IA generativa na empresa: como usar ChatGPT, Copilot e Gemini sem expor dados, segredos de negócio e responsabilidade jurídica

Se a sua empresa já usa ferramentas de inteligência artificial generativa, como o ChatGPT (da OpenAI), o Microsoft Copilot ou o Gemini, esse artigo é para você. Não para o time de TI. Para você, que assina contratos com fornecedores, responde perante clientes e eventualmente vai ter que explicar para a ANPD (Autoridade Nacional de Proteção de Dados) o que a empresa fez com dados pessoais de terceiros.

A adoção dessas ferramentas nas empresas brasileiras cresceu de forma rápida e, em boa parte dos casos, sem qualquer avaliação jurídica. O resultado prático é uma exposição silenciosa: dados de clientes, informações confidenciais de fornecedores e segredos de negócio saem da empresa todos os dias, embutidos nos prompts que o time envia para servidores localizados fora do Brasil.

O que acontece com os dados que seu time envia para o ChatGPT

Quando um colaborador digita um texto no ChatGPT ou no Copilot, esse conteúdo é transmitido para servidores da OpenAI ou da Microsoft, processado por modelos de linguagem e, dependendo das configurações do contrato, pode ser usado para treinar versões futuras do modelo.

O que parece uma interação local, no navegador de um funcionário, é na prática uma transferência internacional de dados. Isso significa que a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), a LGPD, incide sobre cada interação em que um dado pessoal é inserido nessas ferramentas. E dado pessoal, aqui, é qualquer informação que permita identificar uma pessoa: nome, CPF, e-mail, telefone, dados de saúde, comportamento de compra.

Um exemplo concreto: uma analista de RH que cola o currículo de um candidato no ChatGPT para gerar uma avaliação automática está enviando nome, endereço, histórico profissional e, dependendo do currículo, dados sensíveis como estado civil ou informações de saúde para um servidor nos Estados Unidos. Se a empresa não tem base legal documentada para esse tratamento, nem contrato com o fornecedor que garanta as exigências da LGPD, a responsabilidade é do controlador dos dados. Ou seja, da empresa.

IA generativa e LGPD: por que isso não é problema só de TI

A LGPD define que qualquer operação realizada com dados pessoais, incluindo o envio para um sistema externo de processamento, constitui tratamento de dados. Toda operação de tratamento precisa de uma base legal válida, prevista no art. 7º da lei.

Na prática, isso significa que a simples utilização de uma ferramenta de IA generativa com dados pessoais de clientes, colaboradores ou parceiros comerciais precisa estar amparada por uma das hipóteses legais da LGPD, como consentimento, execução de contrato ou

legítimo interesse, e esse amparo precisa estar documentado. Não é possível presumir que o uso da ferramenta é automático ou implicitamente legal. Outro ponto que passa despercebido: ao usar o Microsoft Copilot integrado ao Teams ou ao Outlook sem revisar as configurações do contrato corporativo, a empresa pode estar permitindo que mensagens internas com dados de clientes sejam processadas pela Microsoft sem um DPA (Data Processing Agreement, ou Acordo de Processamento de Dados) adequado. O contrato padrão do plano básico não cobre todas as exigências da LGPD. O risco não é hipotético. A ANPD vem monitorando o tema de IA e proteção de dados e já sinalizou que a regulação específica para IA generativa está em construção para o ciclo 2025-2026. Empresas que não construíram nenhuma estrutura jurídica para o uso dessas ferramentas vão entrar nesse ciclo regulatório sem qualquer proteção.

O que os contratos com OpenAI, Microsoft e Google dizem e o que não dizem

Os Termos de Serviço padrão da OpenAI, da Microsoft e do Google não foram elaborados para cumprir a LGPD. Eles seguem o padrão regulatório americano e europeu, com referência ao GDPR (General Data Protection Regulation, o regulamento europeu de proteção de dados), mas sem adequação automática às exigências brasileiras.

Os planos corporativos, como o ChatGPT Enterprise ou o Microsoft Azure OpenAI, oferecem condições melhores: opt-out do uso dos dados para treinamento do modelo, cláusulas específicas de processamento e, em alguns casos, residência de dados em servidores com localização definida. Mas esses contratos precisam ser negociados, revisados e assinados antes do uso generalizado da ferramenta, não depois.

Um caso que aparece com frequência: empresas que adquiriram o Microsoft 365 há anos, quando o Copilot ainda não existia, e simplesmente ativaram o recurso sem revisar o que o Addendum de Proteção de Dados da Microsoft cobre. A ferramenta passou a processar e-mails, reuniões e documentos internos sem que ninguém tivesse avaliado as implicações jurídicas.

Além disso, todo envio de dados pessoais para servidores fora do Brasil configura transferência internacional de dados, regulamentada pelo Regulamento de Transferência Internacional de Dados da ANPD. A empresa é responsável por garantir que essa transferência está amparada por mecanismo jurídico válido, como cláusulas contratuais padrão ou adesão a um programa de certificação reconhecido pela ANPD.

Os três riscos jurídicos que uma política de uso de IA resolve

1. Vazamento de dados pessoais e segredos de negócio

Sem uma política clara, o time não sabe o que pode ou não inserir nessas ferramentas. Contratos com cláusulas de confidencialidade, dados de clientes em fase de negociação, estratégias comerciais e informações de saúde de colaboradores são inseridos sem qualquer controle. O risco não é só regulatório. É concorrencial e contratual.

2. Responsabilidade por conteúdo gerado pela IA

Quando a empresa usa uma ferramenta de IA para gerar conteúdo que é depois publicado ou enviado a terceiros, ela assume responsabilidade sobre esse conteúdo. Isso inclui imprecisões factuais, conteúdo discriminatório gerado automaticamente e violação de direitos autorais de terceiros. A ausência de uma política de revisão humana obrigatória é uma vulnerabilidade jurídica clássica.

3. Ausência de base legal documentada

A LGPD não pune apenas quem vaza dados. Pune quem não consegue demonstrar que o tratamento era legítimo. Uma empresa autuada pela ANPD que não tem registro de qual base legal sustentava o uso de IA generativa com dados de clientes não tem defesa técnica estruturada. A documentação é parte da conformidade, não um detalhe burocrático.

O que uma política de uso aceitável de IA precisa conter

Uma política de uso aceitável de IA não precisa ser um documento de cinquenta páginas. Precisa ser clara, operacional e conhecida por quem usa as ferramentas. Os elementos mínimos são:

• Quais ferramentas estão autorizadas e em quais contextos
• Quais categorias de dados nunca devem ser inseridas
• Quem é o responsável interno pela gestão do uso de IA (geralmente o DPO, o Data Protection Officer, ou o gestor de TI com suporte jurídico)
• Procedimento de revisão humana obrigatória antes de usar outputs em contextos externos
• Processo de avaliação de novos fornecedores de IA antes da ativação

O que nunca deve entrar em uma ferramenta de IA generativa sem avaliação jurídica prévia

• Dados pessoais sensíveis: informações de saúde, origem racial, religião, biometria
• Dados de clientes em fase contratual ou com cláusula de confidencialidade
• Informações estratégicas da empresa: projetos, preços, fusões e aquisições em andamento
• Dados de colaboradores sem consentimento ou base legal específica para o tratamento
• Informações cobertas por sigilo profissional ou legal

O momento de estruturar isso é agora

A ANPD já publicou materiais técnicos sobre IA e proteção de dados e manteve o tema como prioridade regulatória para 2025 e 2026. Empresas que construírem sua estrutura jurídica agora, com política interna, contratos revisados e base legal documentada, terão uma posição de defesa sólida quando a regulamentação específica entrar em vigor.

Empresas que esperarem ter um problema para agir vão enfrentar um cenário mais custoso: adequação emergencial, possível notificação à ANPD e defesa administrativa sem documentação prévia.

Não existe um momento em que a LGPD passa a valer para IA generativa. Ela já vale. Cada prompt enviado com dados pessoais hoje já é um ato de tratamento de dados. A pergunta não é se a sua empresa vai precisar se adequar. É em que condições isso vai acontecer.

Quer saber qual é a exposição real da sua empresa?

A SMN Advogados realiza diagnósticos de uso de IA generativa sob a ótica da LGPD, avaliando quais ferramentas a empresa usa, quais dados estão expostos e o que precisa ser estruturado antes que o risco se torne um problema concreto.