Atualizado em: 8 de junho de 2026
Sim, em alguns contextos, mas não automaticamente. O ChatGPT está em conformidade com o GDPR? Depende do contexto de uso, da versão utilizada, do tipo de dado inserido, da base legal, do contrato com a OpenAI, das configurações de privacidade e da governança interna da organização.
A OpenAI oferece recursos que podem apoiar programas de privacidade e segurança, especialmente em produtos empresariais, como DPA, controles administrativos, criptografia, retenção configurável e opções de residência de dados para clientes elegíveis. Ainda assim, usar ChatGPT não torna uma empresa automaticamente compatível com o GDPR.
Este conteúdo tem finalidade exclusivamente informativa e educacional e não constitui aconselhamento jurídico. Organizações devem consultar profissionais qualificados antes de tomar decisões relacionadas à conformidade com GDPR, RGPD ou LGPD.
Resposta rápida: O ChatGPT está em conformidade com o GDPR?
O ChatGPT pode apoiar a conformidade com o GDPR em determinados cenários, especialmente em ambientes empresariais com DPA, controles administrativos, políticas de retenção e uso adequado de dados. No entanto, o uso do ChatGPT não é automaticamente compatível com o GDPR. A conformidade depende de como os dados pessoais são coletados, inseridos, processados, armazenados, transferidos e protegidos.
Em outras palavras: a pergunta correta não é apenas “o ChatGPT é compatível?”, mas sim “o meu uso do ChatGPT está compatível com o GDPR, conhecido em Portugal como RGPD?”.
O que significa estar em conformidade com o GDPR?
Estar em conformidade com o GDPR significa tratar dados pessoais de acordo com os princípios do regulamento europeu. O artigo 5 do GDPR exige que os dados sejam tratados de forma lícita, leal e transparente; coletados para finalidades específicas, explícitas e legítimas; limitados ao necessário; exatos; conservados apenas pelo tempo necessário; e protegidos com medidas adequadas de segurança. O controlador também deve ser capaz de demonstrar conformidade, princípio conhecido como accountability.
Na prática, isso exige responder a perguntas como: qual dado pessoal será inserido no ChatGPT? Qual é a finalidade? Existe base legal? O titular foi informado? O dado é sensível? Há contrato de tratamento de dados? Por quanto tempo o dado será retido? Quem consegue acessar as conversas? Há registro, auditoria e política interna?
No contexto de IA generativa, a conformidade é ainda mais delicada porque prompts, arquivos enviados e respostas do modelo podem conter dados pessoais, dados de clientes, informações de empregados, dados de saúde, informações financeiras ou conteúdo confidencial.
O que a OpenAI afirma sobre privacidade, dados e GDPR?
Segundo suas páginas oficiais, a OpenAI afirma que, por padrão, não usa dados de organizações em ChatGPT Enterprise, ChatGPT Business, ChatGPT Edu, ChatGPT for Healthcare, ChatGPT for Teachers e API Platform para treinar ou melhorar modelos. A empresa também afirma usar criptografia em repouso e em trânsito, além de oferecer controles de retenção para organizações qualificadas.
A OpenAI também declara que suas práticas de proteção de dados podem apoiar a conformidade dos clientes com GDPR, CCPA e outras leis de privacidade, além de oferecer Data Processing Addendum, ou DPA, para apoiar requisitos empresariais de tratamento de dados. Clientes elegíveis de ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare e API podem usar opções de residência de dados em regiões como Europa, Reino Unido, Estados Unidos e outras localidades. As políticas de retenção e exclusão podem variar conforme o produto, configuração, contrato e obrigações legais aplicáveis. A OpenAI também publica orientações específicas sobre retenção de chats e arquivos, incluindo exclusão programada, Temporary Chats e exceções legais. Por isso, a documentação oficial deve ser revisada antes de qualquer decisão de conformidade.
No DPA da OpenAI, a empresa afirma que pode processar Customer Data em nome do cliente, atuando como Data Processor, e que processará esses dados conforme instruções documentadas do cliente. O DPA também trata de solicitações de titulares, segurança, assistência em DPIA/AIPD, suboperadores, retorno ou exclusão de dados e transferências internacionais com mecanismos como SCCs quando aplicável.
Para usuários individuais na Europa, a política de privacidade europeia da OpenAI lista direitos como acesso, exclusão, retificação, portabilidade, restrição, retirada de consentimento e reclamação perante autoridade supervisora. Ela também informa controles para escolher se o conteúdo pode ser usado para melhorar e treinar modelos.
Essas declarações são importantes, mas não equivalem a uma garantia universal de conformidade. O uso correto continua dependendo do controlador dos dados, isto é, da empresa ou pessoa que decide por que e como os dados pessoais serão tratados.
ChatGPT gratuito ou Plus vs ChatGPT Business, Enterprise e API
| Tipo de uso | Adequado para dados pessoais? | Controles administrativos | DPA | Risco | Recomendação prática |
|---|---|---|---|---|---|
| ChatGPT gratuito | Evite, salvo dados mínimos e não sensíveis | Limitados | Normalmente não | Alto | Não inserir dados pessoais de clientes ou empregados |
| ChatGPT Plus/Pro pessoal | Evite para uso corporativo com dados pessoais | Limitados para empresa | Normalmente não | Alto a médio | Usar apenas para tarefas sem dados pessoais identificáveis |
| ChatGPT Business | Pode ser adequado com governança | Sim | Verificar contrato aplicável | Médio | Usar contas corporativas, política interna e controles |
| ChatGPT Enterprise/Edu | Mais adequado para empresas | Sim, incluindo SSO, SCIM, RBAC e analytics em planos elegíveis | Sim, conforme contrato | Menor, se bem configurado | Avaliar DPA, retenção, acesso, auditoria e DPIA |
| API da OpenAI | Pode ser adequada em aplicações controladas | Sim, por projeto/organização | Sim | Variável | Implementar minimização, logs, segurança e revisão jurídica |
A diferença central é que produtos empresariais e API oferecem mais controles contratuais, técnicos e administrativos do que contas pessoais. Em serviços individuais, a OpenAI informa que pode usar conteúdo para melhorar modelos, dependendo das configurações do usuário, com opção de opt-out. Para produtos de negócios, a OpenAI informa que, por padrão, não treina com inputs ou outputs, salvo opt-in explícito da organização.
Usuários também podem controlar determinadas configurações de privacidade por meio dos recursos Data Controls da OpenAI, incluindo a opção “Improve the model for everyone” e o uso de Temporary Chats.
Quais são os principais riscos de GDPR ao usar ChatGPT?
O primeiro risco é inserir dados pessoais sem base legal clara. Nomes, e-mails, documentos, endereços, histórico profissional, dados de clientes e informações de saúde podem ser dados pessoais. Se a empresa usa esses dados no ChatGPT sem finalidade legítima, transparência e base legal, pode violar princípios do GDPR.
O segundo risco é inserir dados sensíveis. O GDPR trata com maior rigor dados sobre saúde, origem racial ou étnica, opiniões políticas, religião, dados biométricos, vida sexual e orientação sexual. O próprio DPA da OpenAI observa que dados sensíveis não são destinados a serem transferidos, salvo se o usuário os incluir inesperadamente em dados não estruturados.
Também há risco de finalidade incompatível. Uma empresa que coletou dados para atendimento ao cliente não deve reutilizá-los livremente para treinar prompts, gerar análises internas ou automatizar decisões sem avaliar compatibilidade, base legal e informação ao titular.
Outros riscos incluem retenção excessiva, dificuldade de corrigir ou remover dados em respostas geradas, transferência internacional, uso de contas pessoais por empregados, ausência de política de IA, falta de auditoria e inexistência de DPIA/AIPD quando o tratamento envolver alto risco. O artigo 35 do GDPR exige avaliação de impacto quando uma operação, especialmente com novas tecnologias, puder resultar em alto risco para direitos e liberdades das pessoas.
O que disseram reguladores europeus sobre ChatGPT e IA generativa?
O European Data Protection Board, EDPB, criou uma força-tarefa sobre ChatGPT em 2023 para promover cooperação entre autoridades europeias que investigavam o tratamento de dados pessoais no contexto do serviço. O relatório da força-tarefa abordou temas como legalidade da coleta de dados de treinamento, web scraping, prompts, outputs, treinamento com conteúdo de usuários, transparência, exatidão e direitos dos titulares.
O EDPB destacou que a responsabilidade por conformidade com o GDPR não deve ser transferida para os titulares dos dados. Também observou que, quando dados pessoais são coletados diretamente na interação com o ChatGPT, requisitos de informação do artigo 13 do GDPR se tornam especialmente relevantes, inclusive sobre eventual uso de conteúdo para treinamento.
Na Itália, a autoridade Garante Privacy anunciou anteriormente o encerramento de uma investigação preliminar com multa de 15 milhões de euros e campanha informativa. Contudo, a própria página oficial informa que a decisão nº 755, de 2 de novembro de 2024, foi removida temporariamente do site após a sentença nº 4153/2026 do Tribunal de Roma, publicada em 18 de março de 2026, que acolheu o recurso contra a decisão da autoridade.
Esse histórico não permite afirmar, de forma simplista, que “o ChatGPT violou definitivamente o GDPR” em todos os contextos. O ponto mais seguro é: o caso demonstra incertezas regulatórias relevantes, e a decisão judicial não significa isenção automática do GDPR.
Uma empresa pode usar ChatGPT em conformidade com o GDPR?
Sim, uma empresa pode usar ChatGPT em conformidade com o GDPR, desde que implemente controles jurídicos, técnicos e organizacionais adequados.
As principais medidas são:
- definir a finalidade do uso;
- identificar a base legal apropriada;
- aplicar minimização de dados;
- evitar dados sensíveis sempre que possível;
- assinar DPA quando usar produtos empresariais ou API;
- configurar retenção e exclusão;
- usar contas corporativas, não contas pessoais;
- ativar SSO, MFA, RBAC e logs quando disponíveis;
- treinar colaboradores sobre o que pode ou não ser inserido;
- realizar DPIA/AIPD quando houver alto risco;
- avaliar transferências internacionais;
- documentar decisões e políticas internas.
A empresa continua responsável por seus próprios dados. Mesmo quando a OpenAI atua como operador/processador, o cliente pode ser controlador se decide a finalidade e os meios do tratamento. O DPA da OpenAI também coloca obrigações no cliente, como fornecer avisos necessários, manter direitos, consentimentos e autorizações aplicáveis e configurar os serviços de forma compatível com leis de proteção de dados.
Checklist prático de conformidade antes de usar ChatGPT
| Pergunta | Por que importa para o GDPR? | Ação recomendada |
|---|---|---|
| Que dados serão inseridos? | Define risco e obrigações | Classificar dados pessoais, sensíveis e confidenciais |
| Qual é a finalidade? | Evita uso incompatível | Documentar a finalidade do tratamento |
| Existe base legal? | O tratamento precisa ser lícito | Validar consentimento, contrato, obrigação legal ou interesse legítimo |
| O titular foi informado? | Garante transparência | Atualizar aviso de privacidade quando necessário |
| É possível anonimizar? | Reduz risco | Usar anonimização ou pseudonimização |
| Há DPA? | Regula relação controlador-operador | Verificar contrato com OpenAI |
| Quem acessa o conteúdo? | Afeta segurança e confidencialidade | Usar permissões, SSO, MFA e controle de papéis |
| Há retenção definida? | Evita armazenamento excessivo e riscos legais | Configurar prazos e exclusão, considerando contrato, produto usado e possíveis obrigações legais ou ordens aplicáveis |
| Existe transferência internacional? | Pode exigir salvaguardas | Avaliar SCCs, região e suboperadores |
| O uso gera alto risco? | Pode exigir DPIA/AIPD | Realizar avaliação de impacto antes do uso |
E no Brasil? Relação entre GDPR, RGPD e LGPD
Para empresas brasileiras, o tema também é relevante. O GDPR pode se aplicar a organizações fora da União Europeia quando elas oferecem bens ou serviços a pessoas na União ou monitoram seu comportamento, conforme o artigo 3 do regulamento.
A LGPD brasileira tem princípios semelhantes, como finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização. A lei brasileira exige que o tratamento de dados pessoais observe boa-fé e princípios previstos em seu artigo 6º.
Mesmo assim, estar em conformidade com a LGPD não significa automaticamente cumprir o GDPR. Se uma empresa brasileira atende usuários na União Europeia, processa dados de residentes europeus ou atua com parceiros europeus, deve avaliar separadamente as exigências do GDPR, conhecido em Portugal como RGPD.
Boas práticas para usar ChatGPT com menor risco
A regra mais segura é não inserir dados pessoais no ChatGPT quando eles não forem necessários. Quando forem necessários, use a menor quantidade possível e tenha base legal clara.
Também é recomendável remover identificadores diretos, usar pseudonimização, não inserir dados de saúde, dados financeiros, dados jurídicos sensíveis ou informações de menores em ferramentas gerais, e preferir versões empresariais com DPA, controles administrativos, retenção configurável e políticas internas.
Empresas devem treinar funcionários, criar uma política de uso de IA generativa, revisar configurações de treinamento e opt-out, monitorar atualizações da OpenAI e acompanhar orientações de autoridades europeias e da ANPD.
Perguntas frequentes
O ChatGPT é 100% compatível com o GDPR?
Não de forma absoluta. A conformidade depende do contexto de uso, dos dados inseridos, da base legal, do contrato, das configurações e das medidas internas de governança.
Posso colocar dados pessoais no ChatGPT?
Pode ser possível em cenários controlados, mas não é recomendável inserir dados pessoais sem necessidade, base legal, transparência e avaliação de risco. Para empresas, o ideal é usar ambiente corporativo com DPA e controles.
O ChatGPT usa minhas conversas para treinar modelos?
Em serviços individuais, a OpenAI informa que pode usar conteúdo para melhorar modelos, dependendo das configurações, e que o usuário pode optar por não usar novas conversas para treinamento. Em produtos de negócios, a OpenAI afirma que não treina com inputs e outputs por padrão, salvo opt-in da organização.
Empresas precisam de DPA para usar ChatGPT?
Quando há tratamento de dados pessoais em nome da empresa, o DPA é uma peça importante para regular papéis, instruções, segurança, suboperadores, direitos dos titulares, exclusão e transferências internacionais.
O GDPR se aplica a empresas brasileiras?
Pode se aplicar quando a empresa brasileira oferece bens ou serviços a pessoas na União Europeia ou monitora seu comportamento dentro da União.
Qual é a diferença entre GDPR e RGPD?
É o mesmo regulamento. GDPR é a sigla em inglês para General Data Protection Regulation; RGPD é a sigla usada em português europeu para Regulamento Geral sobre a Proteção de Dados.
O que fazer antes de usar ChatGPT com dados de clientes?
Classifique os dados, defina a finalidade, valide a base legal, verifique o DPA, reduza dados pessoais, configure retenção, limite acessos, treine a equipe e realize DPIA/AIPD se houver alto risco.
Conclusão
O ChatGPT não deve ser tratado como “compatível” ou “incompatível” com o GDPR de forma absoluta. A resposta correta é: depende do contexto de uso.
Para usuários individuais, o cuidado principal é evitar inserir dados pessoais ou sensíveis desnecessários e revisar controles de privacidade. Para empresas, a conformidade exige DPA, governança, minimização de dados, avaliação de base legal, retenção adequada, controles de acesso, treinamento interno e, quando necessário, DPIA/AIPD.
Portanto, O ChatGPT está em conformidade com o GDPR? Ele pode apoiar a conformidade em cenários bem governados, mas o uso responsável e documentado continua sendo obrigação de quem decide tratar os dados.