O ChatGPT pode ser usado de forma compatível com o GDPR, mas não é automaticamente “conforme” em qualquer plano, configuração ou caso de uso. A OpenAI disponibiliza políticas, controles de privacidade, contratos e recursos empresariais destinados a apoiar a conformidade. Mesmo assim, a organização que decide por que e como dados pessoais serão enviados ao serviço continua responsável por sua própria operação de tratamento.
Na prática, a resposta depende do tipo de conta, dos dados inseridos, da finalidade do uso, da base legal, do período de retenção, das transferências internacionais, dos recursos conectados e das medidas adotadas pela empresa. Desativar o treinamento ou assinar um adendo de processamento de dados ajuda, mas não resolve sozinho todas as exigências do Regulamento Geral sobre a Proteção de Dados, conhecido como GDPR e, em português europeu, RGPD.
Este conteúdo apresenta informações gerais e não substitui uma avaliação jurídica do seu caso. Processos envolvendo saúde, recrutamento, crianças, monitoramento, decisões automatizadas ou grande volume de dados pessoais devem ser avaliados pelo encarregado de proteção de dados e, quando necessário, por assessoria jurídica especializada.
Afinal, o ChatGPT está em conformidade com o GDPR?
A formulação mais precisa é: a OpenAI oferece mecanismos que podem apoiar um uso compatível com o GDPR, mas a conformidade precisa ser construída e demonstrada em cada operação. Não existe uma configuração única que transforme todo uso do ChatGPT em tratamento automaticamente lícito.
| Pergunta | Resposta prática |
|---|---|
| O ChatGPT possui um selo geral de conformidade com o GDPR? | As fontes oficiais consultadas não apresentam um selo que torne todos os planos e casos de uso automaticamente conformes. |
| A OpenAI oferece recursos para apoiar a conformidade? | Sim. Entre eles estão política europeia de privacidade, controles de dados, DPA, SCCs, lista de suboperadores e recursos empresariais. |
| Uma empresa pode usar o ChatGPT com dados pessoais? | Pode ser possível, desde que exista finalidade legítima, base legal, minimização, transparência, contrato adequado, segurança, retenção definida e atendimento aos direitos dos titulares. |
| Desativar o treinamento torna o uso conforme? | Não por si só. Essa configuração trata de uma finalidade específica, mas não cria base legal nem resolve retenção, transferências, segurança ou transparência. |
| Um DPA garante conformidade? | Não. O DPA organiza obrigações contratuais de processamento, mas o cliente ainda precisa cumprir suas próprias responsabilidades. |
| Residência de dados na Europa resolve tudo? | Não. A cobertura depende do plano, da elegibilidade, do tipo de dado e do recurso usado; parte da informação ou do processamento pode permanecer fora da região. |
A Comissão Europeia resume sete princípios centrais do GDPR: licitude, lealdade e transparência; limitação da finalidade; minimização; limitação da conservação; exatidão; integridade e confidencialidade; e responsabilização. A conformidade depende da aplicação desses princípios à atividade concreta, não apenas das características declaradas pelo fornecedor.
Por que a resposta depende do uso e não apenas do produto
O GDPR regula operações de tratamento de dados pessoais. Para avaliar o uso do ChatGPT, é necessário identificar quais dados entram no sistema, para qual finalidade, quem toma as decisões sobre o tratamento, quais terceiros participam e quais consequências podem afetar as pessoas.
Um profissional que pede ideias para um título sem incluir dados de terceiros apresenta uma situação diferente de uma empresa que envia currículos identificados, transcrições de atendimento, prontuários, avaliações de funcionários ou documentos jurídicos confidenciais. A ferramenta pode ser a mesma, mas os riscos, as obrigações e as medidas necessárias são diferentes.
Quem é controlador e quem é processador?
O controlador determina as finalidades e os meios essenciais do tratamento; o processador trata dados em nome do controlador. O EDPB explica essa distinção e ressalta que o controlador deve adotar medidas para proteger os dados e permitir o exercício dos direitos dos titulares.
| Situação | Papel indicado pela documentação | Implicação prática |
|---|---|---|
| Uso individual abrangido pela política europeia de privacidade | A política europeia da OpenAI identifica a OpenAI Ireland Limited como controladora para pessoas no EEE ou na Suíça. | O usuário exerce seus direitos diretamente perante a OpenAI quanto ao tratamento coberto por essa política. |
| Customer Data abrangido pelo DPA empresarial | O DPA da OpenAI declara que a OpenAI atua como processadora em nome do cliente para os dados cobertos pelo documento. | O cliente normalmente precisa definir finalidade, base legal, transparência, retenção e instruções de tratamento. |
| Aplicativos, pesquisa na web ou serviços externos conectados | Outros provedores podem tratar informações sob seus próprios termos. | A empresa deve avaliar cada integração, e não apenas o contrato principal do ChatGPT. |
Os papéis podem variar conforme a operação. Por isso, não basta declarar genericamente que “a OpenAI é processadora”. O DPA possui um escopo específico, enquanto outros dados de conta, segurança, faturamento ou funcionamento do serviço podem ser tratados sob bases e documentos diferentes.
Quais mecanismos a OpenAI oferece para apoiar o GDPR
A documentação atual apresenta várias camadas de proteção e governança. Elas são relevantes para uma avaliação de fornecedor, mas precisam ser combinadas com controles internos da organização.
Política europeia de privacidade e direitos dos usuários
A Europe Privacy Policy da OpenAI, atualizada em 24 de agosto de 2026 na versão consultada, descreve categorias de dados coletados, finalidades, retenção, bases legais, transferências internacionais, controles disponíveis e direitos de pessoas no Espaço Econômico Europeu, Reino Unido e Suíça.
Entre os direitos indicados estão acesso, exclusão, correção, portabilidade, restrição, retirada de consentimento quando ele for a base utilizada e oposição a determinados tratamentos. Solicitações que não possam ser resolvidas pelos controles da conta podem ser apresentadas no Privacy Portal da OpenAI.
A política também informa que, após uma solicitação de exclusão, os dados são removidos dos sistemas em até 30 dias, salvo quando uma retenção maior for necessária por motivos descritos na própria política ou quando o conteúdo já tiver sido desidentificado e dissociado da conta. Portanto, “excluir” não deve ser interpretado como apagamento instantâneo de todas as cópias em qualquer circunstância.
Controle sobre o treinamento em contas pessoais
Em contas pessoais, a página oficial de controles de dados do ChatGPT permite desativar a opção “Improve the model for everyone”. Quando ela está desativada, novas conversas não são usadas para treinar os modelos da OpenAI, embora continuem aparecendo no histórico até que o usuário as exclua.
Essa escolha reduz uma finalidade de uso do conteúdo, mas não impede o processamento necessário para entregar o serviço, aplicar controles de segurança ou cumprir obrigações legais. Também não transforma dados inseridos sem base legal em dados tratados licitamente.
Outro detalhe importante: segundo a documentação, se o usuário enviar voluntariamente um feedback, como uma avaliação positiva ou negativa, a conversa associada ao feedback poderá ser usada para melhorar os modelos. Organizações devem considerar esse comportamento em suas instruções internas.
Chat Temporário
O Chat Temporário não aparece no histórico, não cria nem atualiza memórias e não é usado para melhorar os modelos. A OpenAI informa, porém, que essas conversas podem ser mantidas por até 30 dias para finalidades de segurança. Além disso, uma conversa temporária personalizada pode usar memórias ou instruções existentes, conforme as configurações da conta.
Por isso, o Chat Temporário é um controle de privacidade útil, mas não é um ambiente automaticamente aprovado para dados de clientes, pacientes, candidatos ou funcionários. A empresa ainda precisa avaliar necessidade, base legal, contrato, segurança, direitos e transferências.
Dados empresariais não usados para treinamento por padrão
Na página de privacidade e segurança de dados empresariais, a OpenAI declara que, por padrão, não usa entradas e saídas do ChatGPT Business, Enterprise, Edu, produtos empresariais relacionados ou da API para treinar seus modelos. A página de Enterprise Privacy informa que o compartilhamento para melhoria pode ocorrer se o cliente optar explicitamente por mecanismos de participação.
Não usar dados empresariais para treinamento por padrão é uma diferença relevante em relação a contas pessoais, mas não elimina as demais operações necessárias para fornecer, proteger e administrar o serviço.
DPA para clientes empresariais
A OpenAI informa que pode celebrar um Data Processing Addendum com clientes do ChatGPT Business, ChatGPT Enterprise e da API. O DPA vigente consultado foi atualizado em 1º de dezembro de 2025 e entrou em vigor em 1º de janeiro de 2026.
O documento estabelece, entre outros pontos, que a OpenAI processará Customer Data para prestar os serviços, aplicará medidas técnicas e organizacionais, auxiliará em solicitações de titulares na medida do possível, notificará o cliente sobre violações de dados pessoais sem atraso indevido e fornecerá assistência razoável em avaliações de impacto relacionadas ao processamento realizado pela OpenAI.
Para clientes estabelecidos no EEE ou na Suíça, o DPA é celebrado com a OpenAI Ireland Limited. O documento também incorpora mecanismos para transferências internacionais, incluindo cláusulas contratuais-tipo quando aplicáveis.
O DPA não substitui o trabalho do cliente. A empresa ainda deve garantir que possui legitimidade para coletar e enviar os dados, fornecer os avisos necessários, responder aos titulares, configurar o serviço de forma adequada e documentar sua análise.
Suboperadores e transferências internacionais
A política europeia informa que dados pessoais podem ser processados em servidores fora do EEE, da Suíça e do Reino Unido. Para transferências relevantes, a OpenAI declara utilizar decisões de adequação ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia.
O DPA autoriza a contratação dos prestadores listados na lista oficial de suboperadores. A versão consultada foi atualizada em 9 de julho de 2026 e mostra provedores, produtos afetados, finalidades e possíveis locais de processamento em diversas regiões.
Uma avaliação empresarial deve incluir a revisão dessa lista, a assinatura de notificações sobre alterações quando disponível e a documentação do mecanismo de transferência aplicável. A simples existência de SCCs não dispensa a empresa de entender o fluxo de dados e as medidas adequadas ao risco.
Residência de dados e residência de inferência
A documentação de residência do ChatGPT informa que clientes elegíveis da API e novos clientes elegíveis do ChatGPT Enterprise ou Edu podem escolher uma região para o armazenamento em repouso de conteúdo abrangido. A Europa, definida como EEE mais Suíça, aparece entre as regiões disponíveis.
Para clientes elegíveis com residência de dados habilitada, a residência de inferência pode manter a execução em GPU do conteúdo abrangido dentro da região europeia. Contudo, a própria documentação deixa claro que isso não confina todo o processamento à região.
- Metadados do espaço de trabalho, faturamento e logins podem ser armazenados fora da região selecionada.
- Etapas transitórias necessárias ao funcionamento do serviço podem ocorrer fora da região.
- Autenticação, roteamento, análise e outras tarefas baseadas em CPU podem continuar globais.
- Apps, pesquisa na web, servidores MCP e outros serviços externos seguem as condições de seus próprios provedores.
- Recursos novos, experimentais ou não listados podem não estar cobertos pela residência.
Também não se deve presumir que todo plano empresarial inclui residência europeia. A página atual de elegibilidade cita especificamente novos clientes Enterprise e Edu elegíveis para o ChatGPT. Uma organização deve confirmar sua configuração e seu contrato, em vez de deduzir a cobertura apenas pelo nome do plano.
Segurança e retenção
A OpenAI declara usar criptografia AES-256 para dados empresariais em repouso e TLS 1.2 ou superior durante o trânsito. Também informa que ChatGPT Enterprise, Edu e Healthcare concluíram auditoria SOC 2 Type 2, além de oferecer controles administrativos e de acesso em planos específicos.
Esses elementos ajudam na análise de segurança, mas SOC 2, criptografia ou autenticação multifator não constituem uma certificação geral de conformidade com o GDPR. A empresa precisa verificar se as medidas são adequadas à natureza dos dados, aos riscos e à finalidade de sua própria operação.
Em Enterprise, Edu e Healthcare, a documentação afirma que administradores controlam o período de retenção e que conversas excluídas são removidas dos sistemas em até 30 dias, salvo obrigação legal de retenção. No ChatGPT Business, administradores do espaço de trabalho podem acessar, exportar e excluir conversas dos membros. Isso deve ser explicado aos funcionários em avisos e políticas internas.
Conta pessoal, Business ou Enterprise: o que muda?
| Tipo de uso | Treinamento | Estrutura contratual e administrativa | Principal cuidado |
|---|---|---|---|
| Free, Go, Plus ou Pro pessoal | Novas conversas podem ser usadas quando a opção de melhoria está habilitada; o usuário pode desativá-la. | Regido pela política de privacidade e pelos termos para consumidores. A documentação empresarial não apresenta DPA para esse uso. | Não tratar uma conta pessoal como ambiente corporativo aprovado para dados de clientes ou funcionários. |
| ChatGPT Business | Dados do espaço de trabalho não são usados para treinamento por padrão. | Espaço dedicado, administração central e possibilidade de celebrar DPA, segundo a OpenAI. | Confirmar retenção, integrações, acesso dos administradores e requisitos regionais; não presumir residência europeia. |
| ChatGPT Enterprise | Dados empresariais não são usados para treinamento por padrão. | DPA, controles administrativos, retenção configurável e recursos de residência para clientes elegíveis. | A configuração técnica não substitui base legal, DPIA, transparência e governança interna. |
| ChatGPT Edu | Conteúdo do espaço gerenciado não é usado para treinamento por padrão. | Controles empresariais e acordo específico de privacidade estudantil; residência disponível para clientes elegíveis. | A instituição ainda precisa avaliar estudantes, menores, registros acadêmicos, permissões e legislação setorial. |
Uma conta empresarial costuma oferecer um ponto de partida mais apropriado para governança, mas não autoriza o envio indiscriminado de dados pessoais. A escolha do plano deve ocorrer depois de mapear o caso de uso e os requisitos, não antes.
O que continua sendo responsabilidade da empresa
Mesmo quando a OpenAI atua como processadora para Customer Data, a organização cliente geralmente continua responsável pelas decisões fundamentais sobre o tratamento. Isso inclui demonstrar por que o uso é necessário, proporcional e compatível com as expectativas dos titulares.
Definir finalidade e base legal
A empresa deve documentar para que os dados serão usados e qual base do artigo 6 do GDPR sustenta o tratamento. O consentimento não é a única base possível e não deve ser escolhido automaticamente. A Comissão Europeia apresenta as bases legais aplicáveis, que incluem contrato, obrigação legal, interesses vitais, tarefa de interesse público, interesse legítimo e consentimento, conforme o contexto.
Quando houver categorias especiais de dados, como informações de saúde, biometria ou determinadas informações sobre crenças, origem racial ou vida sexual, também será necessário verificar uma condição específica do artigo 9. Não basta encontrar uma base genérica do artigo 6.
Aplicar minimização de dados
Envie apenas o que é estritamente necessário. Em muitos fluxos, nomes, e-mails, números de documentos, endereços, identificadores internos e detalhes médicos podem ser removidos ou substituídos antes que o texto chegue ao modelo.
Pseudonimizar não significa anonimizar. Se a organização consegue relacionar um código a uma pessoa por meio de uma tabela separada, os dados continuam pessoais e protegidos pelo GDPR.
Informar as pessoas afetadas
Aviso de privacidade, política de funcionários, formulário de coleta ou comunicação específica podem precisar explicar que uma ferramenta de IA participa do tratamento, quais dados recebe, para que finalidade, por quanto tempo e com quais categorias de destinatários.
Funcionários também devem saber que administradores de um espaço de trabalho gerenciado podem ter capacidades diferentes das disponíveis em uma conta pessoal, inclusive acesso administrativo, exportação, auditoria ou exclusão, conforme o plano.
Definir retenção e exclusão
Não mantenha conversas “por precaução” sem prazo ou justificativa. A empresa deve alinhar a retenção configurada no ChatGPT ao seu registro de atividades, às políticas internas e às necessidades legais. Também precisa definir como excluir dados de sistemas internos, conversas, arquivos, memórias, integrações e cópias controladas pela própria organização.
Permitir o exercício dos direitos
A organização deve saber localizar dados relacionados a uma pessoa, corrigir informações inexatas, restringir usos, atender solicitações de acesso ou exclusão e encaminhar pedidos à OpenAI quando o auxílio da processadora for necessário. Esse processo precisa existir antes do primeiro pedido, e não ser improvisado depois.
Avaliar a necessidade de uma DPIA
O artigo 35 do texto oficial do GDPR exige uma avaliação de impacto sobre a proteção de dados quando um tipo de tratamento provavelmente resultar em alto risco para os direitos e liberdades das pessoas. O uso de tecnologia nova, dados sensíveis, monitoramento, avaliação de indivíduos, grande escala ou pessoas vulneráveis pode aumentar a necessidade de uma análise formal.
Uma DPIA útil deve descrever o fluxo completo, incluindo coleta, preparação, envio ao ChatGPT, geração da resposta, armazenamento posterior, revisão humana, integrações e exclusão. Avaliar apenas a interface do chatbot deixa de fora partes importantes do tratamento.
Revisar as respostas humanas e tecnicamente
O ChatGPT pode produzir informações incorretas, inclusive afirmações falsas sobre pessoas. Se uma saída for incorporada a um cadastro, relatório de risco, avaliação profissional ou decisão, a organização deve verificar a exatidão e oferecer meios de contestação e correção.
Uma nota genérica dizendo que “a IA pode errar” não resolve, por si só, o princípio da exatidão. O processo precisa impedir que conteúdo inventado se transforme em dado pessoal tratado como fato.
O que o relatório do EDPB sobre o ChatGPT realmente mostrou
Em 24 de maio de 2024, o European Data Protection Board publicou o relatório da ChatGPT Taskforce. O documento reuniu observações sobre investigações conduzidas por autoridades nacionais e declarou que essas investigações ainda estavam em andamento naquele momento.
O relatório não forneceu um selo geral de aprovação nem uma conclusão definitiva aplicável a todos os produtos e usos futuros. Ele destacou questões que continuam importantes para qualquer análise:
- Cada operação de tratamento precisa de base legal adequada.
- Dados de categorias especiais exigem condições e salvaguardas adicionais.
- Transparência não compensa automaticamente a produção de dados pessoais incorretos.
- Direitos de acesso, correção e exclusão precisam ser exercidos de maneira acessível.
- Privacidade por design, minimização, lealdade e exatidão devem ser consideradas durante todo o ciclo de vida.
A principal lição para uma empresa não é repetir que “o EDPB aprovou” ou “proibiu” o ChatGPT. É avaliar os mesmos pontos no seu próprio fluxo e acompanhar decisões posteriores das autoridades competentes.
Checklist para usar o ChatGPT em conformidade com o GDPR
Antes de liberar o ChatGPT para um processo que possa conter dados pessoais, percorra esta lista e registre as respostas.
- Defina o caso de uso. Descreva a tarefa, os usuários, os dados de entrada, as saídas e a decisão que será tomada.
- Verifique se dados pessoais são realmente necessários. Prefira informações públicas não pessoais, dados sintéticos ou conteúdo anonimizado de forma efetiva.
- Classifique os dados. Identifique dados comuns, categorias especiais, informações de crianças, segredos comerciais e documentos confidenciais.
- Determine os papéis. Registre quem é controlador, processador e suboperador em cada etapa.
- Escolha e documente a base legal. Não use consentimento como resposta automática; avalie a base adequada à finalidade.
- Selecione um ambiente aprovado. Para processos empresariais, evite que funcionários usem contas pessoais não gerenciadas.
- Formalize os contratos. Verifique o contrato de serviços, o DPA, as SCCs, as medidas técnicas e a lista de suboperadores.
- Configure treinamento, memória e retenção. Aplique o princípio do menor armazenamento necessário e documente quem pode alterar as configurações.
- Revise a localização dos dados. Confirme se residência e inferência estão contratadas e entenda o que permanece fora do escopo regional.
- Avalie integrações. Revise apps, GPTs, conectores, pesquisa na web, servidores MCP e serviços que recebem dados após o ChatGPT.
- Atualize os avisos de privacidade. Explique o uso da IA de forma acessível às pessoas afetadas.
- Implemente controles de acesso. Use contas corporativas, autenticação multifator, funções, menor privilégio e processo de desligamento de usuários.
- Prepare o atendimento aos titulares. Saiba pesquisar, exportar, corrigir, restringir e excluir dados relacionados a uma pessoa.
- Faça uma DPIA quando o risco justificar. Não espere o lançamento para avaliar impactos que deveriam ter sido tratados no projeto.
- Exija revisão humana. Não transforme automaticamente uma resposta do modelo em fato ou decisão sobre uma pessoa.
- Treine os funcionários. Dê exemplos concretos do que pode e não pode ser enviado.
- Monitore mudanças. Políticas, recursos, suboperadores e elegibilidade de residência podem mudar; programe revisões periódicas.
Exemplos: quando o risco muda
| Caso de uso | Questão principal | Abordagem mais prudente |
|---|---|---|
| Criar ideias de títulos com informações genéricas | Pode não haver dados pessoais. | Use conteúdo não identificável e verifique se nenhum contexto interno confidencial foi incluído. |
| Resumir chamados de suporte | Os textos podem conter nomes, contatos, números de pedidos e relatos sensíveis. | Remova identificadores, use espaço gerenciado, limite a retenção e documente a finalidade. |
| Analisar currículos | Há dados profissionais, contato e possivelmente informações sensíveis; a saída pode influenciar uma oportunidade. | Envolva RH, DPO e jurídico; avalie DPIA, transparência, viés, exatidão e revisão humana significativa. |
| Resumir prontuários ou exames | Dados de saúde são categorias especiais e o impacto potencial é elevado. | Não use um ambiente não aprovado. Exija avaliação jurídica, técnica e setorial específica antes do tratamento. |
| Revisar um contrato identificado | Pode haver dados pessoais, segredos comerciais e deveres de confidencialidade. | Minimize o documento, use ambiente empresarial autorizado, revise integrações e confirme obrigações contratuais. |
| Produzir ata de reunião com nomes de funcionários | A ata contém dados pessoais e pode registrar avaliações ou conflitos. | Defina acesso, aviso, retenção, necessidade dos nomes e processo de correção. |
O objetivo não é classificar toda tarefa como permitida ou proibida. É impedir que uma atividade aparentemente simples seja aprovada sem considerar o conteúdo real dos prompts, arquivos e resultados.
Como melhorar a privacidade em uma conta pessoal
Um usuário individual pode reduzir a exposição seguindo estas etapas. Elas são controles de privacidade, não uma certificação de conformidade para processos corporativos.
- Abra o menu da conta e acesse Settings → Data controls.
- Desative Improve the model for everyone se não quiser que novas conversas elegíveis sejam usadas para treinamento.
- Revise separadamente as configurações de memória e personalização; desativar treinamento não desativa memória.
- Use Chat Temporário quando não quiser manter a conversa no histórico, entendendo o possível período de segurança de até 30 dias.
- Não envie feedback em uma conversa confidencial, pois o conteúdo associado poderá ser usado para melhoria.
- Exclua chats e memórias que não sejam mais necessários; arquivar não equivale a excluir.
- Use a exportação de dados para verificar o conteúdo associado à conta quando o recurso estiver disponível.
- Apresente solicitações de privacidade pelo Privacy Portal quando os controles da conta não forem suficientes.
- Evite inserir dados pessoais de terceiros, senhas, chaves de API, informações bancárias, prontuários ou documentos confidenciais sem autorização e necessidade claras.
Erros comuns ao avaliar ChatGPT e GDPR
“Desativei o treinamento, então estou em conformidade”
Desativar o treinamento trata apenas de uma parte do ciclo. A conversa ainda precisa ser processada para gerar a resposta, pode permanecer no histórico e pode estar sujeita a controles de segurança e retenção.
“Temos um DPA, então qualquer dado pode ser enviado”
O DPA não cria necessidade, proporcionalidade ou base legal. Também não elimina obrigações relacionadas a dados sensíveis, decisões automatizadas, transparência e direitos dos titulares.
“A residência europeia mantém tudo na Europa”
A documentação oficial limita a residência a conteúdos e recursos definidos. Metadados, autenticação, faturamento, processamento em CPU e integrações externas podem seguir fluxos diferentes.
“Remover o nome torna os dados anônimos”
Datas, cargos, localização, números internos, detalhes de um caso ou combinações de atributos podem permitir a identificação. A organização deve avaliar o conjunto completo, não apenas o campo “nome”.
“A resposta do ChatGPT é apenas um rascunho, então a exatidão não importa”
Se o rascunho for salvo, compartilhado ou usado em uma decisão sobre alguém, uma informação inventada pode se tornar parte de um tratamento real. A revisão precisa acontecer antes desse ponto.
“O administrador não consegue ver as conversas dos funcionários”
As capacidades administrativas variam por plano. A documentação atual afirma, por exemplo, que administradores do ChatGPT Business podem acessar, exportar e excluir conversas de usuários do espaço de trabalho. Políticas internas precisam refletir essa realidade.
Perguntas frequentes
O ChatGPT é certificado pelo GDPR?
As fontes oficiais consultadas não apresentam uma certificação única que torne todos os planos e usos do ChatGPT automaticamente conformes. A OpenAI publica documentos, controles, compromissos de segurança e contratos que podem apoiar a conformidade, mas cada organização deve demonstrar a licitude de seu próprio tratamento.
A OpenAI usa minhas conversas para treinar seus modelos?
Em contas pessoais, novas conversas elegíveis podem ser usadas quando “Improve the model for everyone” está ativado. O usuário pode desativar essa opção. Em espaços Business, Enterprise e Edu, a OpenAI declara que o conteúdo não é usado para treinamento por padrão.
Desativar o treinamento exclui meus chats?
Não. Chats regulares continuam no histórico até serem excluídos. A configuração de treinamento, a memória, o histórico e a exclusão são controles diferentes.
O Chat Temporário é adequado para dados pessoais?
Ele reduz a persistência visível e impede o uso para treinamento, mas pode haver retenção de até 30 dias para segurança. A empresa ainda precisa de base legal, minimização, contrato, transparência e demais salvaguardas. Portanto, não deve ser tratado como autorização automática para dados pessoais.
A OpenAI oferece um DPA?
Sim. A página de Enterprise Privacy informa que a OpenAI pode celebrar DPA com clientes do ChatGPT Business, Enterprise e da API. Para produtos educacionais, podem existir acordos específicos. Verifique a versão e o produto aplicáveis ao seu contrato.
Os dados do ChatGPT ficam armazenados na Europa?
Não em todos os planos e cenários. Clientes elegíveis de determinados produtos podem contratar residência europeia para conteúdo abrangido. Mesmo assim, metadados, integrações e certas etapas de processamento podem ocorrer fora da região, conforme a documentação oficial.
É necessário obter consentimento antes de usar o ChatGPT?
Não necessariamente. O consentimento é apenas uma das bases legais do GDPR. A base adequada depende da finalidade, da relação com o titular, da necessidade do tratamento e do tipo de dado. Quando houver categorias especiais, também será necessária uma condição do artigo 9.
Posso enviar currículos ou dados de funcionários?
Não sem uma avaliação específica. Esses dados exigem finalidade definida, base legal, transparência, segurança, retenção limitada e revisão humana. Se a saída influenciar contratação, promoção, avaliação ou desligamento, o risco aumenta e uma DPIA pode ser necessária.
SOC 2 e criptografia comprovam conformidade com o GDPR?
Não. Eles são evidências relevantes para segurança e controles organizacionais, mas o GDPR também exige licitude, transparência, minimização, finalidade, exatidão, direitos dos titulares e responsabilização.
Qual é a configuração mais segura para uma empresa?
Não existe uma configuração universal. Em geral, a empresa deve usar um espaço gerenciado aprovado, formalizar o contrato adequado, desabilitar usos desnecessários, limitar dados e retenção, controlar integrações e acesso, preparar o atendimento aos titulares e exigir revisão humana. Casos de alto risco precisam de controles adicionais e, possivelmente, DPIA.
Conclusão
Então, o ChatGPT está em conformidade com o GDPR? A resposta correta não é um “sim” irrestrito. A OpenAI oferece mecanismos relevantes para apoiar a conformidade, incluindo política europeia, controles de treinamento, DPA, SCCs, recursos empresariais, segurança e opções de residência para clientes elegíveis.
Esses mecanismos tornam possível estruturar usos compatíveis em determinados contextos. No entanto, a empresa continua responsável por definir uma finalidade legítima, escolher a base legal, minimizar os dados, informar os titulares, limitar a retenção, avaliar transferências e integrações, proteger os dados e revisar a exatidão das saídas.
Para tarefas sem dados pessoais, o caminho costuma ser mais simples. Para fluxos envolvendo clientes, funcionários, saúde, recrutamento, crianças ou decisões relevantes, a aprovação deve ocorrer somente depois de uma análise documentada do processo completo.
Fontes oficiais consultadas
- OpenAI — Europe Privacy Policy: dados coletados, finalidades, retenção, controles, direitos, transferências e controlador europeu.
- OpenAI — Data Processing Addendum: papéis, instruções, segurança, incidentes, auditoria, suboperadores e transferências.
- OpenAI — Enterprise Privacy: treinamento, DPA, segurança, retenção e capacidades administrativas.
- OpenAI — Privacidade, segurança e conformidade de dados empresariais.
- OpenAI Help Center — Data Controls in ChatGPT: treinamento, Chat Temporário, exportação, exclusão e espaços gerenciados.
- OpenAI Help Center — Data Residency and Inference Residency.
- OpenAI — Sub-processor List.
- Comissão Europeia — Princípios do GDPR.
- EUR-Lex — Texto oficial do Regulamento (UE) 2016/679.
- EDPB — Report of the work undertaken by the ChatGPT Taskforce.
Última verificação das fontes: 13 de outubro de 2026. Este artigo é informativo e não constitui aconselhamento jurídico.