Ao final deste artigo você vai saber distinguir dado pessoal, dado pessoal sensível e dado anonimizado pela Lei Geral de Proteção de Dados, decidir o que pode e o que não deve ser colado em um assistente de IA como o ChatGPT, e anonimizar um texto antes de usá-lo.
Um aviso importante: este texto é educativo e foi escrito do ponto de vista de quem usa a ferramenta no dia a dia. Ele não é parecer jurídico e não substitui a orientação de um advogado ou do encarregado de dados (DPO) da sua organização. Cada empresa tem contratos, políticas e ferramentas diferentes, e a regra da sua empresa vale mais do que qualquer regra geral.
O que a LGPD considera dado pessoal?
A Lei 13.709/2018, a LGPD, define no art. 5º alguns termos centrais. Em linguagem simples:
- Dado pessoal (art. 5º, I): informação relacionada a uma pessoa natural identificada ou identificável. Nome, CPF, RG, endereço, telefone, e-mail, placa de carro ligada ao dono e foto são exemplos. Uma informação solta que, combinada com outras, permite descobrir quem é a pessoa também entra.
- Dado pessoal sensível (art. 5º, II): dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando ligado a uma pessoa. Laudo médico, atestado com CID, impressão digital e filiação sindical são exemplos.
- Dado anonimizado (art. 5º, III): dado de um titular que não pode ser identificado, considerando meios técnicos razoáveis e disponíveis na ocasião do tratamento.
Também importa o conceito de tratamento (art. 5º, X): praticamente qualquer coisa que se faça com o dado, como coletar, armazenar, consultar, transmitir ou compartilhar. Colar um dado em uma ferramenta de IA é tratamento. Os dados sensíveis têm regras mais rígidas no art. 11.
Colar um dado no ChatGPT é "compartilhar"?
Em termos práticos, você está enviando a informação para um serviço de terceiros, em geral hospedado fora da sua empresa. O que acontece depois depende do contrato e das configurações do plano: se há retenção da conversa, se os dados podem ser usados para melhorar o modelo e quem na empresa fornecedora pode acessá-los. Essas regras variam entre versões gratuitas, individuais e corporativas e mudam com o tempo. Por isso, a pergunta certa antes de colar qualquer dado de terceiros é: a minha empresa autorizou essa ferramenta para esse tipo de dado?
Se você é uma pessoa física usando para assuntos seus, a LGPD tem regra própria para uso particular e não econômico, mas ela não impede que você se exponha. Pense no que contaria a um estranho.
O que posso colocar com tranquilidade?
- Textos próprios sem dados de terceiros: um rascunho de e-mail, uma ideia de promoção, uma dúvida sobre Excel.
- Informação pública: um artigo de jornal, a lei, o texto de um site.
- Documentos internos sem dado pessoal e sem segredo de negócio, com autorização da empresa.
- Dados anonimizados de verdade, conforme explicado mais adiante.
O que não devo colocar?
A lista abaixo parte do bom senso e dos conceitos da lei. Na dúvida, não cole.
- Dados de clientes, funcionários, pacientes ou alunos que os identifiquem: nome com CPF, endereço, telefone, e-mail.
- Dados sensíveis: laudos, exames, atestados, dados biométricos, informações sobre religião, política ou orientação sexual.
- Dados de crianças e adolescentes. A LGPD trata de forma específica o tratamento de dados dessas pessoas, no art. 14.
- Dados financeiros: números de cartão, contas bancárias, extratos com nome.
- Credenciais: senhas, chaves de API, tokens de acesso.
- Segredos de negócio: contratos confidenciais, planilhas de custo e margem, código-fonte proprietário.
- Conversas e documentos que você recebeu com cláusula de confidencialidade.
Exemplos do dia a dia: uma atendente que cola o histórico de reclamação de um cliente com nome e telefone para pedir uma resposta educada está tratando dados pessoais. Um RH que cola o atestado de um colaborador para "resumir" está tratando dado de saúde, que é sensível. Um contador que cola o extrato de uma empresa cliente expõe informações financeiras de terceiros. Em todos esses casos a alternativa é anonimizar primeiro.
Como anonimizar antes de colar?
Anonimizar é remover ou trocar o que identifica a pessoa, de modo que ela não possa ser reconhecida por meios razoáveis. Um método simples em quatro passos:
- Troque nomes por papéis: "o cliente", "a funcionária", "o fornecedor A".
- Apague números identificadores: CPF, CNPJ de pessoa física, RG, telefone, e-mail, endereço completo, número de pedido.
- Generalize detalhes raros: troque "a gerente de 52 anos da filial de uma cidade pequena" por "uma gerente de filial". Combinações de detalhes podem identificar alguém.
- Releia o texto como um estranho leria e pergunte se é possível descobrir quem é.
Antes e depois, em um exemplo de atendimento.
Antes: "Maria Souza, CPF 000.000.000-00, comprou uma máquina de lavar no dia 03/10 e reclama que ela não liga. Telefone (35) 90000-0000."
Depois: "Uma cliente comprou uma máquina de lavar na semana passada e reclama que ela não liga. Escreva uma resposta cordial pedindo o número do pedido por canal seguro."
O pedido continua útil, e o dado pessoal não saiu da empresa. Cuidado: trocar o nome por um apelido ou por uma sigla da própria pessoa não anonimiza. Isso é pseudonimização, e o dado continua sendo pessoal se alguém puder reverter a troca com a tabela de correspondência. Pela lógica da lei, um dado só deixa de ser pessoal se o processo de anonimização não puder ser revertido por meios razoáveis.
E se a empresa tem uma versão corporativa do ChatGPT?
Planos corporativos de várias ferramentas costumam trazer controles de administração e compromissos contratuais sobre o uso dos dados. Isso melhora o cenário, mas não autoriza tudo. Pergunte ao TI ou ao encarregado de dados: quais tipos de dado podem entrar, por quanto tempo as conversas ficam guardadas, se há contrato de tratamento de dados com o fornecedor, e quem responde em caso de incidente. A LGPD exige que os agentes de tratamento adotem medidas de segurança (art. 46), e a organização responde por como trata os dados, mesmo quando usa um serviço de terceiros.
Quem decide a política na empresa pode ler o post política de uso de IA para pequenas empresas, no blog do site.
Checklist rápido antes de colar
- A ferramenta foi autorizada pela empresa para este tipo de dado?
- O texto tem nome, documento, contato ou endereço de alguém?
- Há dado de saúde, religião, política, biometria ou de criança?
- Há senha, chave ou segredo de negócio?
- Posso resolver a tarefa com o texto anonimizado?
- Vou conferir a resposta antes de usar, principalmente números e referências?
Se alguma resposta for "sim" para as perguntas de risco, anonimize ou não use a ferramenta nessa tarefa.
Para continuar
Para um uso seguro no dia a dia, leia Como usar o ChatGPT no trabalho. Se você é desenvolvedor e quer entender os riscos técnicos, como vazamento de dados em sistemas com IA, veja Segurança em aplicações com LLM. E para a questão de justiça e dados sensíveis em modelos, Viés em modelos de IA.
Fontes
- Lei nº 13.709, de 14 de agosto de 2018 (LGPD), art. 5º (incisos I, II, III e X), art. 11, art. 14 e art. 46: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Os conceitos foram resumidos pela equipe; o texto não pôde ser reaberto no momento da redação (falha de conexão em 09/10/2026) e deve ser conferido na revisão jurídica.
- Autoridade Nacional de Proteção de Dados (ANPD), orientações e guias: https://www.gov.br/anpd/pt-br
- Os exemplos de atendimento, RH e contabilidade são ilustrativos, criados pela equipe. Este texto não constitui parecer jurídico.