LGPD e inteligência artificial: o que vale para o ChatGPT

Se no seu escritório, consultório, imobiliária ou contabilidade alguém já cola contratos, laudos, extratos ou e-mails de clientes no ChatGPT, no Claude, no Copilot ou no Gemini, a Lei Geral de Proteção de Dados já vale para esse gesto. Não porque a lei fale de inteligência artificial, mas porque colar um nome num chat é tratar um dado pessoal. Se você ainda não conhece a lei, comece por o que é a LGPD.

Este guia mostra quais artigos entram em jogo, o que vale a pena conferir e como continuar usando IA sem mandar à IA os dados que identificam os seus clientes.

O que a LGPD diz sobre inteligência artificial?

Expressamente, nada. A Lei nº 13.709, de 14 de agosto de 2018, foi escrita para o tratamento de dados pessoais, seja ele feito por uma pessoa ou por um sistema. Isso não a deixa fora do assunto, por duas definições do artigo 5º.

A primeira é a de tratamento (inciso X): toda operação realizada com dados pessoais, como coleta, utilização, acesso, reprodução, transmissão, processamento, armazenamento, eliminação, comunicação e transferência. Copiar o dossiê de um cliente e colá-lo num chat é transmitir e processar o dado. A segunda é a de dado pessoal (inciso I): informação relacionada a pessoa natural identificada ou identificável. O nome, o e-mail, o CPF e o endereço do seu cliente entram sem discussão.

A autoridade é a Agência Nacional de Proteção de Dados (ANPD), que o art. 55-A, na redação da Lei nº 15.352/2026, descreve como autarquia de natureza especial. A ANPD já escolheu a inteligência artificial como tema de seu sandbox regulatório, com foco na transparência algorítmica e no art. 20 da LGPD, segundo a página do programa no portal do órgão. Ainda assim, o que vale para você hoje continua sendo o texto da lei.

Existe uma lei de inteligência artificial no Brasil?

O que existe é um projeto, o PL 2338/2023, e ele não é lei. Foi apresentado pelo senador Rodrigo Pacheco, aprovado pelo Plenário do Senado em 10 de dezembro de 2024 e recebido pela Câmara dos Deputados em 17 de março de 2025. Segundo a ficha de tramitação da Câmara, consultada em 17 de outubro de 2026, a situação é Aguardando Parecer, na comissão especial criada para analisá-lo. O andamento, com as datas, está em o PL 2338/2023 e o marco legal da IA.

Para a sua rotina, isso significa que a regra que vale quando você cola dados de um cliente num chat é a LGPD, e o que você fizer para cumpri-la não depende de como esse debate termine.

É ilegal colocar dados pessoais no ChatGPT?

Não por si só. Nenhum artigo da LGPD proíbe uma ferramenta. O que a lei examina é como você a usa, e na prática isso se resume a cinco perguntas:

1. Existe base legal para esse uso? O art. 7º lista dez hipóteses, como execução de contrato (inciso V), exercício regular de direitos (VI) e legítimo interesse (IX). O consentimento é só a primeira delas.
2. Cabe na finalidade informada ao titular? O princípio da finalidade (art. 6º, I) impede o uso posterior de forma incompatível com o propósito informado.
3. Você manda só o necessário? O princípio da necessidade (art. 6º, III) limita o tratamento ao mínimo. Para pedir uma minuta de resposta a um locador, a IA não precisa do CPF do cliente.
4. Quem recebe os dados, e onde? Veja a próxima seção.
5. Você cuidou da segurança? O art. 46 exige medidas técnicas e administrativas aptas a proteger os dados.

Há uma saída que a própria lei prevê. O art. 12 diz que dados anonimizados não são considerados dados pessoais para os fins da lei, salvo quando o processo de anonimização for revertido com meios próprios ou puder ser revertido com esforços razoáveis. A diferença entre anonimizar e apenas trocar nomes por marcadores é o assunto de pseudonimização e anonimização.

Resumindo: colar o dossiê completo de um cliente numa conta pessoal, sem que a sua política de privacidade contemple isso, é o que merece atenção. Colar o mesmo caso sem nome, sem CPF e sem nada que identifique é outra conversa. Para quem é advogado, soma-se o sigilo profissional diante da IA.

Controlador, operador e transferência internacional

A LGPD distingue duas figuras que decidem quais papéis você precisa:

• Controlador (art. 5º, VI): quem toma as decisões sobre o tratamento. Aqui, você ou a sua empresa.
• Operador (art. 5º, VII): quem realiza o tratamento em nome do controlador.

A lei não diz em qual das duas cai cada ferramenta de IA. O nosso critério é que depende do contrato e do plano, não da marca: uma conta empresarial cujas condições digam que o provedor trata os dados só para prestar o serviço se parece mais com um operador. Já uma conta pessoal, em que o que você escreve pode servir a finalidades do próprio provedor, como treinar seus modelos, exige mais atenção. Não encontramos orientação da ANPD que resolva isso por marca.

Se o operador descumprir a lei ou as suas instruções, o art. 42, § 1º, I, o equipara ao controlador e o torna solidariamente responsável pelos danos. Isso não tira a sua responsabilidade como controlador, que está no caput do mesmo artigo.

Há mais um ponto, que costuma passar despercebido. Se a ferramenta de IA trata os dados fora do Brasil, a transferência de dados pessoais para país estrangeiro é uma transferência internacional (art. 5º, XV). O art. 33 só a permite em casos listados, entre eles países com grau de proteção adequado, cláusulas contratuais específicas, cláusulas-padrão, normas corporativas globais, selos e certificados, ou o consentimento específico e em destaque do titular, com informação prévia sobre o caráter internacional da operação. É mais uma razão para olhar o contrato da conta que você usa.

Qual IA está de acordo com a LGPD?

Nenhuma pela marca, e não é uma forma de fugir da pergunta. A lei não certifica produtos nem publica uma lista de ferramentas aprovadas: regula tratamentos, isto é, o que você faz com os dados, para quê e com quem. O mesmo ChatGPT pode estar bem usado num escritório e mal usado no vizinho.

Com os artigos da lei, a conferência cabe em sete pontos:

ponto	o que se perguntar	onde está
1. Contrato	Há contrato dizendo que o provedor trata os dados em seu nome?	Art. 5º, VII; art. 42, § 1º, I
2. Finalidades	O provedor usa o que você escreve para fins próprios, como treinar modelos?	Art. 6º, I e II
3. País	Onde os dados são tratados e com que garantia, se for fora do Brasil?	Art. 33
4. Conservação	Os dados são eliminados quando o tratamento termina?	Art. 16
5. Acessos	Quem mais pode ler: o administrador, revisores, subcontratados?	Arts. 46 e 47
6. Sua equipe	As pessoas da equipe sabem o que podem colar e guardam sigilo?	Arts. 47 e 50
7. O que entra	Que dados chegam de fato à janela do chat?	Art. 6º, III

Os cinco primeiros dependem do provedor e do plano que você contrata, e mudam com o tempo; o detalhe de cada ferramenta, com a data de seus documentos, está nestes guias:

• O que o ChatGPT faz com os seus dados
• O que o Claude faz com os seus dados
• O que o Gemini faz com os seus dados
• O que o Copilot faz com os seus dados

São perguntas que um cliente grande também pode fazer no seu questionário de segurança sobre IA.

O sexto depende de você, e o sétimo depende de quem escreve. É o único que você resolve hoje sem assinar nada: se o que chega ao chat não identifica ninguém, os outros seis pesam bem menos. Para o sexto, há uma política de uso de IA de uma página.

Os princípios da LGPD quando você cola dados num chat

O art. 6º enumera dez princípios. Quatro pesam mais no dia a dia com IA:

Finalidade (inciso I). Seu cliente deu o extrato para você fazer a declaração, não para ele ser enviado a um serviço que não conhece.

Adequação (inciso II). O tratamento deve ser compatível com as finalidades informadas ao titular, de acordo com o contexto.

Necessidade (inciso III). Mínimo necessário, com dados pertinentes, proporcionais e não excessivos. Para que o assistente ajude a redigir uma carta de cobrança, ele não precisa do nome do devedor: basta saber que há um devedor.

Responsabilização e prestação de contas (inciso X). Demonstrar, com medidas eficazes, que você cumpre a lei. Uma regra escrita sobre o uso de IA e um registro de incidentes ajudam.

O de necessidade é o que mais ajuda, e é também o mais simples de aplicar: se o dado não é preciso para a pergunta, o mais proporcional é que ele não chegue ao chat. Para saber o que sobra num texto típico, veja que dados ocultar antes de usar a IA.

Se os dados forem sensíveis, como os de saúde, o art. 11 traz uma lista própria de hipóteses, mais estreita que a do art. 7º. O caso tem guia próprio, o de dados sensíveis na LGPD, e o caminho mais tranquilo é o app que trabalha no seu computador, descrito mais abaixo.

Sua política de privacidade e a inteligência artificial

O art. 9º dá ao titular o direito de acesso facilitado a informações sobre o tratamento: finalidade específica, forma e duração, identificação e contato do controlador, uso compartilhado de dados e a finalidade, responsabilidades dos agentes e direitos do titular. Nenhum inciso exige escrever “inteligência artificial”. O que convém conferir é duas coisas.

Primeiro, que o motivo pelo qual você cola dados num chat já esteja entre as finalidades que o cliente conhece. Segundo, que, se o provedor fizer parte do uso compartilhado, a política contemple isso. Quando o consentimento é a base e a finalidade muda de modo incompatível com a original, o art. 9º, § 2º, manda informar o titular previamente, e ele pode revogá-lo.

Se nenhuma das duas condições se cumpre, há dois caminhos: atualizar a política de privacidade e avisar os clientes, ou fazer com que o chat receba o texto sem dados que identifiquem ninguém. O segundo costuma ser mais rápido e não altera o que eles já assinaram com você.

Segurança, responsabilidade e sanções

O art. 46 obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado. O art. 47 estende o dever de garantir a segurança a qualquer pessoa que intervenha numa fase do tratamento, mesmo depois que ele termina. Isso inclui a sua assistente, o estagiário e quem entrou no mês passado. Para uma clínica, inclui a recepcionista que monta um orçamento com IA.

Se algo escapar, o art. 48 manda o controlador comunicar à ANPD e ao titular o incidente que possa acarretar risco ou dano relevante. Como agir, passo a passo, está em incidente de segurança na LGPD.

Quanto às consequências, o art. 42 obriga quem causar dano em violação à legislação de proteção de dados a repará-lo, e o juiz pode inverter o ônus da prova a favor do titular se a alegação for verossímil (§ 2º). As sanções administrativas do art. 52 incluem advertência, multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, e outras medidas. Elas são aplicadas depois de processo com ampla defesa e consideram, entre outros critérios, a boa-fé, a cooperação e a pronta adoção de medidas corretivas (§ 1º). Se você tem apólice, veja o que cobre um seguro cibernético.

Decisões automatizadas: quando a IA não pode ser a única a decidir

O art. 20 dá ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluídas as que definem seu perfil pessoal, profissional, de consumo e de crédito. O controlador deve fornecer, quando solicitadas, informações claras e adequadas sobre os critérios e procedimentos usados (§ 1º), respeitados os segredos comercial e industrial.

Quem usa IA para ordenar currículos ou analisar crédito está nesse terreno. A saída prática é manter uma pessoa na decisão e poder explicar como ela foi tomada. O tema está em IA para RH.

Como usar IA sem enviar os dados pessoais dos seus clientes

O Nonimo é um app para Windows e Mac que resolve o ponto mais delicado: o que chega ao chat. Você seleciona o texto, aperta uma tecla e, no seu computador, os dados pessoais são trocados por marcadores como [PESSOA_1] antes de colar no ChatGPT, no Claude, no Copilot ou no Gemini. Quando você copia a resposta e aperta a mesma tecla, os dados voltam ao lugar. Nada do seu texto vai para o Nonimo.

Um teste real, com dados fictícios. O texto antes:

A cliente Nuria Solé Domènech atrasou três parcelas do aluguel da sala comercial. O e-mail dela é cliente@example.com e o CPF é 000.000.001-00. Escreva uma resposta cordial ao locador propondo um acordo.

E o que chega à IA:

A cliente [PESSOA_1] atrasou três parcelas do aluguel da sala comercial. O e-mail dela é [E-MAIL_1] e o CPF é [CPF_1]. Escreva uma resposta cordial ao locador propondo um acordo.

A IA redige a resposta sem saber quem é a cliente, e você recupera o nome na sua tela. Em textos brasileiros, o Nonimo oculta nomes, CPF, CNPJ válido, e-mails, endereços e datas de nascimento com rótulo (como “Endereço:” ou “Data de nascimento:”), CNH com a abreviação nº e telefones com +55. O número do RG e os celulares sem o +55 você tira à mão antes de colar. Se o que você tem é uma planilha, veja como anonimizar dados em CSV e TXT.

Isso não substitui a política de privacidade nem os contratos, mas atende o princípio da necessidade: a IA trabalha com a estrutura do caso, e quem é o cliente fica com você. Para contá-lo a ele, há uma cláusula de IA para o contrato de honorários.

LGPD e IA conforme o seu ramo

• Advocacia. Contratos, petições e e-mails com a parte contrária trazem nomes, endereços e dados patrimoniais.
• Contabilidade. Extratos, informes e declarações são dados financeiros.
• Saúde. Prontuários e laudos trazem dados sensíveis: IA na saúde e prontuário eletrônico.
• Imobiliárias. Fichas de locação, fiadores e cópias de documentos passam pelo e-mail e pela IA todo dia.
• Corretoras de seguros. Propostas, apólices e sinistros trazem CPF, CNH e endereço do segurado.
• Cartórios. Escrituras e procurações juntam CPF, endereço e matrícula de quem assina.
• Setor público. O capítulo IV da LGPD traz regras próprias, vistas em IA no setor público.

Se circulam cópias de documentos e PDFs, estes guias ajudam:

• O que podem fazer com o seu CPF
• Como tarjar um PDF
• Como remover os metadados de um PDF

Fontes

Consultadas em 17 de outubro de 2026.

• Lei nº 13.709, de 14 de agosto de 2018 (LGPD), texto atualizado na base de legislação da Câmara dos Deputados: www2.camara.leg.br/legin. Arts. 5º, I, VI, VII, X e XV; 6º; 7º; 9º; 11; 12; 16; 20; 33; 42; 46 a 48; 52; 55-A.
• Resolução CD/ANPD nº 15, de 24 de abril de 2024, Diário Oficial da União, Seção 1, 26/4/2024, p. 114. Arts. 5º, 6º e 9º.
• ANPD, Por que Inteligência Artificial?, página do sandbox regulatório.
• Câmara dos Deputados, ficha de tramitação do PL 2338/2023 (dados abertos): dadosabertos.camara.leg.br, e Senado Federal, matéria 157233. Consultados em 17 de outubro de 2026.