Vazamento de dados com IA: como os dados escapam pela API

Vazamento de dados com IA, nas empresas, raramente é um ataque. É o seu próprio sistema mandando o nome, o CPF e o histórico do cliente ao provedor do modelo, a cada chamada, e guardando cópias em lugares que ninguém revisa: logs, bases de busca, respostas de ferramentas.

O Nonimo Gateway roda nos seus próprios servidores. Ver planos e falar com a gente.

Quem pesquisa vazamento de dados no ChatGPT costuma pensar no funcionário que colou uma planilha no chat. Esse caso existe, e está em o ChatGPT é seguro. Este guia trata do outro lado, menos visível: as aplicações que a sua empresa construiu sobre a API, por onde os dados escapam e como fechar cada saída.

Os cinco caminhos do vazamento de dados com IA

1. O prompt

O mais óbvio. O sistema monta o prompt com o texto do cliente e envia. Se o e-mail, a petição ou a ficha cadastral vão inteiros, tudo o que há neles chega ao provedor. Na LGPD, isso é tratamento (art. 5º, X) e, como o provedor processa fora do Brasil, transferência internacional (art. 33).

2. Os logs

Para depurar, quase toda equipe grava o prompt e a resposta. Esses logs ficam no servidor da aplicação, no AI gateway, na ferramenta de observabilidade. Cada um é uma cópia dos dados de clientes, muitas vezes com acesso amplo e sem prazo para apagar. A AWS documenta que, no Bedrock Guardrails, o log de invocação no CloudWatch guarda a requisição original, mesmo quando o guardrail mascarou os dados. Mascarar na chamada não limpa o log por tabela.

3. A RAG

Na RAG (geração aumentada por recuperação), o sistema busca trechos numa base de documentos e os coloca no prompt. Se a base tem contratos, prontuários ou declarações inteiros, o trecho recuperado leva o nome junto. E a base em si, com os vetores e o texto original, é mais um repositório de dados pessoais.

4. As chamadas de ferramentas

Quando o modelo chama uma função do seu sistema, como “buscar cliente” ou “consultar boleto”, o resultado volta para o modelo no próximo turno. Se a função devolve a ficha completa, a ficha vai ao provedor. Nem todo guardrail olha esse caminho: a AWS, por exemplo, informa que o filtro de dados sensíveis não avalia argumentos, resultados nem definições de ferramentas.

5. A retenção no provedor

O que chega ao provedor fica lá por algum tempo. A OpenAI informa na sua página de controles de dados que os dados da API não são usados para treinar modelos por padrão, que os logs de monitoramento de abuso são guardados por até 30 dias, que a Responses API guarda o estado da aplicação por 30 dias por padrão e que arquivos e conversas ficam até você apagar. A retenção zero existe, mas depende de aprovação prévia da OpenAI.

O que a LGPD e a ANPD pedem

A lei não fala de IA, mas os princípios valem para cada chamada. O art. 6º, III, limita o tratamento ao mínimo necessário: se o modelo só precisa entender a dúvida, não precisa do CPF. O art. 46 pede medidas técnicas e administrativas aptas a proteger os dados, e isso inclui logs e bases de busca. O art. 39 lembra que o operador trata segundo as instruções do controlador, então o contrato com o provedor precisa refletir o que você manda.

Se um desses caminhos expuser dados sem autorização, é um incidente de segurança. A ANPD define incidente como um evento adverso confirmado que afeta a confidencialidade, a integridade, a disponibilidade ou a autenticidade de dados pessoais, e a Resolução CD/ANPD nº 15/2024 fixa três dias úteis para comunicar a ANPD e os titulares quando houver risco ou dano relevante. O que fazer está em incidente de segurança na LGPD.

Exemplo: o assistente de petições de um escritório em Recife

Um escritório trabalhista em Recife, com 30 advogados, montou um assistente interno. O advogado cola o relato do cliente, o sistema busca petições parecidas na base do escritório e pede à API que redija a inicial. Um relato, com dados fictícios:

Cliente Edson Carlos Albuquerque, CPF 000.000.001-00, trabalhou como motorista na Transportes Exemplo Ltda., CNPJ 00.000.000/0001-00, de 2019 a 2025, sem receber horas extras. Telefone +55 81 90000-0000.

Por onde esse texto vaza:

Caminho	O que sai	Como fechar
Prompt	Nome, CPF, telefone, além da empresa e do CNPJ	Substituir por marcadores antes da chamada
Log da aplicação	O relato inteiro e a petição gerada	Gravar só contagens e metadados
RAG	Nomes de outros clientes nas petições recuperadas	Pseudonimizar também o trecho recuperado, no momento da chamada
Ferramenta “buscar cliente”	A ficha cadastral completa	Devolver só os campos que o modelo precisa
Provedor	Tudo o que chegou, pelo prazo de retenção	Fazer chegar só o texto com marcadores

Com um proxy de privacidade no meio, o que chega à API é “Cliente [PESSOA_1], CPF [CPF_1], trabalhou como motorista na Transportes Exemplo Ltda., CNPJ [CNPJ_1]…”, com o telefone também trocado. O modelo redige a inicial com os marcadores, e o proxy coloca os dados reais de volta antes de a petição aparecer na tela. Para o sigilo profissional em jogo, veja sigilo profissional do advogado e IA.

Como fechar as saídas, em quatro passos

1. Minimize. Revise cada prompt e cada ferramenta e corte o que o modelo não precisa. A lista de que dados ocultar antes de usar a IA serve de ponto de partida.
2. Pseudonimize antes da chamada. Troque nomes, documentos e contatos por marcadores num ponto único, por onde passam todas as chamadas, inclusive o texto que vem da RAG e das ferramentas. Um LLM gateway privado é esse ponto.
3. Guarde a chave com você. A tabela que liga [PESSOA_1] a Edson fica no seu servidor e não vai para o provedor nem para o log.
4. Restaure na resposta. Coloque os valores reais de volta antes de o usuário ver o texto. Sem isso, a aplicação quebra e alguém acaba desligando a proteção.

Se você ainda avalia rodar um modelo próprio para não mandar nada para fora, veja LLM local ou proxy de privacidade.

Como o Nonimo Gateway fecha essas saídas

O Nonimo Gateway é um proxy privado que roda nos seus próprios servidores. Compatível com a API da OpenAI, entra no lugar do endereço base: você muda o base_url e mantém o código. Troca os dados pessoais por marcadores antes de a requisição sair e devolve os valores reais na resposta. A tabela de correspondência fica no seu servidor, e você usa a sua própria chave da OpenAI.

Ele reconhece documentos e números de cada país atendido, o CPF entre eles, e há um plugin para o LiteLLM. Os planos e preços estão na página do Nonimo Gateway. Para comparar com outras abordagens, veja a alternativa ao Microsoft Presidio e o Cloudflare AI Gateway e dados pessoais.

O vazamento começa no seu código

Vazamento de dados com IA não depende de o provedor ser invadido: depende do que os seus sistemas mandam e guardam. Fechar o prompt, os logs, a RAG, as ferramentas e a retenção é trabalho de engenharia com regra clara. Veja os planos do Nonimo Gateway e fale com a gente.

Fontes

Consultadas em 20 de outubro de 2026.

• Lei nº 13.709, de 14 de agosto de 2018 (LGPD), texto atualizado na base de legislação da Câmara dos Deputados: www2.camara.leg.br/legin. Arts. 5º, X; 6º, III; 33; 39; 46; 48.
• ANPD, página Incidente de segurança. Definição de incidente e prazo de três dias úteis da Resolução CD/ANPD nº 15/2024.
• OpenAI, Data controls in the OpenAI platform. Uso para treino, logs de monitoramento de abuso, estado da aplicação e retenção zero.
• AWS, Bedrock Guardrails, filtros de informação sensível. Logs com a requisição original e chamadas de ferramentas fora do filtro.