IA generativa e LGPD: o que a sua empresa precisa saber

Sim, a LGPD (Lei Geral de Proteção de Dados) se aplica também quando sua empresa usa inteligência artificial generativa, como ChatGPT, Claude ou Gemini. A lei não faz exceção para ferramentas de IA: se um funcionário cola o nome, CPF, e-mail ou histórico de um cliente numa dessas plataformas, sua empresa continua sendo responsável por esse dado — e pode responder por vazamento, mesmo sem querer. Neste post explicamos, sem juridiquês, onde mora o risco e o que fazer para usar IA com tranquilidade.

Por que a LGPD “segue o dado”, não a ferramenta

Muita gente pensa que a LGPD só vale para sistemas internos — o ERP, o CRM, a planilha do financeiro. Não é bem assim. A Lei nº 13.709/2018 (LGPD) regula qualquer tratamento de dado pessoal, em qualquer meio, feito por qualquer empresa — inclusive quando esse dado passa por uma IA de terceiros. A lei não pergunta “que ferramenta você usou”, pergunta “o que aconteceu com o dado da pessoa”. Na prática, colar informação de cliente ou funcionário num chat de IA é, para efeitos legais, o mesmo que enviar esse dado para fora da empresa.

O que rola de verdade quando você digita um dado num ChatGPT gratuito

Quando um colaborador cola um contrato, uma planilha de clientes ou uma conversa de suporte na versão gratuita de uma IA generativa, esse texto sai do controle da empresa. Dependendo dos termos de uso da ferramenta, o conteúdo pode ser processado em servidores fora do Brasil e, em alguns casos, usado para treinar versões futuras do modelo. Não é acusação contra nenhuma IA específica — é como esse tipo de serviço gratuito costuma funcionar, e está descrito nos próprios termos de uso que quase ninguém lê.

Se você ainda não sabe direito a diferença entre as ferramentas de IA disponíveis hoje, vale entender primeiro o que é um LLM e como ChatGPT, Claude e Gemini funcionam — isso ajuda a enxergar por que cada uma trata seus dados de um jeito diferente.

A ANPD já está de olho na inteligência artificial

Isso não é papo de “pode acontecer um dia”. A Autoridade Nacional de Proteção de Dados (ANPD) já publicou notas técnicas específicas sobre tratamento de dados pessoais para treinar modelos de IA generativa, incluindo casos de empresas que usaram dados de terceiros sem base legal clara, e colocou a fiscalização de sistemas de IA entre os temas prioritários dos próximos anos. Ou seja: o órgão que fiscaliza a LGPD no Brasil já trata IA generativa como uma frente real de atenção — não é teoria de blog.

Quem responde se vazar um dado pessoal via IA? A sua empresa

Aqui vai o ponto que mais pega gestor de surpresa: perante a LGPD, sua empresa é a “controladora” do dado — ou seja, é ela quem decide o que fazer com aquela informação e quem responde por ela, mesmo que o vazamento tenha passado pela ferramenta de um terceiro. Culpar a IA não isenta a empresa. Da mesma forma que você seria responsável se um funcionário perdesse um HD com dados de clientes, você é responsável se esse mesmo dado for parar dentro de uma IA pública sem controle.

É por isso que blindar esse fluxo é, antes de tudo, uma questão de segurança digital — não só de “estar em dia com a lei”.

Advocacia e contabilidade: atenção redobrada

Se a sua empresa é um escritório de advocacia ou de contabilidade, o risco é ainda maior. Vocês lidam o dia inteiro com dados sensíveis de terceiros — processos, contratos, folha de pagamento, informação fiscal — protegidos também por sigilo profissional. Colar um trecho de processo ou uma planilha de clientes numa IA pública pode configurar quebra de sigilo e violação da LGPD ao mesmo tempo. Vale ter uma política clara de uso de IA antes que o problema apareça.

Boas práticas: como usar IA generativa sem dor de cabeça

A boa notícia é que dá para usar IA generativa com tranquilidade — não é preciso proibir a ferramenta, só usá-la com cuidado. Algumas práticas que recomendamos aos nossos clientes:

• Prefira ferramentas corporativas (pagas) a versões gratuitas — os planos empresariais de ChatGPT, Claude e Gemini costumam ter contratos de proteção de dados mais claros e, em geral, não usam seu conteúdo para treinar o modelo.
• Defina uma política simples de uso de IA — o que pode e o que não pode ser colado numa IA, por escrito, em linguagem clara para toda a equipe.
• Anonimize antes de colar — troque nome, CPF, e-mail e outros identificadores por termos genéricos sempre que der (ex.: “Cliente A” em vez do nome real).
• Controle quem acessa o quê — nem todo colaborador precisa de acesso a dados sensíveis para usar IA no dia a dia.
• Escolha ferramentas com histórico de conformidade — antes de adotar uma IA na empresa, veja como ela trata dados; nosso comparativo entre ChatGPT, Claude e Gemini para empresas ajuda nessa escolha.

Checklist rápido: sua empresa já está exposta?

Responda com sinceridade:

1. Algum colaborador já colou dado de cliente ou funcionário numa IA gratuita?
2. Existe hoje uma regra escrita sobre o que pode ir para uma IA generativa?
3. Sua empresa sabe quais ferramentas de IA os times já usam, mesmo sem aprovação formal?
4. Se a ANPD pedisse explicações amanhã, você teria como documentar o que foi feito?

“Não sei” em qualquer uma delas é sinal de que vale organizar o assunto antes que vire problema.

O papel da terceirização de TI nesse cenário

Colocar tudo isso em prática — política de uso, controle de acesso, escolha de ferramenta certa, documentação para a ANPD — dá trabalho, e a maioria das PMEs não tem um time interno dedicado a isso. É aqui que entra uma terceirização de TI bem-feita: alguém de fora que organiza a casa, define as regras com a equipe e cuida da segurança do dado no dia a dia, sem que você precise virar especialista em LGPD para dormir tranquilo. E se ainda restar dúvida de vocabulário — “controlador de dados”, “anonimização”, “base legal” — nosso glossário de TI para empresas traduz esses termos sem enrolação.

Em suma

Usar IA generativa não é o problema — usar sem cuidado, sim. A LGPD não impede sua empresa de aproveitar essas ferramentas para ganhar produtividade; ela só exige que o dado seja tratado com responsabilidade, dentro ou fora de um chat de IA. Com uma política simples, ferramentas certas e apoio de quem entende do assunto, dá para ter os dois: inovação e tranquilidade. Quer ajuda para colocar isso em prática na sua empresa? Falar com a Verum é o próximo passo.

Perguntas frequentes sobre IA generativa e LGPD

Usar ChatGPT na empresa é ilegal pela LGPD?
Não. Usar IA generativa não é ilegal em si. O problema é o que se coloca dentro dela: se um dado pessoal (de cliente, funcionário ou fornecedor) é inserido sem cuidado numa ferramenta gratuita, a empresa pode ser responsabilizada pelo tratamento inadequado desse dado — não pelo simples uso da IA.

Posso colar dados de clientes no ChatGPT para agilizar um trabalho?
O ideal é evitar. Se precisar usar a informação, anonimize antes (troque nomes e identificadores por termos genéricos) ou use uma ferramenta corporativa com contrato de proteção de dados. Colar dado real de cliente numa versão gratuita é o cenário de maior risco.

Quem é responsável se um dado vazar através de uma IA?
A empresa que coletou e usou o dado, não a fabricante da IA. Pela LGPD, sua empresa é a controladora da informação e responde por como ela foi tratada, mesmo quando o vazamento passa por uma ferramenta de terceiro.

Escritórios de advocacia e contabilidade têm risco maior?
Sim. Além da LGPD, esses escritórios lidam com sigilo profissional sobre dados de clientes (processos, contratos, informações fiscais). Colar esse tipo de conteúdo numa IA pública pode significar dupla violação — de sigilo e de proteção de dados.

O que uma empresa pequena deve fazer primeiro para se proteger?
Comece pelo básico: defina por escrito o que pode e o que não pode ser colado em IA, priorize ferramentas corporativas em vez de gratuitas e converse com um parceiro de TI para revisar o que já está em uso hoje, muitas vezes sem aprovação formal da liderança.