A inteligência artificial generativa já faz parte da rotina de muitas empresas: resume contratos, revisa comunicações, organiza bases de conhecimento, auxilia na análise de documentos e acelera tarefas administrativas. O ganho de eficiência, porém, não elimina as responsabilidades jurídicas associadas às informações inseridas nessas ferramentas. Sempre que um comando contém dados pessoais, segredos comerciais, estratégias, documentos internos ou informações protegidas por dever de sigilo, o uso da IA deixa de ser apenas uma decisão de produtividade e passa a ser também uma decisão de governança, segurança e conformidade.
A Lei Geral de Proteção de Dados Pessoais (LGPD) nomeia como “tratamento” um conjunto amplo de operações, que inclui acesso, uso, transmissão, distribuição, armazenamento e processamento. Assim, copiar informações para uma ferramenta de IA pode configurar uma nova operação de tratamento, sujeita aos princípios da finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização. A pergunta central não é apenas “a IA consegue fazer isso?”, mas “a empresa pode, deve e consegue demonstrar que fez isso de modo seguro e legítimo?”.
- Você apagou o nome do cliente. Mas quantas informações ainda são suficientes para identificá-lo?
Remover o nome não torna necessariamente um conjunto de informações anônimo. Um cliente pode ser identificado pela combinação de cargo, cidade, setor, faixa de faturamento, datas, detalhes de um contrato, histórico de atendimento ou características de um caso concreto. Se a identificação puder ocorrer com esforço razoável, diretamente ou mediante cruzamento com outras fontes, ainda pode haver dado pessoal sob a LGPD.
Por isso, a empresa deve distinguir três técnicas. A primeira é a supressão, que apenas retira campos óbvios. A segunda é a pseudonimização, que reduz a associação direta, mas permite reidentificação com informação adicional. A terceira é a anonimização efetiva, em que a reversão não é razoavelmente viável. Antes de usar IA, convém testar o risco de reidentificação considerando o conteúdo completo do comando, os anexos e o contexto disponível ao fornecedor.
- Sua empresa pode acessar esses dados. Mas isso significa que pode compartilhá-los com uma IA?
Não. A autorização para acessar informações internamente não equivale a uma autorização irrestrita para transmiti-las a um terceiro. É necessário verificar a finalidade original da coleta, a base legal aplicável, os deveres contratuais, o sigilo profissional, as políticas internas e a expectativa legítima do titular. Também importa saber qual papel o fornecedor da IA desempenha na operação e se utilizará o conteúdo apenas para prestar o serviço ou também para finalidades próprias, como treinamento, avaliação ou melhoria de modelos.
A análise deve ser ainda mais rigorosa quando houver dados pessoais sensíveis, informações de crianças e adolescentes, dados financeiros, prontuários, documentos trabalhistas, estratégias comerciais ou materiais sujeitos a segredo de justiça ou dever profissional de confidencialidade. O princípio da necessidade recomenda enviar somente o mínimo indispensável. Quando o resultado puder ser obtido com dados fictícios, agregados ou devidamente anonimizados, não há justificativa para expor dados reais.
- Você sabe quem mais pode ter acesso às informações que sua empresa compartilha com uma IA?
A cadeia de tratamento pode envolver o fornecedor da aplicação, a empresa que hospeda a infraestrutura, suboperadores, equipes de suporte, prestadores de moderação e entidades localizadas em outros países. A política de privacidade exibida ao usuário final raramente substitui uma análise contratual adequada. A empresa deve conhecer os fluxos de dados, as categorias de destinatários, os locais de armazenamento, os prazos de retenção e as hipóteses em que pessoas poderão revisar o conteúdo.
Também é necessário avaliar eventual transferência internacional de dados. Isso inclui identificar os países envolvidos e conferir se o mecanismo utilizado atende à LGPD e à regulamentação da ANPD (Agência Nacional de Proteção de Dados). Contratos empresariais devem disciplinar confidencialidade, finalidade, subcontratação, segurança, cooperação no atendimento aos titulares, comunicação de incidentes, devolução ou eliminação dos dados e auditoria.
- Se um funcionário compartilhar dados confidenciais com uma IA, sua empresa conseguiria descobrir?
Sem mecanismos de prevenção e registro, a resposta muitas vezes é negativa. Contas pessoais, aplicativos não homologados e extensões de navegador podem criar uma zona invisível de tratamento de dados. A empresa só consegue responder adequadamente a um incidente se souber quais ferramentas são utilizadas, quais informações circulam e quem realizou cada operação.
A governança deve combinar política clara de uso aceitável, classificação da informação, perfis de acesso, soluções corporativas homologadas, registros compatíveis com a finalidade e treinamento contínuo. Controles técnicos podem incluir bloqueio de aplicações não autorizadas, alertas para conteúdo sensível e trilhas de auditoria. O monitoramento, contudo, deve ser proporcional, transparente e compatível com a legislação trabalhista e de proteção de dados; não se trata de vigiar indiscriminadamente, mas de criar capacidade de prevenção, detecção, investigação e resposta.
- Sua empresa sabe quais direitos mantém sobre os dados depois de enviá-los a uma ferramenta de IA?
Os termos de uso e o contrato precisam ser lidos com atenção. É essencial compreender quais licenças são concedidas ao fornecedor sobre os comandos, arquivos e resultados; se os conteúdos podem ser usados para treinamento; como funciona a exclusão; por quanto tempo permanecem cópias de segurança; e se a empresa consegue exportar ou recuperar seus dados. A titularidade contratual de um arquivo não elimina os direitos dos titulares de dados pessoais nem autoriza a empresa a dispor livremente de informações de terceiros.
Também é recomendável definir quem responde por resultados incorretos, exposição indevida, violação de direitos de terceiros e indisponibilidade do serviço. A empresa deve evitar depender de promessas comerciais genéricas e exigir cláusulas coerentes com o risco da operação. Configurações de privacidade favoráveis ajudam, mas não corrigem uma transmissão que já era desnecessária ou juridicamente incompatível com a finalidade original.
Um roteiro mínimo antes de autorizar o uso
• Mapeie o caso de uso: defina a tarefa, a finalidade, os usuários e as categorias de dados envolvidas.
• Reduza os dados: prefira informações fictícias, agregadas ou anonimizadas e exclua detalhes desnecessários.
• Valide a legitimidade: verifique base legal, contratos, deveres de sigilo e compatibilidade com a finalidade original.
• Avalie o fornecedor: examine retenção, treinamento de modelos, suboperadores, segurança, transferências internacionais e exclusão.
• Formalize regras internas: estabeleça ferramentas autorizadas, usos proibidos, alçadas de aprovação e procedimento para incidentes.
• Mantenha evidências: documente avaliações de risco, decisões, contratos, treinamentos e revisões periódicas.
O maior risco não está na inteligência artificial em abstrato, mas no uso sem consciência sobre quais dados entram, para onde vão, por quanto tempo permanecem e quem assume as consequências. As cinco perguntas deste artigo funcionam como um teste de maturidade: se a empresa não consegue respondê-las com clareza, ainda não possui elementos suficientes para autorizar o compartilhamento.
Adotar IA com responsabilidade não significa impedir a inovação. Significa criar critérios para que produtividade, confidencialidade e proteção de dados avancem juntas. Uma política eficaz deve tornar o caminho seguro mais fácil que o improviso — com ferramentas adequadas, contratos consistentes, capacitação e supervisão proporcional ao risco.
Referências
• Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais.
• ANPD — Radar Tecnológico nº 3: Inteligência Artificial Generativa.
• ANPD — Estudos técnicos sobre anonimização e outros documentos orientativos.
• ANPD — Regulamentações, incluindo transferência internacional e comunicação de incidentes.