Uma equipe recebe uma planilha de clientes e pede a uma inteligência artificial para encontrar padrões. Em segundos, surgem sugestões de segmentação e atendimento. Mas a mesma planilha pode conter telefones, endereços, valores de contratos e outras informações que a empresa não deveria enviar a uma ferramenta sem avaliar suas regras de uso. A questão não é deixar de usar IA: é separar a tarefa útil dos dados que não precisam sair do ambiente autorizado.
Este guia apresenta sete categorias de informação que exigem atenção, um exemplo de como substituir dados reais por fictícios e um procedimento simples para equipes pequenas. O objetivo é ajudar a reduzir riscos operacionais, não substituir análise jurídica ou de segurança da informação.
Por que o texto digitado em um chatbot merece cuidado?
Uma conversa com IA pode envolver armazenamento, registros administrativos, integrações e regras de tratamento de dados diferentes conforme o serviço, o plano contratado e as configurações. Também há riscos comuns a qualquer sistema: acesso indevido a contas, compartilhamento acidental de conversas e respostas imprecisas.
No Brasil, a ANPD analisou riscos de privacidade associados à IA generativa e destacou princípios da LGPD, como necessidade e transparência. Isso não significa que todo uso de IA com dados pessoais seja proibido: significa que a empresa precisa avaliar finalidade, base legal, minimização e medidas de proteção.
7 tipos de informação que não devem ser colados sem autorização e controles
1. Senhas, tokens, chaves de API e códigos de acesso
Credenciais permitem entrar em contas e sistemas. Não as inclua em prompts, capturas de tela, arquivos de configuração ou exemplos de código. Para pedir ajuda com uma mensagem de erro, substitua segredos por marcadores como [CHAVE_REMOVIDA] e revise também os anexos.
2. Cadastros de clientes e dados pessoais
Nomes completos, CPF, telefone, e-mail, endereço, histórico de compras e combinações que permitam identificar pessoas exigem cuidado. Se a tarefa for identificar os produtos mais vendidos, muitas vezes basta informar totais por produto ou dados de exemplo, sem enviar a lista nominal de compradores.
A ANPD explica que dado pessoal é informação relacionada a pessoa identificada ou identificável. Remover somente o nome pode não bastar: outros campos podem permitir reidentificação.
3. Informações de saúde e de recursos humanos
Atestados, avaliações individuais, dados biométricos e informações de saúde merecem proteção reforçada. Para criar um modelo de comunicado interno, use situações genéricas. Para analisar casos reais, envolva a área responsável e use apenas sistemas e procedimentos aprovados.
4. Propostas comerciais, preços negociados e planos estratégicos
Uma apresentação de lançamento, uma lista de clientes prioritários ou uma proposta ainda confidencial pode ter valor competitivo. Mesmo quando não há dado pessoal, podem existir obrigações contratuais de sigilo. Peça à IA uma estrutura de proposta com números fictícios e preencha as condições reais no documento interno.
5. Contratos e documentos de terceiros
Antes de enviar contratos de fornecedores, processos ou documentos recebidos de clientes, confira se há autorização e necessidade de compartilhar o conteúdo. Muitas tarefas podem ser feitas com um trecho anonimizado ou com uma pergunta geral sobre organização e revisão de texto, sem expor o documento integral.
6. Código-fonte privado, arquitetura e arquivos de configuração
Código e logs podem conter endereços internos, nomes de servidores, identificadores e credenciais escondidas em comentários. Remova essas informações antes de solicitar uma explicação técnica. Se a organização usa uma ferramenta corporativa aprovada para desenvolvimento, siga a política específica dela.
7. Gravações e transcrições de reuniões
Uma reunião pode incluir dados de clientes, negociações e opiniões de participantes. Antes de gravar, transcrever ou enviar o conteúdo para IA, verifique as regras internas, as permissões aplicáveis e a necessidade da coleta. Uma alternativa é fornecer somente os pontos de ação já revisados, sem nomes e trechos confidenciais.
Exemplo prático: como pedir ajuda sem expor clientes
Pedido inadequado: “Analise esta lista completa de clientes com CPF, telefone, endereço, ticket e reclamações e diga quem devo contatar primeiro.”
Pedido mais seguro para uma demonstração: “Considere esta tabela fictícia: Grupo A, 30 pedidos, valor médio de R$ 80; Grupo B, 20 pedidos, valor médio de R$ 120; Grupo C, 10 pedidos, valor médio de R$ 60. Sugira hipóteses de segmentação, indique o que os números não permitem concluir e proponha indicadores para acompanhar.”
Nesse exemplo, os valores foram inventados para demonstrar o método. A IA pode sugerir critérios de análise sem receber os dados identificáveis de uma base real. Se for necessário trabalhar com informações verdadeiras, o caminho é utilizar o ambiente autorizado e compartilhar somente o mínimo necessário.
Para entender a etapa analítica, veja também como analisar uma planilha de vendas com IA. O artigo mostra como conferir os resultados em vez de aceitar números sem validação.
ChatGPT pessoal, ChatGPT Business e Copilot: a proteção é igual?
Não. As regras variam conforme o produto, a conta, o contrato e as configurações. A OpenAI informa que, por padrão, não utiliza entradas e saídas de seus serviços empresariais, como ChatGPT Business, Enterprise e API, para treinamento de modelos. Já em espaços pessoais existem controles próprios para uso de conteúdo na melhoria dos modelos. Consulte as condições oficiais de dados empresariais da OpenAI e os controles da conta efetivamente utilizada.
A Microsoft informa que o Copilot Chat com proteção empresarial não utiliza prompts e respostas para treinar modelos fundamentais; entretanto, registra interações para auditoria, e o acesso a dados organizacionais depende da experiência e das permissões configuradas. Por isso, “não treina com meus dados” não significa “posso enviar qualquer documento”.
Antes de adotar uma solução, confirme com a área de TI ou responsável: quem pode acessar as conversas, quais dados são retidos, se há conectores com terceiros, quais controles de acesso existem e quais categorias de informação a política interna permite usar.
Checklist de 2 minutos antes de enviar um arquivo à IA
- Defina a tarefa: o que a IA realmente precisa saber para ajudar?
- Retire nomes, contatos, identificadores, credenciais e informações não necessárias.
- Verifique se números agregados ou dados fictícios resolvem o problema.
- Confirme se a ferramenta e a conta são aprovadas pela empresa para aquele tipo de dado.
- Confira permissões de arquivos, links compartilhados e integrações ativadas.
- Revise o resultado: a IA pode inventar dados, errar contas e interpretar contexto de forma equivocada.
- Se o material for sensível ou houver dúvida, interrompa o envio e consulte o responsável interno.
Uma boa política de uso não precisa ser extensa para começar. Um procedimento operacional simples pode estabelecer quais ferramentas são autorizadas, exemplos de informações proibidas, responsáveis pela aprovação e o que fazer quando ocorrer um compartilhamento acidental.
E se um dado confidencial já foi enviado?
Não tente resolver apenas apagando a conversa e supondo que todos os registros desapareceram. Avise o responsável interno de TI, segurança ou privacidade; registre qual ferramenta recebeu o dado e siga o procedimento de incidente da empresa. Se houver credenciais expostas, o responsável deve avaliar sua revogação ou substituição. As medidas adequadas dependem do conteúdo e do serviço utilizado.
Como a empresa pode aproveitar a IA com menos risco
Comece por tarefas de baixo risco: revisar textos genéricos, criar modelos de e-mail, organizar perguntas frequentes públicas, planejar rotinas e simular cenários com dados fictícios. Depois, para fluxos que exigem dados reais, avalie ferramentas empresariais, permissões e supervisão humana.
Se o plano for integrar atendimento e sistemas, vale conhecer as diferenças entre agentes de IA e chatbots. Uma integração com acesso a arquivos ou clientes exige cuidados adicionais: o risco não está apenas no texto digitado, mas também nas ações que o sistema pode executar.
Conclusão
O melhor prompt não é o que leva mais dados para a IA, e sim o que fornece contexto suficiente para uma tarefa bem definida. Use informações fictícias sempre que possível, revise os resultados e só trabalhe com dados reais em ambientes autorizados. Assim, a empresa aproveita a produtividade sem tratar privacidade e segurança como detalhes.
Fontes consultadas
- ANPD — Radar Tecnológico sobre IA generativa (29/11/2024).
- ANPD — Perguntas frequentes sobre a LGPD e dados pessoais (página atualizada em 09/09/2026).
- NIST — Perfil de riscos de IA generativa (26/07/2024; página atualizada em 2026).
- OpenAI — Privacidade e segurança de dados empresariais (consultado em 02/11/2026).
- Microsoft Learn — Privacidade e proteções do Copilot Chat (consultado em 02/11/2026).
