Como usar IA na empresa com segurança sem vazar dados de clientes

A IA já entrou na empresa, com ou sem regra

A pesquisa TIC Empresas 2025, do Cetic.br, mostra que 17% das empresas brasileiras com mais de dez pessoas ocupadas usaram aplicações de inteligência artificial em 2025, contra 13% em 2024. Entre as pequenas, a proporção passou de 10% para 15%; entre as grandes, chegou a 50% (coleta de fevereiro de 2025 a janeiro de 2026).

Esse número mede a IA que a empresa adotou como empresa. Ele não mede o funcionário que abre uma ferramenta gratuita no navegador por conta própria. Na prática, muitas empresas que "ainda não usam IA" já têm gente usando, só que sem ninguém saber o que está sendo colado ali.

A mesma pesquisa mostra outro dado que ajuda a entender o tamanho do problema: 53% das empresas brasileiras com mais de dez pessoas ocupadas tinham uma política de segurança digital em 2025. Se metade das empresas não tem nem a regra geral escrita, a regra específica para IA costuma ser ainda mais rara.

O que acontece com o que você cola em uma ferramenta de IA

A resposta curta: depende da ferramenta, do plano e de como ela está configurada. E quase ninguém confere antes de usar.

Duas situações aparecem na documentação oficial das ferramentas mais usadas:

• Uso para treinar o modelo. Na central de ajuda da OpenAI, a empresa explica que, nos planos pessoais do ChatGPT, existe a opção "Melhorar o modelo para todos" em Configurações, Controles de dados. Com ela desligada, as conversas novas não são usadas para treinar os modelos. Ou seja: se ninguém mexeu na configuração, a conversa pode entrar no treinamento.
• Leitura por pessoas. No aviso de privacidade dos apps do Gemini, o Google informa que revisores humanos, inclusive de prestadores de serviço, leem uma parte das conversas, e pede para não inserir informações confidenciais que você não gostaria que um revisor visse.

Nenhuma das duas situações é um vazamento no sentido de alguém invadir um sistema. Mas as duas significam que o dado saiu do controle da sua empresa. E a partir daí você não decide mais quem vê, por quanto tempo fica guardado e para que é usado.

Regra prática: se você não colaria aquele texto num grupo de mensagens com desconhecidos, não cole numa ferramenta de IA sem conferir antes como ela trata os dados.

O que não colocar no ChatGPT (e em nenhuma outra IA)

Esta é a pergunta mais buscada sobre o tema, então vamos direto: não coloque em ferramenta de IA nenhum dado que identifique uma pessoa ou que exponha a empresa, a não ser que a ferramenta tenha sido aprovada para isso e configurada para não usar o conteúdo.

Na prática, a lista de "nunca cole" de uma empresa pequena costuma ter estes itens:

1. Dados pessoais de clientes e funcionários: nome completo junto com CPF, RG, telefone, e-mail, endereço ou qualquer combinação que permita saber quem é a pessoa.
2. Dados sensíveis: informação de saúde, religião, opinião política, filiação a sindicato, origem racial ou étnica, dado genético ou biométrico. Em clínicas, consultórios e escritórios, isso inclui prontuário, laudo e detalhes de processo.
3. Documentos de terceiros: contrato assinado, proposta com dados do cliente, extrato, nota fiscal, comprovante.
4. Segredos do negócio: tabela de margem, estratégia comercial, lista de clientes, código e configurações de sistemas.
5. Acessos: senha, token, chave de API, código de verificação. Nunca, em nenhuma ferramenta.

O que dá para fazer no lugar? Trocar o dado real por um genérico antes de colar. Em vez de "a cliente Maria Souza, CPF tal, reclamou do atraso", escreva "uma cliente reclamou de atraso de três dias na entrega". A IA ajuda do mesmo jeito, e o dado não sai da empresa.

LGPD e inteligência artificial: o que a lei pede da empresa

A LGPD (Lei Geral de Proteção de Dados, Lei 13.709 de 2018) não proíbe usar inteligência artificial. Ela pede que a empresa trate dados pessoais com cuidado, qualquer que seja a ferramenta.

Três pontos da lei ajudam a entender o que muda quando a IA entra na rotina:

• Dado pessoal é qualquer informação ligada a uma pessoa identificada ou identificável (artigo 5º). Não precisa ser CPF: um nome com o bairro e a profissão pode bastar para identificar alguém.
• Necessidade e finalidade (artigo 6º): a empresa deve usar só os dados necessários para um objetivo definido. Colar a planilha inteira para pedir um resumo de três linhas vai contra essa ideia.
• Segurança (artigo 46): quem trata dados pessoais deve adotar medidas técnicas e administrativas para protegê-los de acesso não autorizado e de qualquer tratamento inadequado. Uma regra de uso de IA é uma dessas medidas administrativas.

A ANPD (Autoridade Nacional de Proteção de Dados), que fiscaliza a LGPD, já trata a inteligência artificial como tema prioritário e aponta, entre os riscos, o uso de dados pessoais para finalidades diferentes das originais. É exatamente o que acontece quando o dado de um cliente vai parar numa ferramenta que pode usá-lo para outra coisa.

Este artigo não substitui orientação jurídica. Em mercados regulados, como saúde, advocacia e contabilidade, vale conversar com quem cuida da conformidade da empresa e conferir também as regras do conselho da profissão.

Proibir não resolve. Combinar resolve

Diante do risco, a primeira reação de muito dono de empresa é proibir. O problema é que a proibição costuma tirar a ferramenta da sua vista, não da rotina da equipe. Quem tem pressa continua usando, agora escondido, no celular pessoal.

O caminho para usar IA na empresa com segurança é o contrário: escolher as ferramentas permitidas, configurar cada uma e combinar com a equipe o que pode e o que não pode. Os planos empresariais costumam oferecer mais controle. A própria OpenAI informa que, por padrão, não usa o conteúdo dos espaços de trabalho do ChatGPT Business, Enterprise e Edu para treinar os modelos. Mesmo assim, "plano empresarial" não é sinônimo de "pode colar tudo": a regra do que não se cola continua valendo.

É por isso que, quando ajudamos uma empresa a organizar o uso de IA na consultoria personalizada, começamos pela pergunta mais simples: o que a equipe está colando hoje?

Política de uso de IA em uma página

Uma política de uso de IA não precisa ser um documento jurídico de vinte páginas. Para uma empresa pequena, uma página bem combinada vale mais que um manual que ninguém lê, e já é o primeiro passo para usar IA na empresa com segurança. Ela pode ter cinco partes:

1. Ferramentas aprovadas: quais podem ser usadas, em qual conta (de preferência a da empresa, não a pessoal) e com qual configuração (treinamento desligado quando houver a opção).
2. Lista do que nunca colar: os cinco itens da seção anterior, escritos com exemplos do dia a dia da sua empresa.
3. Como anonimizar: trocar nomes por "cliente A", números por "valor X", endereços por "bairro da zona sul". Um exemplo pronto ajuda mais que uma explicação.
4. Revisão humana: nada que a IA escreveu sai em nome da empresa sem alguém ler antes. Texto de IA pode errar fato, número e tom.
5. A quem perguntar: um responsável para as dúvidas. Na empresa pequena, normalmente é o próprio dono.

Depois de escrita, a regra precisa ser apresentada em uma conversa curta, com exemplos reais da rotina, e revista a cada poucos meses, porque as ferramentas mudam de configuração com frequência.

Checklist para usar IA na empresa com segurança

• Você sabe quais ferramentas de IA a sua equipe usa no trabalho, inclusive no celular?
• Cada ferramenta usada está em uma conta da empresa ou em contas pessoais?
• A opção de usar as conversas para treinar o modelo foi conferida e desligada onde existe?
• Existe uma lista escrita do que nunca deve ser colado?
• A equipe sabe trocar dados reais por genéricos antes de pedir ajuda à IA?
• Há alguém responsável por responder dúvidas e revisar a regra?

Se a resposta para a maioria foi "não sei", o primeiro passo não é comprar ferramenta nenhuma: é conversar com a equipe e descobrir o que já está sendo usado.

Se você quer entender também como a IA está mudando a forma como as pessoas encontram empresas, o artigo SEO para pequenas empresas explica a camada de AEO e GEO.