Posso colocar dados de clientes na IA? O que diz a LGPD
Dado pessoal de cliente não entra em ferramenta de IA sem contrato. CPF, RG, endereço, telefone, dados bancários e de cartão, dados de saúde e de crianças e listas completas de clientes ficam de fora. Mensagens e contratos entram com cuidado, com os nomes trocados por marcadores como "Cliente A". Textos sobre o próprio negócio e números agregados podem ser usados. Em caso concreto, fale com o advogado de confiança.
O semáforo
Tudo o que você cola numa ferramenta de IA na nuvem sai do seu computador. Em algumas ferramentas e planos, as conversas podem ser usadas para treinar modelos. Mesmo quando não são, você não controla para onde aquele dado foi.
| Sinal | O que entra |
|---|---|
| Pode usar | Textos sobre o próprio negócio, produtos, preços, pedidos gerais, números agregados ("30 clientes compraram em maio") |
| Com cuidado | Mensagens e contratos com nomes trocados ("Cliente A"), planilhas sem colunas que identifiquem pessoas, fotos sem o rosto de clientes |
| Não cole | CPF, RG, endereço, telefone, dados bancários e de cartão, dados de saúde e de crianças, listas completas de clientes |
Como tirar o nome de verdade
"Tirar o nome" é o começo, mas não basta. Trocar o nome e deixar o CPF não é anonimizar, e a lei trata o resultado como dado pessoal. Uma pessoa também pode ser identificada pelo conjunto de detalhes.
Antes de colar qualquer texto, passe por uma pequena lista: nomes de pessoas e empresas, documentos, telefones, e-mails, endereços, placas, datas exatas, valores que só uma pessoa teria e qualquer detalhe raro. Troque por marcadores fixos, como Cliente A e Fornecedor B, para a IA continuar entendendo quem é quem, e guarde a correspondência fora da conversa. "Maria Souza, CPF 000.000.000-00, da Rua das Flores, 12, reclamou que o boleto de R$ 1.837,42 veio em duplicidade" vira "Cliente A reclamou que um boleto de valor médio veio em duplicidade". Para escrever a resposta, a IA não precisa de mais do que isso.
O que a LGPD pede de quem usa IA
Usar IA não cria uma lei à parte: valem as mesmas obrigações de qualquer tratamento de dados. Para um pequeno negócio, cinco pontos pesam mais:
- Finalidade clara: o dado coletado para entregar um pedido não vira, sem mais nem menos, base para outro uso.
- Só o necessário: use o mínimo de dado que a tarefa pede.
- Dados sensíveis: saúde e religião, por exemplo, têm regras mais rígidas.
- Direitos do titular: ele pode pedir acesso, correção e exclusão.
- Transferência internacional: quase toda IA processa fora do país.
A LGPD prevê multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de advertência e bloqueio dos dados. Pequenos negócios também estão sujeitos à lei, com algumas regras simplificadas. Isto é orientação geral, não parecer jurídico: em caso concreto, fale com um advogado da área.
Se um dado vazou
Colou o que não devia? Não entre em pânico nem finja que não aconteceu. Combine este caminho antes de precisar dele:
O último passo tem prazo curto. Se houve incidente com risco ou dano relevante aos titulares, a ANPD e os afetados precisam ser comunicados em três dias úteis a partir do conhecimento de que dados pessoais foram atingidos, em dobro para agentes de pequeno porte.
Uma política de IA em uma página
Sem regra escrita, cada pessoa da equipe decide sozinha o que pode colar e onde. Uma política de uma página resolve, desde que todos leiam. Peça o rascunho em medium e adapte:
Comando para a sua IA
Escreva uma política de uso de IA de uma página para a minha empresa, [porte e setor], em linguagem simples. Inclua: ferramentas aprovadas; o que pode, o que pode com cuidado e o que nunca pode ser colado; quem confere o que sai para o cliente; como avisamos o cliente de que falou com uma IA; o que fazer em caso de erro ou vazamento, e com quem falar. Marque com [confirmar] tudo o que depender de decisão minha ou de orientação jurídica.
E abra hoje as configurações do seu assistente para ver se as conversas podem ser usadas para treinar o modelo.
No glossário LGPD Anonimizar Transferência internacional
Perguntas frequentes
O plano pago da IA protege os dados dos meus clientes?
Não automaticamente. Em geral, no plano gratuito ou individual o treinamento pode ser padrão; nos planos de equipe ou empresariais, não há treinamento por padrão e há contrato; na API, valem termos comerciais próprios. As regras variam de empresa para empresa e mudam com o tempo: confira os termos do seu plano.
Qual o prazo para comunicar um vazamento à ANPD?
Se o incidente traz risco ou dano relevante aos titulares, a ANPD e os afetados precisam ser comunicados em três dias úteis a partir do conhecimento de que dados pessoais foram atingidos, em dobro para agentes de pequeno porte. É orientação geral, não parecer jurídico: em caso concreto, fale com um advogado da área.
Posso usar IA para escolher candidatos ou aprovar crédito?
Com cuidado redobrado. O artigo 20 da LGPD dá ao titular o direito de pedir a revisão de decisões tomadas apenas por tratamento automatizado que afetem seus interesses. A IA organiza e aponta; uma pessoa decide, sabe explicar por quê e responde pela escolha. Confirme o seu caso com o advogado de confiança.