LGPD e IA no Trabalho: O Que Não Colar no ChatGPT e Similares
Conteúdo feito por pesquisa: preços, limites e recursos foram conferidos nas páginas oficiais de cada ferramenta. Não testamos as ferramentas com uma empresa real; quando testamos, dizemos no texto. Como avaliamos.
Alguém do time cola uma planilha de clientes no chat de uma ferramenta de IA para pedir "um resumo rápido". O resumo sai em segundos, e ninguém pergunta para onde foram aqueles nomes, e-mails e telefones. Este guia explica o que a Lei Geral de Proteção de Dados (LGPD) diz sobre isso e como usar IA no trabalho sem expor dados de terceiros. É conteúdo educativo, não aconselhamento jurídico.
Resposta rápida
- Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável (art. 5º, I, da LGPD). Nome, e-mail, telefone e CPF entram.
- Dado sensível tem lista fechada na lei, e o tratamento dele só é permitido em hipóteses mais restritas (art. 11).
- Antes de colar qualquer texto numa ferramenta de IA, pergunte: dá para identificar alguém por isso? Se sim, troque os dados por marcadores ou não cole.
- A lei fixa números concretos: 15 dias para responder a um pedido de acesso completo, 3 dias úteis para comunicar um incidente à ANPD e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
- Pequenas empresas têm flexibilizações, como prazos em dobro, mas não ficam isentas dos princípios e das bases legais.
Quem é quem: controlador e operador
A LGPD usa dois termos que aparecem o tempo todo. O controlador é a pessoa natural ou jurídica a quem competem as decisões sobre o tratamento dos dados pessoais. O operador é quem trata os dados em nome do controlador (art. 5º, VI e VII).
Quando a sua empresa decide usar uma ferramenta de IA com dados de clientes, é ela quem decide o que enviar e para quê. Por isso, em regra, a empresa é a controladora. O fornecedor da ferramenta pode ser operador, quando trata os dados só para prestar o serviço, ou também controlador, se decidir usar o conteúdo para fins próprios, como treinar o modelo. A lei ainda prevê responsabilidade solidária: o operador responde junto quando descumpre a legislação ou as instruções lícitas do controlador, e os controladores diretamente envolvidos no tratamento que causou o dano respondem juntos (art. 42, § 1º). Seja qual for o papel do fornecedor, a escolha do que colar no chat continua sendo da empresa.
Semáforo de dados: o que pode, o que pede cuidado e o que evitar
Um jeito simples de decidir é classificar a informação antes de enviar. A tabela é uma organização nossa, não um texto de lei; só a última linha reproduz uma lista legal.
| Categoria | Exemplos | O que fazer |
|---|---|---|
| Pode | Texto próprio sem dados de terceiros, dúvida técnica, rascunho de artigo, ideia de campanha | Sem dado pessoal e sem segredo do negócio, pode enviar |
| Peça cuidado | Trechos de e-mail com nomes, comentário de cliente, números internos de vendas | Troque nomes e contatos por marcadores antes de enviar |
| Evite enviar | Lista de clientes, CPF, endereço completo, dados de pagamento, prontuário, documento de identidade | Não cole; use só versões anonimizadas |
| Lista legal de dados sensíveis | Origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico | Não cole; o tratamento só é permitido nas hipóteses do art. 11 |
A última linha segue o art. 5º, II, da LGPD, que define dado sensível como o dado pessoal sobre esses temas "quando vinculado a uma pessoa natural". Para eles, o art. 11 exige, como regra, consentimento "de forma específica e destacada, para finalidades específicas", ou uma das hipóteses em que o tratamento é indispensável, como o cumprimento de obrigação legal. Colar o prontuário de um cliente num chat para pedir um resumo não se encaixa em nenhuma das duas.
Os números que a lei e a ANPD fixam
A LGPD é conhecida por princípios, mas também tem prazos e valores concretos. Eles ajudam a medir o tamanho do problema quando um dado vaza por descuido. Os valores abaixo foram conferidos nos textos oficiais em 15/10/2026:
| Obrigação | Prazo ou valor | Pequena empresa | Onde está |
|---|---|---|---|
| Responder ao titular que pede acesso completo aos dados dele | Até 15 dias da data do pedido | Prazo em dobro | LGPD, art. 19, II; Resolução CD/ANPD nº 2/2022, art. 14 |
| Comunicar à ANPD um incidente de segurança com risco relevante | 3 dias úteis | 6 dias úteis (prazo em dobro) | Resolução CD/ANPD nº 15/2024, art. 6º |
| Completar as informações do incidente comunicado | Até 20 dias úteis depois da comunicação | Prazo em dobro | Resolução CD/ANPD nº 15/2024, art. 6º, § 3º |
| Multa simples por infração | Até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração | Mesma regra | LGPD, art. 52, II |
Os prazos de incidente estão na Resolução CD/ANPD nº 15/2024, publicada em abril de 2024, que regulamentou o "prazo razoável" que a lei deixou em aberto no art. 48. O texto também diz que os prazos são contados em dobro para agentes de pequeno porte.
Na prática, um vazamento causado por uma planilha colada no lugar errado é um incidente de segurança. Se ele puder causar risco ou dano relevante aos titulares, a empresa tem poucos dias úteis para comunicar a ANPD e as pessoas afetadas.
O método do marcador: passo a passo
Muitas tarefas com IA não precisam dos dados reais. Um resumo, uma análise de tom ou uma resposta padrão funcionam igualmente bem com nomes trocados:
- Copie o texto que você quer enviar para um editor.
- Substitua nomes, e-mails, telefones e números de documento por marcadores: "Cliente A", "[e-mail]", "[telefone]".
- Releia procurando o que ainda identifica alguém: cargo raro, empresa pequena, cidade específica, data de nascimento.
- Envie o texto já limpo e peça o que precisa.
- Coloque os dados reais de volta só no seu computador, se for preciso.
O passo 3 é o que a maioria pula. A LGPD só considera anonimizado o dado relativo a um titular que "não possa ser identificado", considerando os meios técnicos razoáveis disponíveis (art. 5º, III). Trocar o nome e deixar "a gerente de compras da única farmácia de Paraty" não anonimiza ninguém.
E as empresas pequenas?
A ANPD publicou a Resolução CD/ANPD nº 2/2022 para os agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e startups. As principais flexibilizações:
- Encarregado opcional: a empresa não é obrigada a indicar um encarregado, desde que mantenha um canal de comunicação com os titulares (art. 11).
- Registro simplificado das operações de tratamento (art. 9º).
- Prazos em dobro para atender titulares e comunicar incidentes (art. 14).
A própria resolução impõe dois limites. O art. 6º diz que as flexibilizações "não isentam" a empresa dos demais dispositivos da LGPD, inclusive das bases legais e dos princípios. E o art. 3º exclui do regime diferenciado quem faz tratamento de alto risco, quem fatura acima do limite da empresa de pequeno porte e quem pertence a grupo econômico acima desse limite. Ser pequeno ajuda com a burocracia, mas não libera o cuidado com os dados.
Antes de adotar uma ferramenta de IA
Cada ferramenta tem políticas próprias, e elas mudam. Em vez de decorar respostas, confira estes pontos na página oficial da ferramenta que você pretende usar:
| Pergunta | Onde procurar a resposta | Sinal de alerta |
|---|---|---|
| O que a ferramenta faz com o que eu envio? | Política de privacidade e termos de uso | A política não fala do conteúdo enviado ao chat |
| Meus dados podem treinar o modelo? Dá para desativar? | Configurações da conta e central de ajuda | Não existe opção para desligar |
| Por quanto tempo o conteúdo fica guardado? | Política de retenção de dados | Nenhum prazo informado |
| Existe plano empresarial com regras próprias de dados? | Página de planos e documentação de segurança | Só existe conta pessoal |
| Onde os dados são processados? | Política de privacidade e documentos de transferência internacional | Nenhuma informação sobre o país |
A ANPD também publicou um guia orientativo de segurança da informação para agentes de pequeno porte, útil para escrever uma regra simples para o time. E o guia sobre agentes de tratamento e encarregado detalha quem é controlador e quem é operador em situações do dia a dia.
Checklist para a sua equipe
- Regra escrita: uma página dizendo o que pode e o que não pode ir para ferramentas de IA, com o semáforo acima.
- Conta da empresa, não pessoal, para trabalho com dados de clientes, com as configurações de privacidade revisadas.
- Marcador por padrão: todo texto com nomes passa pelo método do marcador antes de ir ao chat.
- Canal de contato com titulares funcionando, mesmo que a empresa não tenha encarregado.
- Plano de incidente: quem avisa quem, e como contar os 3 dias úteis (ou 6, na pequena empresa) se algo vazar.
Para continuar: conheça as ferramentas de IA para escrita e as IAs de transcrição de reuniões, que lidam com conversas de terceiros.
Perguntas frequentes
O que é dado pessoal na LGPD?
É a informação relacionada a pessoa natural identificada ou identificável (art. 5º, I). Nome, e-mail, telefone, CPF e endereço são exemplos.
Quais são os dados sensíveis?
Os listados no art. 5º, II: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização religiosa, filosófica ou política, dados de saúde ou da vida sexual, e dados genéticos ou biométricos, quando vinculados a uma pessoa.
Posso usar IA com dados de clientes?
Só com uma base legal adequada e uma finalidade definida, e o caminho mais seguro é enviar dados anonimizados. Para dados sensíveis, as hipóteses são mais restritas (art. 11). Para o seu caso concreto, procure orientação jurídica.
Microempresa precisa seguir a LGPD?
Sim. A Resolução CD/ANPD nº 2/2022 traz flexibilizações, como prazos em dobro e encarregado opcional, mas diz expressamente que elas não isentam a empresa dos princípios e das bases legais.
Anonimizar é só tirar o nome?
Não. Se cargo, cidade, empresa ou outros detalhes ainda permitirem identificar a pessoa, o dado continua pessoal (art. 5º, III).
Fontes
- Planalto: Lei nº 13.709/2018 (LGPD), texto compilado
- ANPD: Resolução CD/ANPD nº 2/2022 (agentes de tratamento de pequeno porte)
- Diário Oficial da União: Resolução CD/ANPD nº 15/2024 (comunicação de incidente de segurança)
- ANPD: Guia orientativo de segurança da informação para agentes de pequeno porte
- ANPD: Guia orientativo para definições dos agentes de tratamento e do encarregado
Nota editorial
Este conteúdo foi produzido com apoio de inteligência artificial e revisado por Gustavo Leite antes da publicação. As fontes foram checadas na data de atualização indicada no topo.