Conversas com assistentes de IA podem ser armazenadas e usadas para treinar modelos. Entenda o que ChatGPT, Gemini e Claude fazem com os dados, quais informações nunca devem ser compartilhadas e como empresas devem estruturar governança, configuração e políticas de uso para reduzir exposição.
Introdução contextual
A adoção de assistentes de inteligência artificial generativa deixou de ser um experimento isolado e passou a integrar a rotina operacional de empresas de diferentes portes. Funcionários usam ChatGPT, Gemini, Claude e ferramentas similares para redigir documentos, analisar planilhas, resumir contratos, gerar código e apoiar decisões. O ganho de produtividade é real, mas ele vem acompanhado de uma pergunta que muitas organizações ainda não responderam com clareza: o que acontece com o conteúdo dessas conversas depois que a sessão termina?
A reportagem de O Globo traz esse tema para o centro do debate ao explicar que as conversas com assistentes de IA podem ser armazenadas, analisadas ou utilizadas para treinar modelos, e que existem dados que nunca deveriam ser disponibilizados nesses ambientes. A questão não é apenas de privacidade individual: é de governança corporativa, segurança da informação e continuidade de negócios.
Este texto não reproduz a matéria. Ele contextualiza o assunto e traduz os desdobramentos para o ambiente empresarial, com foco em decisões que lideranças de tecnologia, segurança, jurídico e compliance precisam tomar.
O que aconteceu
A publicação original chama atenção para um ponto frequentemente subestimado por usuários corporativos: os controles de privacidade e de uso de dados variam entre plataformas e entre planos de contratação. Em linhas gerais, assistentes de IA podem reter histórico de conversas, usar interações para melhorar produtos e, dependendo da configuração e do tipo de conta, empregar esse conteúdo no treinamento de modelos.
O ponto central é que a decisão sobre esse uso raramente é explícita para o usuário final. Ela depende de configurações de conta, de políticas de privacidade atualizadas periodicamente e, no caso de empresas, do contrato firmado com o fornecedor. A reportagem destaca ainda a existência de categorias de dados que jamais deveriam ser inseridas em chats de IA, como credenciais, informações sensíveis de clientes, segredos industriais e dados pessoais sujeitos a regimes legais específicos.
Do ponto de vista técnico, o fluxo é conhecido: o prompt enviado, o contexto anexado e a resposta gerada podem compor registros armazenados em infraestrutura do provedor. Esses registros podem ser usados para avaliação de qualidade, moderação, melhoria de produto e, quando permitido, treinamento de modelos futuros. A camada de controle está nas configurações de privacidade, nas opções de retenção e nas cláusulas contratuais aplicáveis a contas empresariais.
Por que isso importa para empresas
O uso de IA generativa sem política clara cria um canal paralelo de saída de informação. Diferentemente de e-mail ou de sistemas corporativos monitorados, o chat de IA costuma ser acessado por navegador, conta pessoal ou aplicativo móvel, fora do perímetro de controle da organização. Quando um colaborador cola um trecho de contrato, uma base de clientes ou um trecho de código proprietário, esse conteúdo pode sair do ambiente corporativo sem registro, sem classificação e sem aprovação.
Esse fenômeno é frequentemente descrito como shadow AI, uma evolução do conceito de shadow IT. O impacto vai além de vazamento pontual. Há implicações contratuais com clientes, obrigações de proteção de dados previstas na LGPD, exigências setoriais de sigilo e riscos reputacionais. Em setores regulados, como saúde, financeiro e jurídico, a exposição pode gerar questionamentos de auditoria e de autoridades de proteção de dados.
Há também um efeito menos visível: a perda de rastreabilidade. Se o conhecimento produzido em conversas com IA não é registrado em sistemas corporativos, a organização deixa de acumular memória institucional e passa a depender de sessões privadas de ferramentas externas. Isso afeta auditoria, continuidade e capacidade de defesa em eventuais disputas.
Impacto para cibersegurança, governança, IA ou continuidade
Cibersegurança
O primeiro impacto é a ampliação da superfície de exposição. Credenciais, chaves de API, trechos de código com vulnerabilidades e detalhes de arquitetura podem ser inseridos em prompts. Mesmo que o provedor adote salvaguardas, o dado já saiu do controle direto da empresa. Ataques de engenharia social também podem explorar o hábito de compartilhar contexto excessivo com assistentes.
Governança de dados e IA
A ausência de política específica para IA generativa compromete princípios básicos de governança: finalidade, minimização, base legal e retenção. Empresas precisam saber quais ferramentas são usadas, com quais planos, sob quais contratos e com quais configurações de privacidade. Sem esse inventário, não há como demonstrar conformidade nem responder a incidentes com agilidade.
Continuidade de negócios
A dependência de contas individuais cria fragilidade operacional. Se um colaborador sai da empresa ou perde acesso à conta, o histórico de decisões e o contexto acumulado podem se perder. Além disso, mudanças unilaterais de termos de uso ou de políticas de retenção por parte de fornecedores podem alterar o nível de risco sem aviso prévio adequado.
Propriedade intelectual
Conteúdo proprietário inserido em chats pode, dependendo dos termos aplicáveis, ser utilizado para melhoria de modelos. Isso levanta discussões sobre confidencialidade, segredo comercial e até sobre a possibilidade de que informações estratégicas influenciem respostas entregues a terceiros, ainda que de forma agregada e não atribuível.
Leitura executiva da WSVP
A leitura da WSVP é que o tema deixou de ser uma discussão de conformidade acessória e passou a integrar o núcleo da gestão de risco digital. A pergunta relevante não é se a empresa deve proibir o uso de IA generativa, mas como habilitá-lo com controles proporcionais ao valor da informação tratada.
Três conclusões se destacam. Primeiro, a configuração padrão de qualquer ferramenta não deve ser tratada como adequada para uso corporativo; ela precisa ser validada, documentada e, quando necessário, ajustada. Segundo, a distinção entre contas pessoais, planos individuais e planos empresariais é material: contratos corporativos costumam oferecer garantias mais robustas de isolamento e de não utilização de dados para treinamento, mas essas garantias precisam ser verificadas caso a caso. Terceiro, a política de uso precisa ser compreensível para o usuário final, porque o risco se materializa no momento em que alguém cola um dado sensível no campo de prompt.
A tecnologia avança mais rápido do que os controles internos. Organizações que tratam IA generativa como infraestrutura crítica, e não como aplicativo de conveniência, conseguem capturar produtividade sem transferir inadvertidamente ativos informacionais para terceiros.
A WSVP entende ainda que o tema exige diálogo entre áreas. Segurança da informação, jurídico, compliance, recursos humanos e tecnologia precisam compartilhar responsabilidades. Programas eficazes combinam classificação de dados, treinamento contínuo, ferramentas aprovadas e monitoramento de uso, sem transformar a governança em burocracia que empurra o usuário de volta para soluções não homologadas.
Recomendações práticas
- Inventarie o uso real. Mapeie quais assistentes de IA são utilizados, por quais áreas, em quais planos e por meio de quais dispositivos. Inclua aplicativos móveis e extensões de navegador.
- Revise contratos e configurações. Confirme, por escrito, se o fornecedor utiliza dados de contas corporativas para treinamento, qual é o período de retenção e como funciona a exclusão. Ajuste as opções de privacidade disponíveis.
- Defina classificação de dados. Estabeleça explicitamente o que pode e o que não pode ser inserido em prompts. Credenciais, dados pessoais sensíveis, segredos industriais e informações de clientes sob sigilo devem estar na lista de proibição.
- Padronize ferramentas aprovadas. Ofereça alternativas homologadas e com controles adequados. Bloquear sem prover alternativa tende a aumentar o uso não autorizado.
- Treine com exemplos concretos. Capacitações genéricas têm baixo efeito. Use casos reais da própria empresa para demonstrar riscos e boas práticas.
- Implemente registro e monitoramento. Adote controles de descoberta e de prevenção de perda de dados compatíveis com o ambiente, respeitando a legislação aplicável e os acordos com empregados.
- Crie um canal de dúvidas. Colaboradores precisam saber a quem recorrer antes de compartilhar informação sensível. Respostas rápidas reduzem decisões improvisadas.
- Reavalie periodicamente. Políticas de privacidade e funcionalidades mudam com frequência. Estabeleça revisões trimestrais ou semestrais e registre as decisões tomadas.
Fontes consultadas
- O Globo — O que o ChatGPT, Gemini e Claude fazem com suas conversas?
- ANPD — Autoridade Nacional de Proteção de Dados
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais
Disclaimer
Este rascunho foi produzido com apoio de inteligência artificial e ainda requer revisão humana antes da publicação.