- A LGPD não proíbe usar IA; ela exige propósito, necessidade (minimização) e segurança.
- O erro mais comum é tratar “um print/planilha” como se fosse “só texto”. Geralmente contém dado pessoal.
- Classificação simples (4 níveis) reduz 80% da ambiguidade no dia a dia.
- Quando houver dúvida entre níveis, trate como o mais restritivo.
- Anônimizar não é só tirar nome: identificadores indiretos reidentificam pessoas.
Passo 1 — Defina os 4 níveis (sem burocracia)
Use uma taxonomia curta e operacional: (1) Público: já publicado e sem restrição. (2) Interno: informação da empresa que não deve circular fora, mas não identifica pessoa. (3) Pessoal: identifica ou pode identificar alguém (cliente, funcionário, lead). (4) Sensível/Segredo: dados pessoais sensíveis (saúde, biometria etc.) e segredos de negócio (estratégia, pricing, chaves, códigos proprietários).
Passo 2 — Faça 3 perguntas antes de colar
Pergunte: (a) Isso identifica alguém direta ou indiretamente? (b) Se vazar, o dano é reversível ou grave? (c) Eu realmente preciso desse nível de detalhe para a IA responder? Se (a) for “sim”, já não é “interno”; se (b) for “grave”, trate como sensível/segredo; se (c) for “não”, reduza o conteúdo.
Passo 3 — Aplique minimização (a regra que mais salva)
Antes de usar IA, reescreva a entrada para conter apenas o necessário: troque nomes por papéis (Cliente A), remova CPF/telefone/endereço, reduza datas a mês/ano quando possível, substitua valores exatos por faixas, e recorte a planilha para poucas linhas/colunas relevantes. Minimização é compatível com produtividade e costuma melhorar a resposta.
Passo 4 — Se for “pessoal”, use anonimização/mascaramento de verdade
Anonimização útil para IA costuma ser: pseudonimização (IDs fictícios), generalização (idade por faixa), supressão (remover campos), e barulho controlado (quando aplicável). Atenção: dados “internos” + contexto podem reidentificar. Se você mantém uma tabela de equivalência (ID → pessoa), isso é pseudônimo, não anonimização total.
Passo 5 — Crie regras de permissão por nível (o que pode e o que não pode)
Transforme a classificação em política simples de uso: Público (pode). Interno (pode, minimizado; sem anexar dumps). Pessoal (só com anonimização + justificativa + revisão humana). Sensível/Segredo (não colar; usar alternativas: síntese manual, RAG interno controlado, ou ambiente aprovado pela empresa).
Passo 6 — Registre o mínimo: propósito e decisão
Sem inventar processos pesados: mantenha um registro leve (um parágrafo ou ticket) dizendo o propósito (ex.: “rascunhar e-mail”), o tipo de dado (nível), e o que foi removido/mascarado. Isso ajuda auditoria interna, conformidade e aprendizagem da equipe.
Tabela rápida: o que entra (ou não) no prompt
A tabela abaixo é deliberadamente prática. Ela não substitui jurídico/DP0, mas organiza o cotidiano de quem precisa decidir em 30 segundos.
Onde eu não tenho como afirmar um requisito técnico exato (porque muda por fornecedor e configuração), eu marco como “depende do ambiente/contrato” — e essa é a deixa para checar suas configurações internas.
| Nível | Exemplos típicos | Pode usar em IA aberta? | Controle recomendado |
|---|---|---|---|
| Público | Texto do site, post já publicado, legislação pública, manual público | Sim | Revisão humana do output (evitar erro factual e direitos autorais) |
| Interno | Processos internos sem nomes, políticas internas, descrição de produto sem números estratégicos | Com cautela | Minimização + evitar anexos grandes + não colar credenciais |
| Pessoal | E-mails de clientes, dados de RH, leads com telefone, conversas de suporte identificáveis | Em geral, evite; se necessário, só anonimizando e com governança | Mascaramento + justificativa + revisão + checagem de reidentificação |
| Sensível / Segredo | Prontuário, laudo, biometria, crença/filiação, dados de menores, chaves de API, roadmap, pricing estratégico | Não | Alternativa segura (ambiente aprovado, dado sintetizado, ou não usar IA) |
Os 5 “pegadinhas” que fazem times errarem a classificação
1) Identificadores indiretos: “mulher, 43 anos, gerente, mora em cidade pequena” pode identificar alguém com facilidade.
2) Prints e PDFs: capturam nomes, e-mails, IDs, assinatura, metadados. Trate como pessoal até provar o contrário.
3) Logs e tickets: quase sempre têm dado pessoal e, às vezes, segredo (tokens, URLs internas).
4) Dados financeiros: nem tudo é “sensível” pela LGPD, mas pode ser de alto impacto e sigiloso por contrato/risco.
5) Mistura de contextos: colar ‘só um trecho’ de conversa ainda pode conter dados pessoais no histórico.
Modelo curto de regra interna (copie e adapte)
Se você precisa de um texto de política que caiba num Slack/Teams, use este formato:
“Em IA generativa, só é permitido colar dados Públicos. Dados Internos apenas minimizados e sem anexos/dumps. Dados Pessoais somente anonimizados, com justificativa e revisão humana. Dados Sensíveis e Segredos não devem ser inseridos. Na dúvida, classifique para cima e peça orientação.”
- Na dúvida: classifique como “pessoal”.
- Se for “pessoal”: minimize e masqueie antes.
- Se for “sensível/segredo”: não entra — procure alternativa.
Perguntas frequentes
Pela LGPD, posso colar dados de clientes no ChatGPT/Claude/Gemini?
Anonimizar é só remover nome e CPF?
Dados da empresa (sem nomes) ainda podem ser problemáticos?
O que fazer quando eu preciso de ajuda da IA com um caso real (suporte, jurídico, RH)?
Leia também
Como anonimizar dados antes de usar ChatGPT, Claude ou Gemini (2026): checklist sem vazar informação
Guia prático para anonimizar e minimizar dados antes de colar textos em ChatGPT, Claude ou Gemini. Checklist, exemplos do que remover, tabela de riscos e perguntas frequentes para evitar vazamentos e exposição de clientes, contratos e dados pessoais.
Ler →
Política de uso de IA generativa na empresa (2026): modelo prático com foco em LGPD, segurança e qualidade
Guia direto para criar política interna de uso de IA generativa: o que permitir, o que proibir, como classificar dados, aprovar ferramentas, reduzir vazamentos e evitar alucinação. Com passos e checklist para times no Brasil, alinhado à LGPD.
Ler →
Checklist para escolher ferramenta de IA (SaaS) sem dor de cabeça: LGPD, segurança, custo e qualidade (2026)
Guia prático (sem enrolação) para avaliar e contratar ferramenta de IA no Brasil: LGPD, retenção de dados, segurança, testes de qualidade, custos e governança. Inclui checklist por etapas e perguntas para o fornecedor.
Ler →
Workflow human-in-the-loop para suporte ao cliente com IA (2026): como ganhar velocidade sem perder controle
Guia prático para montar um fluxo human-in-the-loop (HITL) no atendimento ao cliente com IA: triagem, rascunho, aprovação, auditoria, LGPD e métricas. Inclui tabela de papéis, checklist e FAQs.
Ler →