causado por um engenheiro que enviou esse código ao ChatGPT para checar erros.

O memo, de 28/04/2023, falava em restrição temporária até haver um ambiente seguro. É jornalismo, não comunicado da empresa, e serve aqui como exemplo público, não como caso de cliente da DIX7.

Nossa leitura, que é opinião da DIX7 e não fato da reportagem: a proibição total é uma resposta cara, e a Samsung mesma a tratou como temporária enquanto preparava um ambiente seguro. A resposta melhor tende a ser dar à equipe uma ferramenta aprovada e uma regra clara.

Exemplo ilustrativo: a clínica que resume mensagens de pacientes

Situação hipotética, não é caso de cliente. Uma clínica pequena quer usar IA para resumir mensagens de pacientes. A recepcionista cola o texto em uma conta gratuita e pessoal. O texto traz nome e queixa de saúde, que é dado sensível.

Mesmo com boa intenção, a clínica enviou dado sensível a uma ferramenta sem contrato, sem base legal revisada e sem necessidade. A solução não é proibir a IA. É definir uma ferramenta empresarial, anonimizar o texto antes e pedir a quem cuida de proteção de dados ou ao jurídico que revise a base legal.

Quais regras práticas definem o que pode e o que não pode entrar na IA?

Cinco regras formam uma mini-política de uso. Use como ponto de partida e peça ao jurídico que a ajuste.

1. O que entra: dados públicos e internos sem informação pessoal (textos de marketing, rascunhos, perguntas gerais). Dado pessoal só se houver necessidade, base legal e ferramenta aprovada.

2. O que não entra: dado sensível (saúde, biometria, opinião política etc.), senhas, chaves, contratos confidenciais e código-fonte sem aprovação. Na dúvida, não entra.

3. Qual ferramenta: só plano empresarial ou API com termos lidos. Conta pessoal e gratuita fica fora do trabalho com dado de cliente.

4. Quem aprova: uma pessoa define a lista de ferramentas e os casos de uso. Quem quiser testar outra ferramenta pede antes.

5. Como registrar: guarde quem usa o quê, para qual finalidade e com qual tipo de dado. Esse registro ajuda a responder a um titular ou a uma fiscalização.

O guia de IA para empresas traz o resumo dos cuidados com dados; esta é a versão detalhada.

Se a ideia é criar um assistente com dados próprios, veja a pergunta sobre dados de clientes no GPT personalizado e as regras de LGPD no agente de IA para atendimento.

Quando chamar o jurídico ou o encarregado?

Chame antes de enviar dado sensível, antes de assinar o contrato de uma ferramenta e sempre que houver incidente. A LGPD prevê a figura do encarregado, a pessoa indicada para ser o canal com os titulares e com a ANPD.

Microempresas, empresas de pequeno porte e startups podem estar dispensadas de indicar um encarregado, mas devem manter um canal de comunicação com o titular, segundo a Resolução CD/ANPD nº 2/2022 (art. 11). A dispensa não vale para tratamento de alto risco (art. 3) e não afasta as bases legais e os princípios da LGPD (art. 6). Se você não tem encarregado, leve a dúvida ao seu advogado ou a quem cuida de proteção de dados na empresa.

Esta resposta é geral e não cobre o seu caso: um parecer só sai de quem conhece o seu contrato e o seu dado.

A DIX7 atua antes dessa etapa: ajuda a desenhar o uso de IA, com governança, para que o jurídico receba um desenho claro para conferir. É o que o nosso serviço de Super Inteligência e IA para empresas faz na consultoria.

Aqui, "Super Inteligência" é o nome da nossa proposta: a camada que une os dados da empresa, modelos de IA, automações e as pessoas certas. Não é a "superinteligência" da imprensa, que fala de uma IA acima do humano.

Próximo passo

Se você quer usar IA reduzindo a exposição de dados de clientes, comece por um diagnóstico. A consultoria em IA da DIX7 entrega diagnóstico, roadmap priorizado e governança com LGPD, para descobrir onde a IA gera mais impacto na sua empresa e quais regras de uso ela pede. Fazer meu diagnóstico: respondemos em até 72 horas úteis. A conversa não substitui a revisão do seu advogado.

Fontes

• Lei 13.709/2018 (LGPD), texto compilado, Planalto (lida em 20/10/2026)

• ANPD, Guia Orientativo para definições dos agentes de tratamento de dados pessoais e do encarregado (versão 2.0, 2022) (lida em 20/10/2026)

• ANPD, Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte) (lida em 20/10/2026)

• ANPD, Documentos Técnicos e Orientativos (lida em 20/10/2026)

• ANPD, Mapa de Temas Prioritários 2026-2027 (lida em 20/10/2026)

• ANPD, Resolução CD/ANPD nº 19/2024 (lida em 20/10/2026)

• OpenAI, como seus dados são usados para melhorar os modelos (lida em 20/10/2026)

• OpenAI, apagar e arquivar conversas (lida em 20/10/2026)

• OpenAI, Business data (lida em 20/10/2026)

• OpenAI Platform, Data controls (lida em 20/10/2026)

• Anthropic, uso de dados para treino (consumo) (lida em 20/10/2026)

• Anthropic, uso de dados para treino (comercial) (lida em 20/10/2026)

• Google, proteção de dados do Gemini no Workspace (lida em 20/10/2026)

• Google, Gemini Apps Privacy Hub (lida em 20/10/2026)

• KED Global, Samsung e o uso de IA generativa, 02/05/2023 (lida em 20/10/2026)