IA e LGPD: os dados da sua empresa treinam o modelo?
Por Pedido Ativo · · 7 min de leitura
Resposta rápida
Depende de qual serviço você usa e em que condições. Versões gratuitas ou pessoais de ferramentas de IA podem usar as conversas para melhorar os modelos, a menos que você desative isso. Já os planos empresariais e o acesso via API dos principais fornecedores costumam declarar em contrato que não usam os seus dados para treinamento. Em qualquer caso, a LGPD continua valendo: a sua empresa responde pelos dados pessoais que envia, então leia os termos antes de usar.
A cena é comum. Um funcionário pega a planilha de clientes, cola numa ferramenta de IA gratuita e pede um resumo. Em dois minutos ele resolveu o problema dele. E a empresa acabou de enviar nome, CPF e telefone de centenas de pessoas para um terceiro, sem contrato e sem ninguém saber.
Não foi má-fé. Foi falta de regra. Este artigo explica o que acontece com o dado e o que a sua empresa precisa combinar internamente. Não substitui orientação jurídica para o seu caso.
Uso pessoal, plano empresarial e API: qual a diferença
- Versão gratuita ou pessoal: feita para o consumidor. Os termos frequentemente permitem usar as conversas para aprimorar o serviço, com opção de desligar nas configurações.
- Plano empresarial: contratado pela empresa, com termos comerciais. Os principais fornecedores declaram não treinar com os dados desses planos e oferecem controles de administração.
- API: é por onde sistemas e agentes se conectam ao modelo. Os termos comerciais dos grandes fornecedores, em geral, excluem o uso dos dados para treinamento por padrão.
A expressão 'em geral' não está aí à toa. Termos mudam, e cada fornecedor tem o seu. O que vale é o documento vigente no dia em que você contrata. Guarde uma cópia.
Não treinar não significa não guardar
Mesmo quando o fornecedor não treina com os seus dados, ele pode retê-los por um período, para segurança e prevenção de abuso. Pergunte, ou procure nos termos: por quanto tempo os dados ficam armazenados? Em que país? Quem tem acesso? É possível reduzir ou zerar a retenção?
Pela LGPD, enviar dado pessoal para um servidor fora do Brasil é transferência internacional, que tem regras próprias. Isso não impede o uso, mas precisa estar previsto nos seus documentos de privacidade.
Há ainda o risco que não tem a ver com treinamento: vazamento. Qualquer fornecedor pode sofrer um incidente. Quanto menos dado pessoal você envia, menor o estrago possível. Esse raciocínio vale para IA e para qualquer outro serviço em nuvem que a sua empresa usa.
O que a LGPD exige da sua empresa ao usar IA
A lei não proíbe IA. Ela trata a IA como qualquer outro tratamento de dados. A sua empresa é a controladora: decide por que e como o dado é usado, e responde por isso. O fornecedor de IA é operador, age em seu nome.
- Ter uma base legal para o tratamento, como execução de contrato ou consentimento.
- Usar só o dado necessário para a finalidade. Se a IA vai classificar o assunto de uma mensagem, não precisa receber o CPF.
- Informar o titular, na política de privacidade, que ferramentas de terceiros são usadas.
- Redobrar o cuidado com dados sensíveis, como saúde, e com dados de crianças e adolescentes.
- Garantir revisão humana quando uma decisão automatizada afetar a pessoa, como uma recusa de crédito.
Cuidados práticos para o dia a dia
- Escreva uma regra de uma página: quais ferramentas de IA a equipe pode usar e o que nunca deve ser colado nelas.
- Contrate um plano empresarial para quem usa IA no trabalho. Custa pouco perto do risco.
- Anonimize sempre que possível. Troque nomes por códigos antes de enviar.
- Em sistemas sob medida, envie para o modelo apenas os campos necessários e registre o que foi enviado.
- Revise os termos dos fornecedores uma vez por ano.
Num escritório de advocacia ou numa clínica, esses cuidados pesam ainda mais, porque além da LGPD existe sigilo profissional. A regra interna deixa de ser recomendação e vira obrigação.
Descrevemos como tratamos dados, acessos e fornecedores nos projetos que entregamos na página de segurança.
O que perguntar a quem vai construir sua solução com IA
- Qual modelo e qual fornecedor serão usados, e sob quais termos?
- Os meus dados são usados para treinamento? Onde isso está escrito?
- Por quanto tempo ficam retidos e em que país?
- Quais dados pessoais são enviados ao modelo e por quê?
- Existe registro do que o agente acessou e fez?
Um fornecedor sério responde a essas perguntas sem enrolar. Se a resposta for 'fica tranquilo, é seguro', continue perguntando.
Outras perguntas comuns sobre contratação estão em dúvidas frequentes.
Se quiser avaliar como usar IA na sua empresa com esses cuidados desde o início, comece pelo diagnóstico grátis.