Atualizado em: junho de 2026
Resposta rápida: o ChatGPT não viola a LGPD automaticamente. O risco surge quando pessoas ou empresas inserem dados pessoais sem finalidade clara, base legal, transparência, segurança e governança. Contas pessoais e uso sem login exigem cautela maior; planos corporativos e API oferecem controles melhores, mas não tornam a empresa automaticamente conforme. A regra prática é simples: não envie dados identificáveis quando dados anonimizados ou fictícios resolverem o problema. A LGPD disciplina o tratamento de dados pessoais no Brasil, inclusive em meios digitais, e exige princípios como finalidade, necessidade, transparência, segurança, prevenção e responsabilização.
Este conteúdo é informativo e educacional e não constitui aconselhamento jurídico. Para decisões de conformidade com a LGPD, consulte o encarregado/DPO, jurídico ou profissional qualificado.
ChatGPT viola a LGPD?
Não necessariamente. O uso do ChatGPT não é ilegal por si só. A questão central é como a ferramenta é usada, quais dados são enviados, para qual finalidade, em qual versão do serviço e com quais controles internos.
Uma empresa pode usar ChatGPT para revisar um texto genérico, estruturar ideias, resumir conteúdo público, criar rascunhos de políticas internas ou transformar dados anonimizados em relatórios. Em cenários assim, o risco de LGPD tende a ser menor, desde que não haja identificação direta ou indireta de pessoas.
O problema aparece quando colaboradores colam no prompt dados como CPF, RG, endereço, telefone, e-mail, prontuário médico, reclamações de clientes, processos trabalhistas, contratos confidenciais, dados de crianças ou informações de saúde. Nesses casos, a empresa pode estar realizando tratamento de dados pessoais em ambiente de terceiros sem necessidade, sem transparência, sem base legal adequada e sem contrato ou avaliação de risco.
Portanto, a resposta correta para “ChatGPT LGPD” é: o ChatGPT pode ser usado de forma compatível com a LGPD, mas o uso sem governança pode gerar riscos relevantes de proteção de dados. A própria ANPD já apontou que IA generativa envolve riscos de privacidade, incluindo raspagem de dados, geração de conteúdos sintéticos que podem conter informações pessoais e compartilhamento de dados pessoais em sistemas de IA generativa.
O que a LGPD considera tratamento de dados no uso do ChatGPT?
A LGPD considera dado pessoal qualquer informação relacionada a uma pessoa natural identificada ou identificável. Isso inclui dados óbvios, como nome e CPF, mas também combinações de informações que permitam identificar alguém indiretamente, como cargo, cidade, histórico de atendimento e detalhes de um caso.
No contexto do ChatGPT, “tratamento” pode ocorrer quando uma empresa coleta, copia, envia, armazena, compartilha, analisa, resume, classifica ou transforma dados pessoais por meio da ferramenta. Um prompt com dados de cliente não é apenas “uma pergunta”: pode ser uma operação de tratamento de dados.
Os principais papéis são:
| Conceito | Como aparece no uso de ChatGPT |
|---|---|
| Titular | Pessoa a quem os dados se referem: cliente, paciente, aluno, candidato, colaborador. |
| Controlador | Empresa que decide por que e como os dados serão usados. |
| Operador | Fornecedor que trata dados em nome do controlador, dependendo da relação contratual. |
| Encarregado/DPO | Canal entre empresa, titulares e ANPD. |
| Dado pessoal sensível | Origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, saúde, vida sexual, dado genético ou biométrico. |
| Finalidade | Objetivo específico do uso: atendimento, análise jurídica, suporte interno, RH, marketing etc. |
A LGPD exige que o tratamento respeite princípios como finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização. Para empresas, isso significa que o uso de IA generativa deve ser documentado e limitado ao que for realmente necessário.
O que acontece com os dados enviados ao ChatGPT?
Depende do tipo de plano, das configurações de privacidade e do contexto de uso.
Nos serviços para indivíduos, como ChatGPT em workspace pessoal, a OpenAI informa que pode usar conteúdo para treinar modelos, com opção de opt-out. Em planos pessoais ChatGPT Free, Plus ou Pro, a configuração de compartilhamento de dados pode vir ativada por padrão, embora o usuário possa desativá-la em Data Controls.
Já para ChatGPT Business, ChatGPT Enterprise e API, a OpenAI informa que, por padrão, não usa inputs e outputs de clientes empresariais para treinar modelos, salvo opt-in explícito. Esses planos também oferecem compromissos e controles voltados a organizações, como privacidade empresarial, criptografia e, em certos casos, controles de retenção.
Temporary Chat, quando disponível, não aparece no histórico, não cria memórias e não é usado para treinar modelos; a documentação da OpenAI informa que essas conversas temporárias podem ser mantidas por até 30 dias para fins de segurança, embora possam ser revisadas para monitoramento de abuso.
| Plano / uso | Os dados podem ser usados para treinamento? | Controles disponíveis | Adequado para dados pessoais de clientes? | Observações de LGPD |
|---|---|---|---|---|
| ChatGPT Free/Plus/Pro pessoal | Sim, por padrão em workspace pessoal, salvo opt-out | Data Controls, opt-out, exclusão/arquivo, Temporary Chat quando disponível | Não recomendado | Use apenas dados anonimizados, fictícios ou públicos. Não é ideal para processos corporativos com dados reais. |
| ChatGPT Business | Não por padrão | Workspace corporativo, controles administrativos, privacidade empresarial | Pode ser considerado, com governança | Ainda exige base legal, política interna, DPA, avaliação de risco e controle de acesso. |
| ChatGPT Enterprise | Não por padrão | Controles avançados, administração centralizada, segurança corporativa | Mais adequado, se bem configurado | Recomendável para empresas com uso recorrente e maior exposição a dados. |
| API da OpenAI | Não por padrão, salvo opt-in | Controles técnicos, integração, contratos, opções de retenção conforme elegibilidade | Pode ser adequado em soluções controladas | Exige arquitetura segura, minimização, logs, DPA e revisão de suboperadores. |
| ChatGPT sem login, quando disponível | Trate como uso individual; há menos controles de conta | Controles e histórico dependem da experiência disponível e do estado de login; não use para dados pessoais, sensíveis ou corporativos. | Não recomendado | A OpenAI informa que o ChatGPT pode ser acessado antes de criar conta, mas recomenda não compartilhar informação sensível. |
Principais riscos de LGPD ao usar ChatGPT
1. Envio de dados pessoais sem necessidade
O erro mais comum é colar dados reais quando dados fictícios bastariam. Um colaborador pode enviar nome, e-mail, CPF e histórico de compra apenas para pedir um resumo.
Como reduzir: aplique minimização. Remova identificadores, use exemplos fictícios e mantenha apenas os elementos necessários para a tarefa.
2. Dados sensíveis
Dados de saúde, biometria, vida sexual, religião, opinião política ou dados genéticos exigem cuidado reforçado. Um prompt com prontuário médico ou laudo psicológico pode criar risco elevado.
Como reduzir: proíba dados sensíveis em contas pessoais e permita uso apenas em ambientes corporativos aprovados, quando houver base legal, contrato e controles específicos.
3. Desvio de finalidade
Dados coletados para atendimento ao cliente não devem ser reutilizados livremente para treinar fluxos internos, criar campanhas ou testar IA, salvo se houver finalidade compatível e base legal.
Como reduzir: defina finalidades permitidas por área e documente cada caso de uso.
4. Falta de transparência ao titular
A pessoa pode não saber que seus dados estão sendo processados em uma ferramenta de IA generativa.
Como reduzir: atualize avisos de privacidade, políticas internas e contratos com informações claras sobre uso de fornecedores de IA, quando aplicável.
5. Base legal frágil
“Temos consentimento” não resolve tudo. Consentimento precisa ser livre, informado e específico. Além disso, nem todo uso de IA se encaixa bem em consentimento.
Como reduzir: associe cada finalidade a uma base legal própria e peça validação do jurídico ou do encarregado.
6. Transferência internacional de dados
Serviços estrangeiros podem envolver transferência internacional ou coleta internacional, a depender do fluxo e da relação entre agentes. A Resolução CD/ANPD nº 19/2024 regulamenta mecanismos como cláusulas-padrão, cláusulas específicas, normas corporativas globais e decisões de adequação.
Como reduzir: avalie DPA, suboperadores, países envolvidos e mecanismos de transferência.
7. Ausência de contrato ou DPA
Usar uma conta pessoal para dados corporativos pode deixar a empresa sem garantias contratuais adequadas.
Como reduzir: priorize planos empresariais ou API com contrato, DPA e termos revisados.
8. Incidentes de segurança
Um funcionário pode inserir dados pessoais em ferramenta não autorizada. Isso pode exigir apuração interna e, se houver risco ou dano relevante, comunicação à ANPD e aos titulares. A ANPD informa que incidentes com risco ou dano relevante devem ser comunicados pelo controlador em prazo de três dias úteis, conforme a Resolução CD/ANPD nº 15/2024.
Como reduzir: crie procedimento de resposta a incidentes, canal de reporte e treinamento.
9. Decisões automatizadas sem revisão humana
Usar ChatGPT para selecionar candidatos, classificar clientes ou avaliar risco de crédito pode impactar direitos de titulares.
Como reduzir: mantenha revisão humana, registre critérios e evite decisões relevantes baseadas exclusivamente em IA.
10. Alucinações envolvendo pessoas reais
Modelos generativos podem produzir respostas incorretas. Se a resposta inventar informação sobre uma pessoa, a empresa pode gerar dano reputacional ou tratamento de dado inexato.
Como reduzir: revise saídas, valide fatos e não use respostas como fonte única para decisões sobre pessoas.
Quais dados nunca devem ser colocados no ChatGPT?
A política mais segura é: não insira dados reais identificáveis em contas pessoais ou ambientes não aprovados pela empresa.
| Tipo de dado | Exemplos | Por que é arriscado | Alternativa segura |
|---|---|---|---|
| Identificação civil | CPF, RG, CNH, passaporte | Identifica diretamente o titular | Substituir por “Cliente A”, “Pessoa 1” ou dado fictício |
| Contato | E-mail, telefone, endereço | Permite contato e identificação | Usar domínios fictícios e remover localização exata |
| Dados bancários | Conta, cartão, PIX, extrato | Risco de fraude e dano financeiro | Usar faixas, categorias ou valores simulados |
| Saúde | Laudo, prontuário, exame, CID | Dado sensível com risco elevado | Usar caso clínico fictício e sem identificadores |
| Crianças e adolescentes | Dados escolares, responsáveis, idade exata | Grupo vulnerável e proteção reforçada | Usar dados agregados e cenários fictícios |
| Dados trabalhistas sensíveis | Afastamento, doença, denúncia interna | Pode gerar discriminação | Remover nomes e detalhes identificadores |
| Contratos confidenciais | Cláusulas estratégicas, valores, partes | Segredo comercial e risco contratual | Resumir sem partes, valores e termos sensíveis |
| Estratégias judiciais | Tese, provas, clientes, processo | Sigilo profissional e risco jurídico | Usar hipótese genérica sem caso real |
| Segredos comerciais | Roadmap, preço, código proprietário | Perda de vantagem competitiva | Usar abstrações e documentação interna aprovada |
| Credenciais | Senhas, tokens, chaves de API | Risco imediato de acesso indevido | Nunca inserir; rotacionar se vazadas |
Base legal: quando consentimento não resolve tudo
A LGPD prevê diferentes hipóteses legais para tratamento de dados pessoais. Consentimento é apenas uma delas. Dependendo do caso, podem ser relevantes execução de contrato, cumprimento de obrigação legal, exercício regular de direitos, proteção da vida ou da saúde, tutela da saúde ou legítimo interesse.
O erro é escolher a base legal depois do uso, como justificativa. A ordem correta é: primeiro definir finalidade, categoria de dados, necessidade, riscos e titulares afetados; depois escolher a base legal adequada.
O legítimo interesse merece cuidado especial. Segundo guia da ANPD, ele se aplica a dados pessoais não sensíveis e exige avaliação de requisitos como finalidade, necessidade, legítima expectativa do titular, balanceamento e salvaguardas. A ANPD também apresenta modelo de teste de balanceamento.
Em termos práticos: não use “legítimo interesse” como desculpa para colar bases inteiras de clientes no ChatGPT. Também não use consentimento genérico como autorização para qualquer uso futuro de IA. Cada finalidade precisa de avaliação própria.
Transferência internacional de dados e ChatGPT
Ferramentas de IA fornecidas por empresas estrangeiras podem envolver infraestrutura, suporte, suboperadores ou tratamento fora do Brasil. Isso não significa que o uso seja proibido, mas significa que a empresa deve entender o fluxo.
O art. 33 da LGPD trata das hipóteses de transferência internacional. A ANPD esclarece que a Resolução CD/ANPD nº 19/2024 regulamenta os artigos da LGPD sobre transferência internacional e trata de mecanismos como cláusulas-padrão contratuais, cláusulas equivalentes, cláusulas específicas, normas corporativas globais e decisões de adequação.
Também é importante distinguir transferência internacional de mera coleta internacional. A ANPD explica que o regulamento se aplica a operações que envolvam transferência de dados pessoais de um agente de tratamento exportador para outro importador localizado em país estrangeiro ou organismo internacional; a mera coleta internacional diretamente do titular, por exemplo por um site de e-commerce, não caracteriza esse procedimento.
Para empresas, o caminho seguro é revisar contrato, DPA, política de privacidade, suboperadores, local de tratamento, medidas técnicas e mecanismo jurídico aplicável.
RIPD, DPA e governança: o que empresas devem documentar
O RIPD, Relatório de Impacto à Proteção de Dados Pessoais, é a documentação que descreve processos de tratamento que podem gerar alto risco aos princípios da LGPD e aos direitos dos titulares, incluindo medidas, salvaguardas e mecanismos de mitigação. A ANPD recomenda sua elaboração em contextos de alto risco, preferencialmente antes do início do tratamento.
Para uso de ChatGPT e IA generativa, considere RIPD quando houver:
- grande volume de dados pessoais;
- dados sensíveis;
- dados de crianças ou adolescentes;
- decisões automatizadas ou perfilamento;
- integração com bases internas;
- uso por áreas de RH, saúde, jurídico, financeiro ou atendimento;
- compartilhamento internacional relevante;
- risco de dano material, moral, discriminação ou fraude.
O DPA, por sua vez, é o acordo de tratamento de dados. O DPA da OpenAI informa que, no fornecimento dos serviços ao cliente, a OpenAI pode processar dados do cliente de acordo com as instruções do cliente e para a prestação dos serviços, atuando como operador/processador conforme o contrato e a legislação aplicável.
Checklist de conformidade para usar ChatGPT com LGPD
- Mapear casos de uso por área.
- Classificar dados permitidos, restritos e proibidos.
- Escolher plano adequado ao risco.
- Desativar treinamento quando aplicável.
- Avaliar DPA e termos contratuais.
- Avaliar transferência internacional de dados.
- Definir base legal por finalidade.
- Anonimizar ou pseudonimizar dados.
- Implementar DLP quando possível.
- Treinar colaboradores.
- Registrar decisões e aprovações.
- Revisar política semestralmente.
- Criar processo de resposta a incidentes.
Como anonimizar prompts antes de usar ChatGPT
Anonimizar não é apenas trocar o nome por iniciais. Um dado só é efetivamente anonimizado quando não permite identificar o titular considerando meios técnicos razoáveis disponíveis. Pseudonimização reduz o risco, mas ainda permite reidentificação se houver chave ou contexto suficiente. Mascaramento simples, como “João S.”, pode ser insuficiente se o restante do prompt revela cargo, cidade, empresa e data.
Prompt ruim com dados pessoais
“Resuma esta reclamação: Maria Almeida, CPF 123.456.789-00, moradora da Rua X, comprou um produto em 12/05 e disse que seu cartão final 1234 foi cobrado duas vezes.”
Prompt mais seguro com dados removidos
“Resuma uma reclamação de cliente sobre cobrança duplicada em uma compra online. Não inclua dados pessoais. Destaque problema, impacto e próxima ação de atendimento.”
Prompt corporativo recomendado
“Atue como analista de atendimento. Com base no caso anonimizado abaixo, gere um resumo interno sem identificação do cliente, sem inferir dados pessoais e com linguagem objetiva. Caso faltem informações, indique como ‘informação não fornecida’.”
A melhor anonimização começa antes do prompt: remova dados identificadores na origem, use variáveis genéricas e evite detalhes desnecessários.
Exemplos práticos por setor
| Setor | Pode usar para | Evite | Controle recomendado |
|---|---|---|---|
| Jurídico/advocacia | Rascunhar cláusulas genéricas, revisar linguagem, criar checklists | Dados de clientes, estratégia processual, documentos sigilosos | Ambiente corporativo, aprovação do sócio responsável, anonimização forte |
| RH | Criar descrições de vaga, roteiros de entrevista, políticas internas | Laudos, denúncias, dados de saúde, avaliações identificadas | Política interna, revisão humana, base legal por finalidade |
| Atendimento ao cliente | Criar respostas padrão e resumos de casos anonimizados | Histórico completo com nome, CPF, endereço e contato | DLP, templates, remoção automática de identificadores |
| Saúde | Educação em saúde, textos gerais, organização de protocolos | Prontuários, exames, dados clínicos identificáveis | Ambiente aprovado, RIPD, controle de acesso e revisão profissional |
| Educação | Criar planos de aula, rubricas e atividades | Dados de alunos, desempenho individual, dados de menores | Dados agregados, consentimentos quando aplicável, governança escolar |
| Marketing/vendas | Ideias de campanha, personas fictícias, revisão de copy | Listas de leads, e-mails, histórico individual de compra | Segmentos agregados, bases minimizadas, revisão de privacidade |
| TI/desenvolvimento | Documentação, testes com dados sintéticos, revisão de código | Chaves de API, tokens, segredos, logs com usuários | Secrets manager, dados sintéticos, revisão de segurança |
Modelo curto de política interna de uso de ChatGPT e IA generativa
1. Objetivo
Estabelecer regras para uso seguro e responsável de ferramentas de IA generativa, incluindo ChatGPT, em conformidade com a LGPD, contratos, políticas internas e boas práticas de segurança.
2. Escopo
Aplica-se a colaboradores, prestadores, parceiros e qualquer pessoa que utilize ferramentas de IA generativa em nome da empresa.
3. Dados proibidos
É proibido inserir dados pessoais identificáveis, dados sensíveis, dados de crianças e adolescentes, credenciais, senhas, tokens, chaves de API, segredos comerciais, documentos confidenciais ou informações protegidas por sigilo profissional em contas pessoais ou ferramentas não aprovadas.
4. Dados permitidos
Podem ser usados dados públicos, fictícios, anonimizados ou agregados, desde que não permitam identificação direta ou indireta de titulares.
5. Uso de contas corporativas
Quando houver finalidade de trabalho, o uso deve ocorrer preferencialmente em workspace corporativo aprovado pela empresa, com controles de privacidade, segurança e administração.
6. Revisão humana
Nenhuma resposta gerada por IA deve ser usada como decisão final sobre pessoas, contratos, diagnósticos, crédito, emprego ou direitos sem revisão humana qualificada.
7. Registro e auditoria
Casos de uso relevantes devem ser registrados com finalidade, área responsável, categoria de dados, ferramenta utilizada, base legal e controles aplicados.
8. Incidentes
Qualquer envio indevido de dados pessoais, credenciais ou informações confidenciais deve ser comunicado imediatamente ao encarregado/DPO e à área de segurança.
9. Sanções internas
O descumprimento desta política pode gerar medidas disciplinares conforme normas internas e legislação aplicável.
10. Revisão periódica
Esta política deve ser revisada ao menos semestralmente ou sempre que houver mudança relevante na ferramenta, legislação, contrato ou orientação da ANPD.
ChatGPT, LGPD e o futuro da regulação de IA no Brasil
A regulação de IA no Brasil ainda está em evolução. O PL 2338/2023, aprovado no Senado e enviado à Câmara, dispõe sobre desenvolvimento, fomento e uso ético e responsável da inteligência artificial com centralidade na pessoa humana. Na consulta realizada em junho de 2026, a Câmara indicava situação de “aguardando parecer do relator” na Comissão Especial sobre Inteligência Artificial, com relatoria designada ao deputado Aguinaldo Ribeiro.
Esse projeto ainda não deve ser tratado como lei vigente. Ele é um contexto regulatório importante, mas a conformidade atual deve partir da LGPD, normas da ANPD, contratos, segurança da informação, governança de fornecedores e boas práticas de IA responsável.
A tendência é clara: mais transparência, mais documentação, avaliação de risco, supervisão humana e mecanismos de responsabilização. A própria ANPD destaca desafios como uso de dados pessoais para finalidades diferentes das planejadas, falta de transparência em decisões automatizadas e vieses discriminatórios.
Perguntas frequentes sobre ChatGPT e LGPD
1. O ChatGPT viola a LGPD?
Não automaticamente. O risco depende do dado inserido, finalidade, base legal, transparência, contrato, versão usada e controles de segurança.
2. Posso enviar dados de clientes ao ChatGPT?
Em regra, não envie dados identificáveis em contas pessoais. Para uso corporativo, avalie plano empresarial, DPA, base legal, minimização, transferência internacional e governança.
3. ChatGPT usa minhas conversas para treinar modelos?
Em serviços individuais, a OpenAI informa que pode usar conteúdo para treinar modelos, com opção de opt-out. Em ChatGPT Business, Enterprise e API, a regra informada é não usar inputs e outputs para treinamento por padrão.
4. ChatGPT Business ou Enterprise é suficiente para estar em conformidade?
Não sozinho. Ajuda a reduzir riscos, mas a conformidade depende também de política interna, base legal, transparência, controle de acesso, treinamento, DPA, RIPD quando necessário e revisão humana.
5. Dados anonimizados podem ser usados?
Sim, desde que sejam realmente anonimizados. Se a pessoa puder ser reidentificada por contexto, cruzamento ou detalhes restantes, o risco continua.
6. Preciso de consentimento para usar ChatGPT?
Depende da finalidade. Consentimento não é solução universal. Outras bases legais podem ser mais adequadas, mas devem ser avaliadas pelo jurídico ou DPO.
7. O uso de ChatGPT exige RIPD?
Nem sempre. RIPD deve ser considerado em tratamentos de alto risco, especialmente com dados sensíveis, grande escala, crianças, decisões automatizadas ou integrações com bases internas.
8. O que fazer se um funcionário colou dados pessoais no ChatGPT?
Registre o ocorrido, preserve evidências, avalie categoria e volume dos dados, verifique risco aos titulares, acione o DPO e segurança da informação, e avalie necessidade de comunicação conforme regras da ANPD.
9. Advogados podem usar ChatGPT com dados de clientes?
Devem ter cautela máxima. O uso pode ser aceitável para tarefas genéricas ou dados anonimizados, mas inserir peças, provas, estratégias ou dados de clientes pode violar sigilo profissional e LGPD.
10. Empresas pequenas também precisam se preocupar com LGPD?
Sim. O porte pode influenciar obrigações e abordagem regulatória, mas não elimina a necessidade de proteger dados pessoais e adotar controles proporcionais.
11. Posso usar ChatGPT para decisões automatizadas?
Evite decisões relevantes exclusivamente automatizadas sobre pessoas. Use revisão humana, critérios documentados, testes de viés e transparência.
12. Qual é a forma mais segura de começar?
Comece com usos sem dados pessoais: rascunhos, ideias, revisão de textos genéricos, dados sintéticos e checklists. Depois avance para casos mais sensíveis com governança formal.
Conclusão
ChatGPT pode ser uma ferramenta útil para produtividade, atendimento, jurídico, RH, marketing, TI e educação. O maior risco para LGPD não está na IA em si, mas no uso sem critério: copiar dados reais, ignorar finalidade, usar conta pessoal para informação corporativa, não revisar contratos e deixar colaboradores sem orientação.
A abordagem segura é combinar minimização de dados, anonimização, plano adequado, DPA, avaliação de transferência internacional, RIPD quando necessário, treinamento e revisão humana. Em casos de alto risco, envolva o encarregado/DPO, jurídico, segurança da informação e gestores da área antes de colocar dados pessoais em qualquer ferramenta de IA generativa.