IA no trabalho e LGPD: que dados você não deve colar no chatbot
Pedir a um chatbot que resuma um contrato, revise uma planilha de clientes ou melhore um currículo é rápido, e é também uma forma de tratar dados pessoais. Quando esses dados são de outras pessoas (clientes, colegas, candidatos), a LGPD se aplica a esse tratamento, e a responsabilidade costuma recair sobre a empresa em nome da qual o profissional age. A regra prática: cole o mínimo, sem identificar ninguém, e use só ferramentas que a sua empresa autorizou.
Por que a LGPD entra na conversa
A lei define dado pessoal como "informação relacionada a pessoa natural identificada ou identificável" e tratamento como "toda operação" com esses dados (art. 5º). Colar dados pessoais num chatbot, no exercício de atividade profissional, é uma operação de tratamento. A LGPD exige, entre outros princípios (art. 6º), finalidade legítima e informada, necessidade (limitar ao mínimo) e segurança. Os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas (art. 46), e o descumprimento pode gerar advertência e multa simples de até 2% do faturamento da pessoa jurídica, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração (art. 52).
A lei não cita "inteligência artificial" por nome. O ponto é o dado: se ele identifica alguém, as regras valem seja para um sistema de RH, seja para um chatbot.
O que não colar, na dúvida
- CPF, RG, endereço, telefone e e-mail de clientes, colegas ou candidatos (o CPF, por exemplo, identifica diretamente, como explica o guia como validar um CPF).
- Dados sensíveis: saúde, origem racial ou étnica, convicção religiosa, opinião política e outros listados no art. 5º, II, que têm proteção reforçada.
- Contratos e documentos com cláusulas de confidencialidade, que podem proibir o envio a terceiros, independentemente da LGPD.
- Senhas, chaves de API e dados bancários, que não têm motivo para ir a um chatbot.
- Código-fonte e planilhas internas da empresa, se a política interna não autorizar.
Como usar sem identificar ninguém
- Troque nomes por marcadores ("Cliente A", "Candidata 3") e remova documentos, endereços e números de contato antes de colar.
- Peça a estrutura, não a análise do caso real: em vez de enviar a reclamação de um cliente, descreva o tipo de problema e peça um modelo de resposta.
- Resuma você mesmo o que for sensível e envie só o trecho necessário (princípio da necessidade).
- Revise a resposta: a IA pode errar e inventar fatos, e a responsabilidade pelo resultado continua com quem o usa.
Transferência internacional e contrato
Muitos serviços de IA processam dados em servidores fora do Brasil. A LGPD só permite a transferência internacional de dados pessoais nas hipóteses do art. 33, o que torna relevante ler os termos do serviço: onde os dados ficam, se são usados para treinar modelos e se há versão corporativa com garantias contratuais. Contas gratuitas e pessoais costumam ter regras diferentes das versões para empresas, então não presuma, confira.
O que a empresa deveria ter
- Uma política curta de uso de IA: quais ferramentas são permitidas, que tipos de dado nunca entram e quem aprova exceções.
- Ferramentas corporativas com contrato adequado, em vez de contas pessoais dos funcionários.
- Treinamento e um canal para dúvidas, porque a maioria dos vazamentos por IA vem de uso bem-intencionado e sem orientação.
Veja também a situação do marco legal da IA no Brasil, que ainda tramita na Câmara.
Conteúdo informativo, sem caráter de consultoria jurídica. Para políticas internas e casos concretos, procure um profissional de proteção de dados.
Fontes
Sua semana em números 📬
Selic, CDI, inflação e as novidades das ferramentas — um e-mail por semana, sem spam.
Sem custo, descadastro em 1 clique em qualquer e-mail.
