IA e dados da empresa: o que você deve e não deve enviar

O maior risco do uso de IA em empresa raramente é técnico — é alguém colar num chat público informação que não podia sair.

O que não deve ser colado sem critério

• Dado pessoal de cliente (CPF, endereço, telefone, dado de saúde);
• Credencial, senha, chave de acesso ou token;
• Contrato e documento sob sigilo;
• Código proprietário que representa o seu diferencial;
• Informação financeira não divulgada.

Não porque a ferramenta seja necessariamente insegura, mas porque o controle sai da sua mão.

O que verificar antes de adotar

Três perguntas objetivas ao fornecedor:

• Meus dados treinam o modelo? Planos empresariais costumam garantir que não;
• Por quanto tempo ficam armazenados? E é possível excluir?
• Onde ficam? Relevante para exigência de residência de dados.

A resposta muda bastante entre plano gratuito e corporativo — e é comum a equipe usar o gratuito por conta própria.

A LGPD continua valendo

Usar IA não isenta de responsabilidade. Dado pessoal de cliente processado em ferramenta de terceiro continua sendo responsabilidade sua perante o titular, incluindo a base legal para esse tratamento.

Na dúvida sobre dado pessoal sensível, a orientação prudente é não enviar antes de checar com quem cuida de compliance.

Medidas simples que reduzem muito o risco

• Anonimizar antes de enviar: trocar nome real por identificador;
• Definir por escrito o que pode e o que não pode ser usado com IA;
• Preferir plano corporativo quando houver dado de cliente;
• Treinar a equipe — a maior parte dos vazamentos é descuido, não ataque.