Dados de clientes no ChatGPT: o que revisar antes de enviar

Imagem ilustrativa gerada por inteligência artificial.

Antes de enviar dados de clientes ao ChatGPT, revise a finalidade da tarefa, quais informações são necessárias e as regras da conta usada. Pagar uma assinatura ou desligar o uso para treinamento não substitui essa avaliação. Confira também quem pode acessar o conteúdo, por quanto tempo ele fica guardado e quais serviços conectados o recebem.

A cena é simples: chega uma reclamação longa, alguém abre a IA e cola a conversa inteira para pedir um resumo. Junto com o problema, seguem telefone, endereço e detalhes que não ajudavam a escrever a resposta. O atalho economiza digitação; não decide o que a empresa deveria compartilhar.

O critério deste guia é esse: antes de escolher qual IA recebe o documento, decida se ela precisa recebê-lo. As políticas abaixo foram consultadas em 5 de novembro de 2026. São informações educativas e recomendações de organização do trabalho, não um parecer jurídico nem uma garantia de conformidade com a LGPD.

O que a LGPD muda nessa decisão?

Dado pessoal não é apenas CPF. A LGPD considera pessoal a informação relacionada a uma pessoa identificada ou identificável. Uma mensagem, um histórico de compras ou um documento podem permitir essa identificação mesmo sem o nome no cabeçalho. Dados de saúde, por exemplo, estão entre os dados pessoais sensíveis definidos no artigo 5º.^[1]

Enviar, armazenar e processar dados também são formas de tratamento previstas nesse artigo. Para decidir sobre o envio à IA, não basta perguntar se a ferramenta “é segura”: entram em jogo a finalidade, a quantidade de informação necessária e a hipótese legal aplicável ao caso. Os artigos 6º, 7º e 11 tratam desses pontos; consentimento não é a única hipótese, e dados sensíveis têm regras próprias.^[1]

Isso não autoriza escolher uma justificativa genérica e liberar todos os documentos. Até o uso de dados pessoais públicos deve considerar a finalidade, a boa-fé e os direitos do titular, conforme o artigo 7º. Uma informação disponível na internet não vira passe livre para qualquer uso.^[1]

Na prática, separe duas decisões: o fornecedor aceita esse uso nas condições contratadas? E a sua empresa pode fazer esse tratamento? Uma conta empresarial não responde à segunda pergunta. Quando houver dúvida, especialmente com dados sensíveis, crianças ou decisões que afetem clientes, peça avaliação jurídica e de privacidade antes de usar dados reais.

Tirar nome e CPF torna o arquivo anônimo?

Não necessariamente. Trocar o nome por “Cliente A” pode apenas esconder o identificador mais óbvio. Se alguém consegue reconhecer a pessoa pelo contexto ou consultar uma tabela que liga o código ao cadastro, a identificação continua possível.

A LGPD define anonimização considerando a perda da possibilidade de associação direta ou indireta a uma pessoa. O artigo 12 também trata da possibilidade de reversão do processo com meios próprios ou esforços razoáveis. Por isso, renomear não comprova anonimização.^[1]

Retirar campos desnecessários reduz a informação enviada, mas não certifica que o restante deixou de ser dado pessoal. Para um primeiro teste de resumo, prefira inventar o material do zero. Não use um caso real com nomes trocados e o apresente como fictício.

ChatGPT, Gemini ou Claude: qual conta está aberta?

O nome da ferramenta não basta. Confira produto, plano e espaço de trabalho em uso. Uma assinatura individual paga não equivale automaticamente a um ambiente empresarial: a OpenAI inclui Plus e Pro nos serviços individuais; a Anthropic classifica Claude Pro e Max como produtos de consumo.^[2]^[5]

O quadro resume políticas declaradas pelos fornecedores, não uma autorização para enviar documentos. As fontes de cada linha foram consultadas em 05/11/2026.

Produto e tipo de conta	O que conferir antes de usar
ChatGPT individual: Free, Plus e Pro	O conteúdo pode ser usado para treinamento. Desativar “Improve the model for everyone”, nos controles de dados, impede esse uso das novas conversas; se você enviar feedback de uma resposta, a conversa associada ainda pode ser usada. Fonte oficial: OpenAI.^[2]
ChatGPT Business e Enterprise	Entradas e saídas não são usadas para melhorar os modelos por padrão. Na FAQ desses espaços de trabalho, a OpenAI diz que treinamento depende de acordo separado da organização e que avaliar uma resposta com positivo/negativo não autoriza treinar com aquela conversa. A API tem opções próprias de compartilhamento; não confunda os produtos. Fonte oficial: OpenAI.^[2]
Gemini Apps em conta pessoal	Com “Keep Activity” ligado, a atividade pode ser usada para melhorar serviços, inclusive treinar modelos, com revisão humana. A FAQ diz que, desligado e sem feedback, as conversas futuras não são usadas para melhorar os modelos de IA. O mesmo aviso ressalva que as configurações não controlam o processamento das conversas para criar dados anonimizados destinados a melhorar serviços Google. Desligar a opção também não elimina retenção nem revisão para proteção do serviço. Fonte oficial: Google.^[3]
Gemini com edição elegível do Google Workspace	O compromisso descrito pelo Google é não usar dados do cliente para treinar modelos sem permissão ou instrução prévia. O hub vale para as edições e serviços indicados, não para qualquer conta com e-mail de trabalho. Feedback segue regras diferentes das contas pessoais e não é usado para treinar os modelos dos serviços de IA generativa do Workspace. Fonte oficial: Google.^[4]
Claude de consumo: Free, Pro e Max	A Anthropic descreve uso para melhoria quando o usuário permite, além de outras adesões explícitas e análise/treino de segurança em conversas sinalizadas. Feedback também pode ser usado para treinamento e levar à guarda da conversa associada por até cinco anos. Fonte oficial: Anthropic.^[5]
Claude for Work e API da Anthropic	Entradas e saídas não são usadas para treinar por padrão. Enviar feedback, relatar bugs ou autorizar o uso dos dados pode mudar essa condição. A página comercial informa guarda da conversa associada ao feedback por até cinco anos. Fonte oficial: Anthropic.^[6]

Não existe aqui uma coluna “liberado para dados de clientes”. A comparação serve para evitar uma confusão concreta: usar a política de um produto empresarial como justificativa para colar um contrato na conta pessoal.

Se a decisão também envolve contratar uma ferramenta, o guia sobre o que avaliar antes de contratar IA para pequenos negócios cobre custo e condições de saída. Aqui, a pergunta é mais específica: o que acontece com o arquivo que você pretende enviar agora?

Desligar treinamento também apaga a conversa?

Não. Treinamento, armazenamento e acesso humano são questões diferentes. Alguns exemplos mostram por que vale conferir cada uma:

ChatGPT: conversas comuns e arquivadas permanecem salvas até a exclusão ou a aplicação de uma política de retenção do espaço de trabalho. Ao excluir, a remoção dos sistemas é programada para até 30 dias, com exceções descritas para conteúdo já desidentificado e desvinculado da conta, segurança e obrigações legais. Arquivos salvos separadamente em Library ou Space não são apagados só porque a conversa foi excluída.^[8]
Chat temporário no ChatGPT: não é usado para melhorar modelos enquanto permanece temporário, mas uma cópia pode ser mantida por até 30 dias por segurança. Se você o salvar, ele passa a seguir as regras de uma conversa comum.^[2]^[8]
Gemini pessoal: conversas com Keep Activity desligado e chats temporários ficam associados à conta por 72 horas. Ainda podem ser usados para responder e proteger o serviço, inclusive com revisão humana. Feedback e conversas revisadas têm regras próprias, com retenção de até três anos nos casos descritos. Não leia “72 horas” como prazo universal de apagamento.^[3]
Gemini no Workspace: a retenção depende do serviço e dos controles do administrador. Histórico desligado no aplicativo Gemini ainda permite guarda de novas conversas por até 72 horas; o histórico do Gemini dentro de Gmail, Docs e outros apps tem controles próprios. Feedback pode ser mantido por até 18 meses.^[4]
Claude comercial: a política diferencia conversas salvas nos produtos e dados enviados pela API. Ela prevê exceções por contrato, funcionalidade, segurança, obrigações legais e modelos sujeitos a requisitos específicos. Não aplique um prazo da API a tudo o que está salvo no Claude for Work.^[7]

“Sem treino” também não significa “ninguém pode acessar”. A OpenAI, por exemplo, descreve acesso limitado no ChatGPT Business para suporte, investigação de abuso e obrigações legais, além de prestadores especializados na revisão de abuso.^[9] Peça a regra aplicável ao produto contratado, não apenas uma frase comercial sobre privacidade.

O que revisar antes de enviar um documento?

Use este checklist por tarefa. Se faltar uma resposta, mantenha o teste com conteúdo inteiramente fictício até esclarecer o ponto.

Dado e finalidade. Qual resultado você quer: um resumo, uma classificação ou um rascunho? Identifique quais campos são indispensáveis. Confira também anexos, comentários e trechos copiados que não ajudam na tarefa.
Conta e responsável. Registre o produto, o plano, o espaço de trabalho e quem responde pela autorização interna. Confirme a conta aberta na tela, não apenas a assinatura que a empresa diz ter.
Contrato e uso permitido. Verifique os termos e o acordo de tratamento de dados aplicáveis. A avaliação precisa considerar a hipótese legal, os deveres com o cliente e, quando houver, transferências internacionais. A LGPD trata destas últimas a partir do artigo 33; este checklist não determina qual condição serve para o seu caso.^[1]
Treinamento, feedback e revisão. Registre as configurações efetivas e as exceções. Defina se a equipe pode avaliar respostas ou enviar relatos de erro com conteúdo da conversa.
Retenção e exclusão. Anote o que fica salvo, onde, por quanto tempo e quem consegue apagar. Confira se arquivos, projetos, cópias e histórico têm regras diferentes.
Integrações e acesso. Veja quais apps estão conectados e que informação recebem. O Google alerta que terceiros processam dados conforme políticas próprias; a cobertura do hub Workspace não se estende automaticamente a apps de terceiros.^[3]^[4]
Revisão do resultado. Nomeie quem confere o texto antes de enviá-lo ao cliente ou usá-lo numa decisão. Neste teste, não libere envio automático nem alteração de cadastro.

Se o passo seguinte for conectar a IA a sistemas e permitir ações, trate isso como outra decisão. O roteiro para criar um agente de IA na empresa ajuda a definir limites de atuação; ele não substitui a avaliação dos dados deste checklist.

Quais perguntas levar ao fornecedor?

Peça respostas por escrito, identificando o produto e o plano:

Treinamento: “O que vocês usam para melhorar modelos nesta conta? O que muda se alguém enviar feedback, relatar um erro ou ativar compartilhamento?”
Guarda e acesso: “Quem pode acessar conversas e arquivos? Qual o prazo de retenção, quais são as exceções e como confirmamos a exclusão, inclusive de cópias separadas?”
Contrato e terceiros: “Qual acordo de tratamento se aplica, onde os dados são processados e quais empresas ajudam nesse processamento? Como são tratadas transferências internacionais e integrações?”

Como testar um resumo sem usar dados reais de clientes?

Exemplo inteiramente fictício, criado do zero para este guia. O texto abaixo não é uma reclamação real com nomes removidos. Não contém cadastro, número de pedido ou detalhes de uma pessoa existente.

Material fictício para teste: “O produto chegou com a embalagem danificada. Quero saber como solicitar uma troca. Ainda não recebi orientação sobre o procedimento.”

Resuma a reclamação em uma frase e liste o que a empresa precisa consultar em sua própria política antes de responder. Não invente prazo, direito a reembolso ou regra de troca. Não envie nenhuma mensagem e não consulte arquivos ou serviços conectados.

Depois, confira se a resposta preservou o problema e se inventou alguma condição comercial. A instrução para não usar integrações não substitui os controles da ferramenta: para esse ensaio, deixe o acesso a dados reais desabilitado nas configurações aplicáveis.

Esse teste avalia uma tarefa de redação. Não comprova anonimização, segurança do serviço nem autorização para repetir o processo com conversas reais.

Como começar uma orientação interna de uma página?

O modelo abaixo é um ponto de partida, não uma política completa nem certificação de conformidade. Preencha antes do primeiro uso com dados reais e submeta as dúvidas a quem responde por privacidade e segurança no negócio.

Responsável pela orientação: nome, função e canal interno para dúvidas.
Tarefas autorizadas: descrição específica; “usar IA” não basta.
Ferramentas e contas permitidas: produto, plano, espaço de trabalho e configurações conferidas.
Dados que exigem avaliação prévia: documentos identificáveis de clientes, dados sensíveis, informações de crianças e materiais sujeitos a sigilo. Senhas e credenciais não entram nas conversas.
Integrações e feedback: o que pode ficar conectado e em quais condições alguém pode enviar avaliações ou relatos ao fornecedor.
Guarda e revisão humana: prazo e procedimento aplicáveis, responsável pela exclusão e quem aprova o resultado antes do uso.
Envio indevido ou suspeita de incidente: interromper novos envios, avisar o responsável e registrar o ocorrido pelo canal interno definido, sem espalhar o conteúdo afetado. A equipe responsável avalia contenção e obrigações de comunicação.
Revisão da orientação: data da checagem e responsável por reavaliar mudanças de conta, ferramenta ou finalidade.

Escolha uma tarefa pequena e rode o exemplo fictício antes de abrir o próximo documento de cliente. Se a equipe ainda não sabe qual conta está usando ou quem recebe os dados, esse é o campo a preencher — não o de anexar arquivo.

Fontes

Consulta às páginas oficiais em 05/11/2026. Confira novamente as condições aplicáveis antes de usar dados reais.

[1] https://www2.camara.leg.br/legin/fed/lei/2018/lei-13709-14-agosto-2018-787077-normaatualizada-pl.html — Câmara dos Deputados — LGPD, texto atualizado

[2] https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance — OpenAI — Uso de dados para melhorar modelos

[3] https://support.google.com/gemini/answer/13594961?hl=en — Google — Gemini Apps Privacy Hub (conta pessoal)

[4] https://support.google.com/a/answer/15706919?hl=en — Google — Privacidade da IA generativa no Workspace

[5] https://privacy.claude.com/en/articles/10023580-is-my-data-used-for-model-training — Anthropic — Treinamento, produtos de consumo

[6] https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training — Anthropic — Treinamento, produtos comerciais

[7] https://privacy.claude.com/en/articles/7996866-how-long-do-you-store-my-organization-s-data — Anthropic — Retenção de dados da organização

[8] https://help.openai.com/en/articles/8983778-chat-and-file-retention-policies-in-chatgpt — OpenAI — Retenção de conversas e arquivos no ChatGPT

[9] https://openai.com/enterprise-privacy — OpenAI — Privacidade empresarial