ChatGPT e LGPD: riscos, regras e checklist

A LGPD não proíbe o uso do ChatGPT, mas a ferramenta também não torna qualquer tratamento de dados automaticamente regular. A conformidade depende do que é enviado, da finalidade, da base legal, do tipo de conta, das configurações, dos contratos, da retenção, da segurança e do destino internacional das informações.

Quando um prompt, arquivo, imagem, gravação, memória ou resposta contém informações sobre uma pessoa identificada ou identificável, o uso pode envolver tratamento de dados pessoais. Nesse cenário, desativar o treinamento ou assinar o ChatGPT Business é apenas parte do trabalho: a organização ainda precisa cumprir os princípios e as obrigações da Lei Geral de Proteção de Dados Pessoais.

Para uma empresa, a regra mais prudente é não permitir que colaboradores enviem dados de clientes, candidatos, funcionários, pacientes ou estudantes a uma conta pessoal não aprovada. Primeiro, deve-se mapear o caso de uso, verificar se os dados são realmente necessários e configurar um ambiente corporativo compatível com o risco.

Este artigo fornece informações gerais e não substitui uma análise jurídica. Casos envolvendo saúde, biometria, crianças, recrutamento, monitoramento ou decisões que afetem direitos devem passar pelo encarregado de dados e, quando necessário, por assessoria especializada.

ChatGPT e LGPD: a ferramenta está em conformidade?

Não existe uma resposta universal de “sim” ou “não”. O ChatGPT pode fazer parte de uma operação compatível com a LGPD, mas a conformidade precisa ser demonstrada para cada finalidade e fluxo de dados.

Pergunta	Resposta prática
A LGPD proíbe o ChatGPT?	Não. A lei regula o tratamento de dados pessoais, independentemente de a tecnologia ser um chatbot, uma planilha, um sistema de CRM ou outro serviço.
Usar ChatGPT sem dados pessoais exige a mesma análise?	O risco de privacidade é menor quando o conteúdo não identifica nem permite identificar pessoas, embora segurança, confidencialidade e propriedade intelectual continuem relevantes.
Desativar o treinamento garante conformidade?	Não. Isso limita uma finalidade de uso das conversas, mas não resolve base legal, transparência, retenção, transferências, direitos ou segurança.
ChatGPT Business ou Enterprise garante LGPD?	Não automaticamente. Os planos empresariais oferecem controles e compromissos úteis, mas a empresa cliente continua responsável por sua operação.
Um DPA é suficiente?	Não. O contrato organiza obrigações entre cliente e fornecedor, mas deve ser analisado junto à LGPD e às regras brasileiras de transferência internacional.
Posso inserir dados sensíveis?	Somente após uma avaliação específica e com uma hipótese legal adequada, necessidade comprovada, salvaguardas reforçadas e ambiente autorizado.

O ponto central é separar duas perguntas: quais controles a OpenAI oferece e se a operação criada pelo usuário ou pela empresa atende à LGPD. A documentação do fornecedor ajuda a responder à primeira. A segunda exige uma análise do processo completo.

Quando a LGPD se aplica ao uso do ChatGPT

A LGPD se aplica ao tratamento de dados pessoais realizado no Brasil, destinado a oferecer bens ou serviços a pessoas localizadas no país ou referente a dados coletados no território nacional, observadas as exceções previstas na própria lei.

“Tratamento” é um conceito amplo. Inclui coleta, uso, acesso, processamento, armazenamento, transmissão, avaliação, modificação, comunicação e eliminação. Portanto, copiar uma ficha de cliente para um prompt, subir um currículo, resumir uma consulta médica ou salvar a resposta gerada pode formar uma cadeia de várias operações de tratamento.

O uso exclusivamente pessoal pode estar fora do escopo

O artigo 4º da LGPD exclui o tratamento realizado por pessoa natural para fins exclusivamente particulares e não econômicos. Essa exceção pode alcançar, por exemplo, uma pessoa que utiliza a ferramenta para uma tarefa estritamente doméstica.

Ela não deve ser estendida automaticamente a um funcionário que usa uma conta pessoal para processar informações da empresa. Ainda que o login pertença ao empregado, a finalidade é profissional e econômica, e a organização pode continuar responsável pelo fluxo.

Mesmo em uma atividade particular, a ausência de aplicação da LGPD ao ato do usuário não significa que seja prudente expor dados de terceiros, senhas, documentos, segredos ou informações íntimas. A OpenAI continua tratando dados conforme sua própria política, e outras regras de confidencialidade e responsabilidade podem se aplicar.

Quais informações transformam um prompt em tratamento de dados pessoais

Dado pessoal é qualquer informação relacionada a uma pessoa natural identificada ou identificável. Não é necessário escrever o nome completo para que a pessoa possa ser reconhecida.

Nome, CPF, RG, passaporte ou matrícula.
E-mail, telefone, endereço ou localização.
Fotografia, voz, vídeo ou identificador biométrico.
Número de pedido, código de cliente, endereço IP ou identificador de dispositivo quando vinculável a alguém.
Currículo, histórico profissional, avaliação de desempenho ou registro disciplinar.
Transcrição de atendimento, reclamação, processo ou contrato que permita reconhecer as partes.
Informações sobre saúde, religião, opinião política, filiação sindical, origem racial ou étnica, vida sexual, genética ou biometria vinculadas a uma pessoa.

Os últimos exemplos podem constituir dados pessoais sensíveis, sujeitos às hipóteses mais restritas do artigo 11. O fato de o conteúdo estar em formato livre, dentro de um PDF ou misturado a uma conversa não reduz sua proteção.

Remover o nome nem sempre anonimiza

Trocar “Maria Silva” por “Cliente 27” pode ser apenas pseudonimização. Se a empresa consegue consultar uma tabela e descobrir quem é o Cliente 27, a informação continua sendo dado pessoal.

Também é possível identificar alguém pela combinação de cargo, cidade, idade, data de um evento e detalhes do caso. A anonimização exige que a associação direta ou indireta deixe de ser razoavelmente possível com os meios disponíveis no momento do tratamento.

Quais dados o ChatGPT pode receber e tratar

A Política de Privacidade global da OpenAI, aplicável a usuários que vivem fora do Espaço Econômico Europeu, Reino Unido e Suíça, inclui entre os conteúdos recebidos prompts, arquivos, imagens, áudio, vídeo e dados provenientes de serviços conectados.

A política também descreve dados de conta, pagamento, uso, dispositivo, registros técnicos e localização geral. Isso significa que a avaliação não deve se limitar ao texto digitado na caixa de mensagem.

Prompts e respostas: podem conter dados pessoais inseridos pelo usuário ou gerados pelo modelo.
Arquivos: PDFs, planilhas, imagens e documentos podem conter metadados e informações ocultas além do trecho que o usuário pretende analisar.
Memória: pode conservar informações para personalizar conversas futuras, conforme a configuração da conta.
Instruções personalizadas: podem armazenar contexto profissional ou pessoal usado repetidamente.
Apps, pesquisa na web e conectores: podem enviar ou obter informações de outros provedores, sujeitos também às políticas desses serviços.
Links compartilhados: podem expor uma conversa a outras pessoas se forem publicados ou enviados sem revisão.

Antes de aprovar um caso de uso, a empresa deve desenhar o fluxo desde a fonte original até o destino da resposta. Olhar apenas para o prompt ignora armazenamento local, integrações, exportações, logs, compartilhamentos e decisões tomadas posteriormente.

Quem é controlador e quem é operador

Na LGPD, o controlador toma as decisões referentes ao tratamento de dados pessoais. O operador realiza o tratamento em nome do controlador e de acordo com suas instruções.

Esses papéis são funcionais. Uma mesma empresa pode ser controladora em uma operação e operadora em outra. Também não é correto afirmar que a OpenAI possui sempre o mesmo papel em todas as atividades.

Cenário	Papel provável	O que deve ser verificado
Empresa envia dados de seus clientes a um workspace empresarial	A empresa normalmente decide a finalidade e atua como controladora. O DPA da OpenAI declara que a OpenAI atua como processadora dos Customer Data cobertos pelo documento.	Escopo do DPA, instruções, dados permitidos, suboperadores, retenção, direitos e transferências.
Usuário brasileiro utiliza uma conta pessoal	A política global identifica a OpenAI OpCo, LLC como controladora do tratamento descrito nessa política.	Treinamento, memória, retenção, direitos, compartilhamento e localização do tratamento.
Funcionário insere dados de terceiros para uma tarefa profissional	A organização pode ser controladora mesmo que o empregado utilize uma conta pessoal.	Autorização, política interna, base legal, necessidade e responsabilidade da empresa.
Aplicativo ou serviço externo recebe conteúdo do ChatGPT	O terceiro pode assumir papel adicional conforme suas próprias decisões e contrato.	Termos, política, finalidade, retenção, acesso e transferência do terceiro.

O portal da ANPD para titulares reforça que o controlador é quem toma as decisões e deve receber as solicitações relacionadas aos direitos. Em uma operação empresarial, portanto, não é adequado simplesmente encaminhar todos os pedidos à OpenAI sem que a empresa tenha seu próprio processo.

O ChatGPT usa as conversas para treinar modelos?

A resposta depende do produto e das configurações. Não é correto afirmar que toda conversa é sempre usada para treinamento, nem que nenhum conteúdo pode ser analisado ou retido quando o treinamento está desativado.

Contas pessoais

Segundo a página oficial de Data Controls do ChatGPT, o usuário pode desativar Improve the model for everyone. Depois disso, novas conversas não são usadas para treinar os modelos da OpenAI.

Essa alteração não remove os chats do histórico. Conversas regulares continuam salvas até que sejam excluídas, e arquivar um chat não equivale a apagá-lo. Treinamento, histórico, memória, arquivamento e exclusão são controles diferentes.

A política de privacidade informa que, após a exclusão, os dados são removidos dos sistemas em até 30 dias, salvo quando uma retenção maior for necessária por motivos legais, financeiros, de segurança ou prevenção de abuso, ou quando o conteúdo já tiver sido desidentificado e dissociado da conta para melhoria dos modelos.

Chat Temporário

Enquanto permanece temporária, uma conversa não aparece no histórico, não cria nem atualiza memórias e não é usada para melhorar os modelos. A documentação informa, porém, que ela pode ser mantida por até 30 dias para finalidades de segurança.

Uma conversa temporária também pode ser personalizada com memórias, instruções e plugins existentes quando essa opção estiver ativada. Por isso, o recurso reduz a persistência e o uso para treinamento, mas não cria uma “zona sem tratamento de dados” nem autoriza o envio de informações pessoais sem avaliação.

ChatGPT Business, Enterprise e Edu

Na página de Enterprise Privacy, a OpenAI declara que, por padrão, não usa dados do ChatGPT Business, Enterprise, Edu e outros produtos empresariais listados para treinar seus modelos. O compartilhamento para melhoria pode ocorrer quando o cliente opta explicitamente por mecanismos de participação.

Isso representa uma proteção importante, mas não impede todo processamento. A OpenAI informa que pode aplicar classificadores automáticos e ferramentas de segurança, além de permitir acesso limitado em situações descritas na documentação.

A mesma página afirma que administradores de um workspace ChatGPT Business podem visualizar, acessar, exportar e excluir conversas dos usuários da organização. Em Enterprise e Edu, administradores podem acessar logs de auditoria por meio de recursos específicos. Os funcionários devem ser informados sobre essas capacidades.

Ambiente	Treinamento por padrão	Governança	Limite importante
Conta pessoal	O conteúdo elegível pode ser usado quando a melhoria do modelo está ativada.	Controles individuais de treinamento, memória, exportação e exclusão.	Não oferece a mesma administração e estrutura contratual de um workspace corporativo.
ChatGPT Business	Não usa dados empresariais para treinamento por padrão.	Workspace dedicado, controles administrativos, retenção gerenciável e possibilidade de DPA.	Não transforma todos os dados ou casos de uso em permitidos.
ChatGPT Enterprise	Não usa dados empresariais para treinamento por padrão.	Controles empresariais adicionais, retenção e recursos regionais para clientes elegíveis.	O cliente ainda precisa cumprir a LGPD e configurar corretamente o ambiente.
ChatGPT Edu	Não usa o conteúdo do workspace para treinamento por padrão.	Controles institucionais e acordo específico de privacidade estudantil.	Dados de estudantes, crianças e pesquisa podem exigir regras adicionais.

O DPA da OpenAI resolve a LGPD?

O Data Processing Addendum é uma peça importante, mas não é uma aprovação regulatória nem uma certificação de conformidade.

A OpenAI informa que pode celebrar um DPA com clientes do ChatGPT Business, ChatGPT Enterprise e da API. Para ChatGPT Edu e ChatGPT for Teachers, a página empresarial aponta acordos específicos de privacidade estudantil.

No DPA vigente consultado, clientes fora do EEE e da Suíça contratam com a OpenAI OpCo, LLC. O documento declara que a OpenAI atua como processadora dos Customer Data abrangidos, trata-os para fornecer o serviço e presta assistência em solicitações de titulares, segurança, incidentes e avaliações de impacto dentro de seu escopo.

O cliente, por sua vez, continua responsável por possuir os direitos, avisos, consentimentos ou autorizações necessários, escolher configurações apropriadas e cumprir suas próprias obrigações legais.

Outro ponto decisivo para empresas brasileiras é que as SCCs definidas no DPA são as cláusulas contratuais da União Europeia. Elas não devem ser presumidas como equivalentes às cláusulas-padrão brasileiras sem uma decisão da ANPD.

Na página oficial sobre transferência internacional, a ANPD informava, na data desta revisão, que nenhuma cláusula-padrão estrangeira equivalente havia sido reconhecida. Portanto, uma empresa brasileira precisa verificar qual mecanismo do artigo 33 sustenta cada fluxo e se as cláusulas aprovadas pela ANPD foram incorporadas quando aplicáveis.

Onde os dados de brasileiros são processados?

A política global da OpenAI informa que dados pessoais podem ser processados em servidores localizados em várias jurisdições, incluindo os Estados Unidos e países onde estão suas afiliadas, parceiras e prestadoras de serviço.

Isso torna a localização e o mecanismo de transferência parte da avaliação da LGPD. Não basta afirmar que “a nuvem é internacional” ou que o fornecedor possui cláusulas europeias.

O ChatGPT possui residência de dados no Brasil?

Na lista oficial de Data Residency do ChatGPT consultada em 13 de outubro de 2026, o Brasil não aparecia entre as regiões disponíveis para armazenamento em repouso. A elegibilidade era apresentada para clientes qualificados da API e novos clientes qualificados do ChatGPT Enterprise ou Edu.

A lista incluía Austrália, Canadá, Europa, Índia, Japão, Singapura, Coreia do Sul, Emirados Árabes Unidos, Reino Unido e Estados Unidos. As regiões de Inference Residency eram mais limitadas.

Mesmo em uma região suportada, a residência se aplica apenas ao conteúdo e aos recursos incluídos na documentação. Metadados do workspace, faturamento, logins, etapas transitórias, autenticação, roteamento, análises e integrações externas podem seguir fluxos diferentes.

Por que Brazil aparece na lista de suboperadores?

A lista de suboperadores da OpenAI apresenta o Brasil como uma das possíveis localizações de processamento para alguns provedores. Isso não equivale a uma garantia de que o conteúdo de um cliente brasileiro será armazenado exclusivamente no país.

A lista informa onde cada prestador pode processar Customer Data e qual função desempenha. A localização efetiva de um workspace precisa ser confirmada no contrato, na configuração e na documentação aplicável ao produto.

Como cumprir as regras de transferência internacional

O artigo 33 da LGPD permite transferências internacionais em hipóteses específicas. Entre elas estão decisões de adequação, garantias apresentadas pelo controlador, cláusulas-padrão, cláusulas específicas, normas corporativas globais e outras situações previstas na lei.

A Resolução CD/ANPD nº 19/2024 regulamenta parte desses mecanismos e aprovou o texto das cláusulas-padrão contratuais brasileiras. A norma deu 12 meses para que agentes que utilizavam cláusulas contratuais incorporassem o modelo aprovado aos instrumentos aplicáveis; esse prazo já havia transcorrido na data desta revisão.

Em 2026, a ANPD reconheceu a União Europeia como organismo internacional adequado. Isso pode simplificar transferências destinadas ao território coberto pela decisão, mas não resolve automaticamente fluxos destinados à OpenAI OpCo nos Estados Unidos ou a suboperadores em outros países.

Antes de aprovar o ChatGPT, a organização brasileira deve documentar:

Quem exporta e quem recebe os dados.
Em quais países cada etapa pode ocorrer.
Qual hipótese legal dos artigos 7º ou 11 sustenta o tratamento.
Qual mecanismo do artigo 33 sustenta a transferência.
Quais cláusulas, medidas técnicas e garantias adicionais foram adotadas.
Como o titular será informado sobre o compartilhamento internacional.
Como transferências posteriores realizadas por suboperadores serão controladas.

Consentimento é sempre necessário?

Não. Consentimento é uma das hipóteses previstas no artigo 7º, mas não é a única. Dependendo do caso, a operação pode se apoiar em execução de contrato, obrigação legal, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse ou outra hipótese prevista na lei.

A base deve corresponder à finalidade real. Não é correto exibir uma caixa genérica de consentimento apenas para justificar qualquer uso futuro de IA.

Cuidado com o legítimo interesse

O legítimo interesse não é um passe livre. O artigo 10 exige uma finalidade legítima, consideração das expectativas e dos direitos do titular, tratamento apenas dos dados estritamente necessários e medidas de transparência.

Uma empresa que utiliza o ChatGPT sob essa base deve registrar sua avaliação, explicar por que o uso é necessário, examinar alternativas menos invasivas e demonstrar que os benefícios não anulam os direitos das pessoas.

Dados sensíveis exigem outra análise

Para dados de saúde, biometria, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual ou genética, é necessário verificar as hipóteses específicas do artigo 11. Uma base do artigo 7º, isoladamente, não resolve o tratamento de dados sensíveis.

Além da base legal, devem existir necessidade comprovada, acesso restrito, registro, segurança reforçada, retenção limitada e avaliação do impacto. Em muitos casos, a melhor decisão é não enviar esses dados ao serviço.

Princípios da LGPD que devem orientar o uso

Princípio	Aplicação ao ChatGPT
Finalidade	Definir a tarefa específica antes de coletar ou inserir qualquer dado.
Adequação	Verificar se o uso da IA é compatível com o motivo informado ao titular.
Necessidade	Enviar apenas os campos indispensáveis; remover identificadores e trechos irrelevantes.
Livre acesso	Preparar meios para informar e atender a pessoa sobre o tratamento.
Qualidade dos dados	Não tratar uma resposta gerada como fato sem verificar sua exatidão.
Transparência	Explicar que uma ferramenta de IA e fornecedores externos participam do processo.
Segurança	Usar contas corporativas, acesso mínimo, autenticação e configurações aprovadas.
Prevenção	Impedir prompts inadequados antes que ocorram, e não apenas reagir a incidentes.
Não discriminação	Testar e revisar usos que possam produzir tratamento discriminatório.
Responsabilização	Manter registros que demonstrem decisões, contratos, controles, testes e revisões.

Matriz de risco: o que pode ou não ser enviado

Caso de uso	Risco	Abordagem recomendada
Criar ideias de títulos com informações genéricas	Baixo em privacidade, se não houver dado pessoal ou conteúdo confidencial.	Use normalmente, após confirmar que o prompt não contém contexto identificável.
Reescrever um comunicado interno sem nomes	Baixo a médio.	Remova fatos que permitam identificar pessoas e verifique se há segredos comerciais.
Resumir chamados de suporte	Médio a alto.	Retire nomes, contatos, números de pedido e relatos desnecessários; use workspace aprovado e retenção limitada.
Analisar contratos identificados	Alto.	Avalie confidencialidade, base legal, partes, anexos, transferência e ambiente empresarial antes do envio.
Classificar currículos ou avaliar funcionários	Alto.	Envolva RH, encarregado e jurídico; documente critérios, vieses, transparência e possibilidade de revisão.
Resumir prontuários, exames ou laudos	Muito alto.	Não use conta pessoal. Exija aprovação jurídica, técnica e setorial, além de controles para dados sensíveis.
Processar dados de crianças ou estudantes	Muito alto.	Verifique melhor interesse, base aplicável, transparência acessível, contrato e controles institucionais.
Inserir senha, chave de API ou credencial	Crítico em segurança.	Não envie. Revogue imediatamente qualquer segredo exposto e investigue o incidente.

O risco também aumenta quando a saída influencia contratação, crédito, saúde, educação, acesso a serviço, preço, investigação ou outra decisão relevante para uma pessoa.

Decisões automatizadas e informações incorretas

Modelos generativos podem produzir informações falsas ou imprecisas sobre indivíduos. A própria política da OpenAI alerta que as respostas nem sempre são factualmente corretas.

Quando uma resposta entra em um cadastro, relatório, avaliação ou decisão, a organização deve verificar sua origem e exatidão. O princípio da qualidade dos dados e o direito de correção não desaparecem porque o conteúdo foi gerado por IA.

O artigo 20 da LGPD concede ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, além de informações claras sobre critérios e procedimentos, observados os segredos comercial e industrial.

A redação atual não determina que a revisão seja necessariamente realizada por uma pessoa natural. Ainda assim, estabelecer supervisão humana qualificada é uma medida de governança recomendável, especialmente em recrutamento, crédito, saúde, educação e gestão de trabalhadores.

Checklist para uma empresa usar ChatGPT sob a LGPD

Defina o caso de uso. Registre a tarefa, o objetivo, os usuários, a entrada, a saída e a decisão posterior.
Mapeie os dados. Identifique dados pessoais, sensíveis, de crianças, confidenciais, financeiros e credenciais.
Teste se os dados são necessários. Prefira dados sintéticos, agregados ou efetivamente anonimizados.
Defina os agentes de tratamento. Documente controlador, operador, suboperadores e serviços conectados.
Escolha a base legal. Analise artigos 7º e 11 conforme o tipo de dado e a finalidade.
Selecione um ambiente aprovado. Evite contas pessoais para processos corporativos com dados de terceiros.
Revise o contrato e o DPA. Confirme escopo, instruções, retenção, assistência, auditoria, incidentes e término.
Valide a transferência internacional. Identifique destinos e incorpore um mecanismo aceito pela LGPD e pela regulamentação da ANPD.
Revise os suboperadores. Analise países, finalidades, prestadores opcionais e notificações de mudança.
Configure o workspace. Defina treinamento, memória, retenção, apps, compartilhamento, GPTs, pesquisa e permissões.
Aplique menor privilégio. Dê acesso apenas a quem precisa e remova usuários desligados ou transferidos.
Atualize a transparência. Informe titulares e funcionários sobre finalidade, compartilhamento, retenção, direitos e decisões.
Prepare o atendimento de direitos. Saiba localizar, acessar, corrigir, bloquear e excluir dados em todos os sistemas envolvidos.
Defina revisão das respostas. Estabeleça quem valida exatidão, discriminação, adequação e uso final.
Avalie um RIPD. Documente riscos, salvaguardas e alternativas quando o impacto potencial for elevado.
Prepare resposta a incidentes. Inclua prompts, arquivos, links compartilhados, credenciais e integrações no procedimento.
Treine os usuários. Mostre exemplos concretos do que é permitido, proibido e sujeito à aprovação.
Revise periodicamente. Políticas, planos, suboperadores, regiões e recursos podem mudar.

A empresa precisa elaborar um RIPD?

Não existe uma regra segundo a qual todo uso do ChatGPT exige automaticamente um Relatório de Impacto à Proteção de Dados Pessoais. O artigo 38 permite que a ANPD determine sua elaboração, e o documento é especialmente útil quando o tratamento pode gerar riscos relevantes.

A necessidade se torna mais forte quando o projeto envolve:

Dados pessoais sensíveis.
Crianças, adolescentes ou pessoas vulneráveis.
Grande volume de dados.
Monitoramento ou avaliação sistemática.
Perfil profissional, crédito, saúde ou comportamento.
Decisões com efeitos relevantes.
Combinação de bases de dados.
Transferências internacionais complexas.
Tecnologia nova sem controles consolidados.

Um RIPD útil deve descrever o processo completo, os dados, os agentes, os países, os riscos, as medidas de mitigação, a retenção, os direitos e o uso das respostas. Um documento genérico que apenas descreve o ChatGPT não avalia a operação real.

O que incluir em uma política interna de IA

A política deve transformar princípios abstratos em regras que o funcionário consiga aplicar antes de enviar um conteúdo.

Ferramentas, planos e contas autorizados.
Finalidades aprovadas e usos proibidos.
Classes de dados que nunca podem ser enviadas.
Casos que exigem aprovação do encarregado, segurança, jurídico ou gestor.
Procedimento para anonimização, pseudonimização e revisão de arquivos.
Configurações obrigatórias de treinamento, memória, retenção e compartilhamento.
Regras para apps, conectores, GPTs, pesquisa na web e MCP.
Obrigação de revisar exatidão, vieses, direitos autorais e confidencialidade.
Proibição de decisões críticas sem supervisão adequada.
Canal para informar erro, vazamento, credencial exposta ou uso indevido.
Consequências e procedimento de resposta a violações.
Periodicidade de treinamento e revisão da política.

Uma regra como “não compartilhe dados sensíveis” é insuficiente se o empregado não souber reconhecer um laudo médico, uma avaliação de desempenho ou uma informação biométrica como dado sensível. Use exemplos do trabalho real da organização.

Como um usuário individual pode reduzir a exposição

Estes controles melhoram a privacidade, mas não transformam uma conta pessoal em ambiente corporativo aprovado.

Abra Settings → Data controls.
Desative Improve the model for everyone se não quiser que novas conversas elegíveis sejam usadas para treinamento.
Revise a memória separadamente; desativar treinamento não desativa memórias salvas.
Exclua memórias, chats e arquivos que não sejam mais necessários.
Lembre que arquivar uma conversa não a exclui.
Use Chat Temporário quando não quiser manter a conversa no histórico, considerando a retenção de segurança informada pela OpenAI.
Desative a personalização do Chat Temporário quando não quiser que memórias e instruções existentes sejam usadas.
Revise links compartilhados e remova os que não deveriam continuar acessíveis.
Não insira dados de terceiros, documentos, senhas, chaves ou informações bancárias sem necessidade e autorização claras.
Use o Privacy Portal da OpenAI para solicitações que não possam ser resolvidas pelos controles da conta.

Como atender aos direitos dos titulares

O artigo 18 assegura direitos como confirmação da existência do tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários ou tratados irregularmente, portabilidade, informações sobre compartilhamento e revogação do consentimento quando aplicável.

Em um fluxo empresarial, a organização controladora precisa saber onde procurar o dado:

Na fonte original.
No prompt e no arquivo enviado.
No histórico ou na memória.
Na resposta gerada.
Em exportações, relatórios ou sistemas internos.
Em apps, conectores e suboperadores.

Se o dado pertence a Customer Data coberto pelo DPA, a empresa deve coordenar a assistência da OpenAI conforme o contrato. Se o pedido diz respeito ao tratamento realizado pela OpenAI como controladora de uma conta pessoal, o usuário pode utilizar o Privacy Portal ou os canais informados na política.

O que fazer em caso de incidente

Inserir uma planilha de clientes em uma conta não autorizada, publicar um link de conversa, expor uma chave ou ativar uma integração inadequada pode exigir resposta imediata.

Interrompa o compartilhamento ou acesso.
Exclua o conteúdo quando isso for seguro e preserve os registros necessários à investigação.
Revogue senhas, tokens e chaves expostas.
Identifique dados, titulares, contas, integrações e destinatários afetados.
Acione segurança, privacidade, jurídico e o fornecedor.
Avalie risco ou dano relevante aos titulares.
Documente a decisão sobre comunicação.

A página oficial da ANPD sobre comunicação de incidente de segurança informa que o controlador deve comunicar à autoridade e aos titulares quando o incidente puder acarretar risco ou dano relevante, observados os critérios e procedimentos aplicáveis.

Erros comuns sobre ChatGPT e LGPD

“Basta retirar o nome”

Outros atributos podem identificar a pessoa. Se houver uma chave para reverter o código, o dado está pseudonimizado, não anonimizado.

“Desativei o treinamento, então a LGPD foi resolvida”

A configuração não cria base legal, não informa o titular, não define retenção, não resolve a transferência e não elimina automaticamente o conteúdo.

“Business permite enviar qualquer informação”

O compromisso de não treinar por padrão reduz um risco, mas dados sensíveis, crianças, decisões e segredos continuam exigindo avaliação e controles.

“O DPA prova conformidade”

O DPA define obrigações contratuais dentro de um escopo. A empresa ainda precisa demonstrar finalidade, necessidade, base legal, transparência, direitos, segurança e mecanismo de transferência.

“Brazil na lista de suboperadores significa data center local”

A lista mostra possíveis locais de processamento de alguns prestadores. Ela não constitui, isoladamente, uma garantia de residência exclusiva no Brasil.

“A IA apenas recomenda; a exatidão não importa”

Se uma recomendação é armazenada, compartilhada ou usada para decidir algo sobre alguém, uma informação inventada pode produzir consequências reais. A revisão deve ocorrer antes desse uso.

Perguntas frequentes

O ChatGPT está em conformidade com a LGPD?

Não existe conformidade automática para todos os planos e usos. A OpenAI oferece controles e contratos que podem apoiar uma operação compatível, mas o usuário ou a empresa precisa avaliar finalidade, dados, base legal, transparência, segurança, retenção, direitos e transferências.

A LGPD proíbe usar ChatGPT?

Não. A LGPD regula o tratamento de dados pessoais, e não proíbe uma tecnologia específica. Um uso sem dados pessoais pode apresentar baixo risco de privacidade, enquanto um fluxo com prontuários ou currículos exige controles muito maiores.

Posso colocar CPF ou nome de um cliente no ChatGPT?

Não faça isso por conveniência. A empresa deve demonstrar necessidade, finalidade, base legal, transparência, contrato, segurança e mecanismo de transferência. Na maioria dos casos, o identificador pode ser removido antes do processamento.

Desativar o treinamento deixa a conta compatível com a LGPD?

Não por si só. A configuração impede o uso de novas conversas elegíveis no treinamento, mas os chats podem permanecer no histórico e continuar sendo processados para prestar e proteger o serviço.

Chat Temporário é seguro para dados pessoais?

Ele não aparece no histórico, não atualiza memórias e não é usado para treinamento, mas pode ser retido por até 30 dias para segurança. O recurso não substitui base legal, contrato, minimização ou autorização da empresa.

ChatGPT Business é suficiente para uma empresa?

É um ambiente mais apropriado que uma conta pessoal para muitos fluxos corporativos, pois oferece workspace e controles administrativos e não usa os dados empresariais para treinamento por padrão. Mesmo assim, a adequação depende do caso de uso, contrato, configurações e riscos.

A OpenAI é controladora ou operadora?

Depende da operação. Para Customer Data abrangido pelo DPA empresarial, a OpenAI declara atuar como processadora. Na política de uma conta pessoal brasileira, a OpenAI OpCo é indicada como controladora do tratamento descrito. Outros fluxos podem exigir análise própria.

O consentimento do cliente é obrigatório?

Não necessariamente. Consentimento é uma das bases legais possíveis. A organização deve escolher a hipótese adequada à finalidade e, no caso de dados sensíveis, também verificar o artigo 11.

Os dados ficam armazenados no Brasil?

A documentação de Data Residency consultada não listava o Brasil como região disponível para ChatGPT. A presença do país na lista de possíveis locais de alguns suboperadores não garante armazenamento local exclusivo.

EU SCCs atendem automaticamente à LGPD?

Não se deve presumir isso. As SCCs europeias e as cláusulas-padrão aprovadas pela ANPD são instrumentos distintos. Na data da revisão, a ANPD informava que nenhuma cláusula estrangeira equivalente havia sido reconhecida.

Posso analisar currículos com ChatGPT?

Esse é um uso de risco elevado porque envolve dados profissionais e pode afetar oportunidades. A empresa deve avaliar base legal, transparência, necessidade, discriminação, exatidão, revisão de decisões, retenção e possível RIPD antes de adotar o fluxo.

Como excluir ou corrigir dados no ChatGPT?

O usuário pode utilizar os controles da conta para excluir chats, memórias ou a conta e recorrer ao Privacy Portal para solicitações adicionais. Em um workspace empresarial, o titular normalmente deve procurar primeiro a organização controladora, que poderá solicitar assistência da OpenAI conforme o contrato.

Conclusão

ChatGPT e LGPD são compatíveis somente quando o uso é planejado e documentado de acordo com o risco. A lei não proíbe a ferramenta, mas também não permite que dados pessoais sejam inseridos sem finalidade, necessidade, base legal, transparência e proteção.

Para tarefas genéricas sem dados pessoais, a exposição tende a ser menor. Para dados de clientes, funcionários, candidatos, pacientes, crianças ou estudantes, a organização deve usar um ambiente aprovado, revisar o DPA, validar a transferência internacional, limitar os dados, configurar retenção e acesso, preparar o atendimento aos titulares e supervisionar as respostas.

A medida mais eficaz não é proibir qualquer uso nem liberar tudo. É criar regras claras para diferenciar tarefas de baixo risco das situações que exigem aprovação, controles adicionais ou a decisão de não usar a ferramenta.

Fontes oficiais consultadas

Fontes verificadas em 13 de outubro de 2026. Este conteúdo é informativo e não constitui aconselhamento jurídico.