O uso seguro do ChatGPT na empresa começa por medir quais ferramentas de IA a equipe já usa e que dados entram nelas. Depois, a empresa decide o que é permitido, adota contas corporativas que não treinam modelos com seus dados por padrão, escreve uma política de uso de IA e acompanha o cumprimento.
Por que controlar o uso do ChatGPT na empresa?
Quando um funcionário cola um contrato, uma planilha de clientes ou um trecho de código no ChatGPT, essa informação sai do ambiente da empresa e passa a seguir as regras do plano que ele usa. Em conta pessoal, a regra quem escolhe é o funcionário. Em conta corporativa, quem escolhe é a empresa.
A OWASP classifica a divulgação de informação sensível como um dos riscos principais de aplicações com modelos de linguagem e recomenda orientar os usuários a não inserir dados sensíveis, além de oferecer termos de uso claros (OWASP LLM02:2025). Proibir tudo costuma empurrar o uso para contas pessoais, onde a empresa não enxerga nada. Controlar dá mais resultado do que proibir.
Como descobrir quais IAs a equipe já usa?
Antes de escrever qualquer regra, levante o uso real. A pergunta tem duas partes: quais ferramentas e que tipo de dado vai nelas. Um questionário anônimo ajuda, mas o registro técnico é mais confiável.
- Consulte os logs do proxy, do firewall ou do DNS e procure os domínios de serviços de IA generativa (ChatGPT, Gemini, Copilot, Claude, Perplexity e similares).
- Liste as extensões de navegador e os aplicativos instalados nas estações; muitas ferramentas de IA chegam por extensão.
- Verifique no provedor de identidade (Microsoft Entra ID, Google Workspace) quais aplicativos de terceiros receberam permissão de acesso aos dados da empresa.
- Pergunte por área: o jurídico usa para revisar contratos? O comercial para propostas? O desenvolvimento para código? Cada resposta indica um tipo de dado.
- Classifique o que aparecer em três grupos: dado público, dado interno e dado restrito (pessoal, financeiro, segredo comercial, código proprietário).
Que dados nunca devem ir para o ChatGPT?
A regra prática é simples: se o dado não poderia ser enviado por e-mail para um fornecedor sem contrato, ele também não vai para uma IA sem contrato. Na maioria das empresas, a lista de proibidos em contas não corporativas inclui:
- dados pessoais de clientes, pacientes, alunos ou funcionários (nome com CPF, contato, saúde, salário);
- senhas, tokens, chaves de API e arquivos de configuração com credenciais;
- código-fonte proprietário e detalhes de arquitetura interna;
- contratos, propostas e informações financeiras ainda não públicas;
- informações protegidas por sigilo profissional ou por acordo de confidencialidade.
Que conta ou plano do ChatGPT a empresa deve usar?
A diferença entre plano pessoal e plano corporativo está no controle dos dados. Na página de privacidade empresarial, a OpenAI afirma que não treina seus modelos com os dados de negócio do ChatGPT Business, ChatGPT Enterprise, ChatGPT Edu e da API por padrão, que o cliente é dono das entradas e saídas (onde a lei permitir) e que oferece login corporativo por SAML SSO (OpenAI, Enterprise privacy).
Nos planos pessoais, o uso das conversas para treino depende da opção "Improve the model for everyone", que o próprio usuário liga ou desliga nas configurações. O chat temporário não aparece no histórico, não é usado para treinar modelos e pode ficar retido por até 30 dias por motivo de segurança (OpenAI, Data controls). Na prática, a empresa não consegue garantir essa configuração em contas pessoais.
Por isso, a decisão costuma ser: liberar uma ferramenta corporativa aprovada, com login pela identidade da empresa, e restringir o uso de contas pessoais para trabalho. Antes de contratar, peça o acordo de tratamento de dados (DPA) e confira a política de retenção.
A LGPD vale para dados colados no ChatGPT?
Vale. A Lei 13.709/2018 define dado pessoal como informação relacionada a pessoa natural identificada ou identificável (art. 5º, I) e chama de tratamento toda operação com esses dados, incluindo transmissão e processamento (art. 5º, X). Colar dados de um cliente em uma ferramenta de IA é tratamento.
Isso traz três consequências diretas. O tratamento precisa de uma base legal do art. 7º. A empresa deve adotar medidas de segurança técnicas e administrativas (art. 46). E, quando o serviço de IA processa os dados fora do Brasil, a operação também precisa se enquadrar nas hipóteses de transferência internacional do art. 33. Um contrato corporativo com cláusulas de proteção de dados ajuda a cumprir essas exigências; uma conta pessoal não oferece nada disso.
O que escrever na política de uso de IA?
A política de uso de IA traduz as decisões anteriores em regras que o funcionário entende em cinco minutos. Ela deve caber em duas ou três páginas e responder às perguntas que surgem no dia a dia.
- Ferramentas aprovadas e como acessá-las (por exemplo, só com login corporativo).
- Classificação dos dados: o que pode, o que pode com cuidado (dado interno sem identificação) e o que nunca pode.
- Revisão humana obrigatória: resposta de IA não vai para cliente, contrato ou produção sem conferência de uma pessoa.
- Como pedir a aprovação de uma ferramenta nova e quem decide.
- O que fazer ao perceber que um dado proibido foi enviado: avisar a segurança da informação ou o encarregado de dados no mesmo dia.
- Consequências do descumprimento, alinhadas ao código de conduta já existente.
- Dono da política e data da próxima revisão.
Como acompanhar o uso de IA depois da política?
Política sem acompanhamento vira documento de gaveta. O AI Risk Management Framework do NIST, de uso voluntário, organiza a gestão de risco de IA em quatro funções: governar, mapear, medir e gerenciar. Para uma empresa média, isso se traduz em uma rotina enxuta.
- Repita o levantamento de ferramentas a cada trimestre, com a mesma fonte de logs, para comparar.
- Use os controles do plano corporativo (SSO, logs de auditoria, retenção) e revise quem tem acesso.
- Registre os incidentes de dado enviado indevidamente e trate a causa, que quase sempre é falta de alternativa aprovada.
- Treine as equipes com exemplos do próprio setor e atualize a política quando surgir ferramenta ou caso novo.
Por onde começar a governança de IA na empresa?
Comece pelo levantamento: sem saber quais IAs a equipe usa, qualquer regra fica no escuro. Em seguida, escolha uma ferramenta corporativa para atender a demanda que apareceu, publique a política curta e marque a primeira revisão. O perfil de IA generativa do NIST (NIST AI 600-1) traz uma lista de riscos e ações sugeridas que serve de roteiro para as etapas seguintes.
Para saber em que ponto sua empresa está, responda ao autodiagnóstico de AI Security. A CyberArmor faz esse trabalho de levantamento, política e acompanhamento na frente de AI Security.
Perguntas frequentes
Como controlar o uso de IA pelos funcionários?
Primeiro, descubra quais ferramentas já estão em uso pelos logs de proxy, DNS e pelo provedor de identidade. Depois, aprove uma ferramenta corporativa com login da empresa, defina quais dados podem ser usados e publique uma política curta. Por fim, repita o levantamento periodicamente e trate os desvios como falta de alternativa, oferecendo o caminho aprovado.
Como evitar vazamento de dados no ChatGPT?
Use um plano corporativo em que o fornecedor não treina modelos com os dados da empresa por padrão, com login centralizado e retenção configurada. Proíba dados pessoais, credenciais, código proprietário e contratos em contas pessoais. Treine a equipe com exemplos reais do setor e crie um canal para avisar quando algo for enviado por engano.
Preciso de uma política de uso de IA?
Sim, se a equipe usa ou pode usar ferramentas de IA no trabalho. A política deixa claro quais ferramentas são aprovadas, que dados podem entrar nelas, quando a revisão humana é obrigatória e o que fazer em caso de erro. Sem ela, cada funcionário decide sozinho, e a empresa não tem como cobrar nem demonstrar controle.
A LGPD vale para dados colados no ChatGPT?
Vale. Colar dados de uma pessoa identificável em uma ferramenta de IA é tratamento de dado pessoal segundo o art. 5º da LGPD. A empresa precisa de base legal, medidas de segurança (art. 46) e, quando o serviço processa dados fora do país, enquadramento nas regras de transferência internacional do art. 33.
O que é governança de IA na empresa?
É o conjunto de decisões, regras e rotinas que define como a empresa usa inteligência artificial: quem aprova ferramentas, que dados podem ser usados, como os riscos são medidos e quem responde por eles. O AI RMF do NIST organiza esse trabalho em quatro funções (governar, mapear, medir e gerenciar) e pode servir de referência.
Fontes
- LLM02:2025 Sensitive Information Disclosure (OWASP Foundation)
- Enterprise privacy at OpenAI (OpenAI)
- Data controls in ChatGPT (OpenAI)
- Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais) (Presidência da República)
- AI Risk Management Framework (NIST)
- NIST AI 600-1: Generative Artificial Intelligence Profile (NIST)
Este guia faz parte da frente Uso seguro de IA. Os termos técnicos estão explicados no glossário de cibersegurança.