ChatGPT com dados internos da empresa e riscos LGPD: como agir?

O que a LGPD tem a ver com o uso do ChatGPT?

A LGPD se aplica ao tratamento de dados pessoais, inclusive em meios digitais, então o uso de uma ferramenta de IA não tira a empresa de suas responsabilidades. Informação estratégica que não identifica uma pessoa pode não ser dado pessoal, mas ainda precisa de proteção pelas regras internas da empresa. [1]

Uma equipe pode colar uma conversa, um currículo ou uma planilha para resumir. Se o material contém dados de clientes, funcionários ou fornecedores, a empresa deve entender por que os está usando, quais dados são necessários e quem consegue acessar o resultado.

Quais informações a equipe pode enviar?

Defina quais tarefas podem usar o ChatGPT e quais informações devem ficar fora da conversa. Dados de clientes, credenciais, estratégias, documentos internos e dados pessoais precisam de regras próprias; compartilhe apenas o trecho necessário e retire identificadores quando não forem importantes para a tarefa.

As condições variam entre serviços individuais e serviços destinados a empresas. A OpenAI informa que pode usar conteúdo de serviços individuais para aprimorar modelos, conforme controles disponíveis, enquanto serviços empresariais e a plataforma de API não usam entradas e saídas para treinamento por padrão. Confira a conta e as configurações que a equipe realmente utiliza. [4]

Desativar o uso para treinamento não substitui a análise da finalidade, dos acessos, dos registros, da retenção e das demais regras da empresa. Uma configuração responde a uma parte do tratamento; não autoriza compartilhar qualquer informação.

Como reduzir riscos no uso diário?

Reduza riscos com uma orientação escrita, uma conta aprovada pela empresa, dados limitados à tarefa e uma pessoa responsável por conferir o resultado. A LGPD lista princípios como finalidade, necessidade, transparência e segurança; a empresa deve relacionar os usos de IA a esses cuidados. [1] [2]

Oriente a equipe com exemplos do que pode ser enviado e do que deve ser substituído por informação fictícia. Combine como apagar conversas ou arquivos quando a tarefa termina, conforme os recursos e as regras do serviço usado.

Como revisar a ferramenta e o tratamento?

Mapeie que dados entram, qual finalidade orienta o uso, quem acessa o conteúdo e por quanto tempo ele é mantido. A LGPD trata de responsabilidades e segurança no tratamento; o guia da ANPD oferece medidas para agentes de tratamento de pequeno porte protegerem dados pessoais. [1] [2]

Confira as condições do serviço, os controles da conta, o uso de conteúdo para aprimorar modelos, a retenção, a exclusão, o histórico e quem na empresa administra as permissões. Registre as escolhas e revise-as quando mudar a tarefa ou a ferramenta.

Se houver dúvida sobre finalidade, base legal ou compartilhamento com fornecedor, leve o caso à pessoa responsável por privacidade ou a uma assessoria jurídica. A equipe técnica pode descrever o fluxo, mas não deve presumir qual justificativa legal se aplica.

Se a equipe também consulta arquivos internos com IA, veja IA local ou na nuvem para empresas.

O que fazer se houver incidente com dados?

Interrompa o acesso que possa ampliar o problema, preserve as informações necessárias para entender o que ocorreu e avise a pessoa responsável pelo tratamento de dados. A página da ANPD orienta que a comunicação de incidente pelo controlador é feita por peticionamento e apresenta o procedimento oficial. [3]

A empresa deve avaliar o tipo de dado, as pessoas envolvidas e o possível impacto, além de registrar as medidas tomadas. Quem opera a ferramenta precisa saber a quem avisar e como suspender acessos sem apagar evidências importantes.

Mantenha uma forma de localizar as conversas e os arquivos usados, respeitando as regras internas de retenção. O procedimento precisa ser combinado antes de acontecer um problema, para que a equipe não improvise a resposta.