É seguro colocar dados de clientes no ChatGPT? Guia prático para pequenas empresas

Nesta página 12

1. Um método em quatro passos para decidir
2. O que conta como dado de cliente (e por que o tipo importa)
3. O que pode acontecer com o que você digita no ChatGPT
4. Planos pessoais x planos empresariais: a diferença de princípio
5. O que verificar nos termos de dados antes de colar qualquer coisa
6. Suas responsabilidades como empresa que detém os dados
7. Como anonimizar dados de clientes antes de usar o ChatGPT
8. Configurações para revisar em qualquer plano
9. Quando não usar o ChatGPT de jeito nenhum
10. Política de dados de IA em uma página para sua equipe
11. Se alguém já colou dados sensíveis de clientes
12. As mesmas perguntas valem para outras ferramentas de IA

A resposta curta

Depende de quatro coisas: que tipo de dado é, qual plano do ChatGPT você usa, como a conta está configurada e o que você prometeu aos clientes e precisa cumprir por lei (no Brasil, a LGPD). Regra prática: se você não mandaria isso a um prestador externo sem contrato e sem acordo de confidencialidade, não cole num chatbot.

• Perguntas genéricas e textos bem anonimizados costumam ser tranquilos na maioria dos planos, depois que você confere as configurações.
• Dados pessoais identificáveis (nomes, e-mails, histórico de pedidos) exigem um plano empresarial com contrato de tratamento de dados (DPA) e minimização dos dados.
• Dados sensíveis (saúde, dados bancários ou de cartão, documentos, senhas) em geral não devem entrar, a menos que seu contrato e sua conformidade cubram esse uso de forma explícita.

Um método em quatro passos para decidir

O restante do guia segue este método. Ele funciona para qualquer assistente de IA, não só para o ChatGPT.

O que conta como dado de cliente (e por que o tipo importa)

Quase toda a decisão de risco depende de uma pergunta: o que exatamente você vai colar?

Dado pessoal: identificadores diretos e indiretos

Dado pessoal, para a LGPD (Lei nº 13.709/2018), é qualquer informação relacionada a uma pessoa natural identificada ou identificável. A identificação pode ser direta ou indireta.

• Identificadores diretos: nome, e-mail, telefone, endereço, nome de usuário da conta.
• Identificadores indiretos: detalhes que identificam alguém quando combinados ou dentro de um contexto. Exemplos:
  • um número de pedido junto com o CEP;
  • um cargo único numa empresa conhecida (“a responsável pelo financeiro de uma padaria de 12 funcionários em Petrópolis”);
  • um acontecimento raro (“a cliente cujo bolo de casamento desabou no sábado passado”).

Dados pessoais sensíveis e dados de crianças

Dado pessoal sensível é o termo da LGPD para os tipos mais delicados de dado. Estão nessa categoria a origem racial ou étnica, a convicção religiosa, a opinião política e a filiação a sindicato ou a organização religiosa, filosófica ou política. Também estão os dados de saúde ou da vida sexual e os dados genéticos e biométricos.

O tratamento desses dados tem regras mais rígidas (art. 11 da LGPD). O GDPR europeu chama essa categoria de “special category data”.

Dados de crianças e adolescentes também têm regras próprias na LGPD. Trate-os sempre como alto risco.

Outros dados de alto risco e dados confidenciais da empresa

Outros dados de alto risco não são “sensíveis” no sentido da lei, mas podem causar dano real se vazarem:

• números de cartão de pagamento;
• dados bancários;
• números de documentos (CPF, RG, CNH, passaporte);
• senhas e chaves de API.

Dados confidenciais da empresa também contam, mesmo quando nenhuma pessoa é identificada. Contratos com clientes, tabelas de preços negociadas, planos de produtos ainda não lançados e qualquer coisa coberta por acordo de confidencialidade (NDA) podem ter restrições contratuais.

Classificação em semáforo

O que pode acontecer com o que você digita no ChatGPT

Os riscos são reais, mas específicos. Ajuda conhecer os mecanismos de verdade, em vez de partir da ideia vaga de que “a IA guarda tudo”.

Treinamento de modelos e retenção

• Treinamento de modelos. Em alguns planos, as conversas podem ser usadas para melhorar os modelos da OpenAI, a menos que você desative isso.
  • Se isso se aplica, e se vem ligado ou desligado por padrão, depende do plano e das suas configurações.
  • Consulte a política de privacidade da OpenAI e os controles de dados da sua conta em vez de supor.
• Retenção. Conversas, arquivos enviados e até conversas apagadas podem ficar guardados por um período, por motivos de segurança, monitoramento de abuso ou obrigações legais.
  • A retenção também pode ser estendida por obrigações legais, como ordens judiciais.
  • Os prazos atuais estão na política de privacidade e na Central de Ajuda da OpenAI, e podem mudar.

Revisão humana, exposição pela conta e a sua própria segurança

• Revisão humana. Os fornecedores podem ter pessoas revisando parte do conteúdo, por exemplo para investigar abuso. Os termos do seu plano dizem quando isso pode acontecer.
• Exposição pela conta. O dado pode ir além da conversa original:
  • um link compartilhado normalmente pode ser aberto por qualquer pessoa que tenha o endereço;
  • a memória pode levar detalhes para conversas futuras;
  • GPTs personalizados, conectores com e-mail ou drive e espaços de trabalho compartilhados podem ampliar quem (ou o quê) enxerga o conteúdo.
• A sua própria segurança. Senhas fracas, logins compartilhados, falta de verificação em duas etapas e ex-funcionários que ainda têm acesso costumam ser um risco prático maior do que qualquer coisa que o fornecedor faça.

Planos pessoais x planos empresariais: a diferença de princípio

Esta é a diferença estrutural mais importante, e é fácil se confundir.

Nomes e linhas de planos mudam. Confira a página de preços atual da OpenAI antes de confiar nesses rótulos.

O que a OpenAI diz sobre treinamento com dados empresariais

No momento em que escrevemos (última verificação: novembro de 2026), a OpenAI afirma em sua página de privacidade para empresas que não treina seus modelos com dados de clientes empresariais por padrão.

Trate isso como um compromisso publicado pela OpenAI para os produtos listados naquela página. Não é uma garantia para todo plano. Confira a página atual você mesmo.

O que os planos empresariais costumam acrescentar

Confirme plano a plano:

• Contrato de tratamento de dados (DPA), que formaliza as instruções e as obrigações do fornecedor quando ele trata dados pessoais em seu nome.
• Controles de administrador: gerenciar usuários, remover quem saiu da empresa, restringir recursos.
• Login único (SSO) em alguns níveis.
• Gerenciamento ou exclusão centralizada dos dados dos usuários.
• Documentação de segurança, como relatórios SOC 2, disponível no Trust Portal (portal de confiança) da OpenAI.

O que comparar entre os planos e onde conferir

O que verificar nos termos de dados antes de colar qualquer coisa

Use este checklist para o ChatGPT ou para qualquer outra ferramenta de IA. Responda cada pergunta com base nas páginas do próprio fornecedor, não em posts de blog ou fóruns (incluindo este texto).

1. Treinamento: meu conteúdo é usado para treinar modelos neste plano? Vem ligado ou desligado por padrão? Onde fica a configuração?
2. Retenção: por quanto tempo conversas, arquivos enviados e conversas apagadas ficam guardados? Há exceções, como retenção por ordem judicial ou revisões de segurança?
3. DPA: existe contrato de tratamento de dados, e ele cobre o meu plano específico?
4. Suboperadores: quais outras empresas tratam os dados em nome do fornecedor? A lista é publicada?
5. Localização: onde os dados são armazenados e processados? Há opções de residência de dados, e em quais planos?
6. Certificações: quais relatórios ou certificações de segurança são publicados, e onde (por exemplo, num trust portal)?
7. Controles de administrador: consigo gerenciar usuários, ver registros de auditoria e desativar recursos como conectores, memória ou links compartilhados?
8. Exclusão: como apago dados ou uma conta inteira? O que acontece com os backups?
9. Setores regulados: o fornecedor oferece um BAA da HIPAA (para dados de saúde nos EUA) ou o que o seu setor exigir? Em quais produtos?

Suas responsabilidades como empresa que detém os dados

É natural perguntar “a OpenAI é segura?”. A pergunta mais útil é “eu posso fazer isso?”, porque a responsabilidade legal costuma estar com você.

Controlador e operador

Pela LGPD, sua empresa normalmente é a controladora: é ela quem decide por que e como os dados dos clientes são usados. Um fornecedor de IA que você usa para essa finalidade costuma ser um operador, que trata os dados em seu nome e segundo as suas instruções.

O GDPR europeu (art. 28) exige um contrato escrito com o operador. Mesmo quando a sua obrigação vem da LGPD, um DPA é o jeito prático de documentar essas instruções e obrigações.

Você também precisa de uma base legal para o tratamento, com exigências mais rígidas para dados sensíveis. Além disso, tem de ser transparente com os clientes.

Sua política de privacidade

Ela informa que você compartilha dados pessoais com fornecedores de nuvem ou de IA? Se não informa, atualize antes de usar dados reais de clientes.

Contratos com clientes e NDAs

Alguns clientes proíbem expressamente o envio dos seus dados para ferramentas de IA de terceiros. Confira antes de colar, principalmente em trabalhos B2B.

Outras regras que podem se aplicar

Depende de onde estão você e seus clientes:

• o GDPR, se você trata dados de pessoas na União Europeia;
• leis estaduais de privacidade dos EUA, como a CCPA/CPRA na Califórnia;
• a HIPAA, para dados de saúde nos EUA;
• o PCI DSS, para dados de cartão de pagamento;
• regras de sigilo profissional da sua área, como saúde, advocacia ou contabilidade. Na dúvida, consulte o seu conselho de classe.

Transferência internacional

Os dados podem ser processados fora do Brasil. A LGPD só permite a transferência internacional nas hipóteses previstas no art. 33, entre elas o uso de cláusulas-padrão contratuais aprovadas pela ANPD. Confira no DPA qual mecanismo o fornecedor usa.

Onde buscar referência

Para detalhes oficiais, consulte o texto da LGPD no Planalto e os guias e resoluções vigentes no site da ANPD. Para qualquer dado amarelo ou vermelho, converse com seu encarregado de dados (DPO) ou com um advogado.

Como anonimizar dados de clientes antes de usar o ChatGPT

Dá para fazer isso hoje mesmo, só com um editor de texto. Para um e-mail curto, leva poucos minutos.

Passo 1: pergunte se a IA precisa mesmo do dado pessoal

Quase nunca precisa. Para reescrever uma resposta, resumir uma reclamação ou sugerir uma solução, a IA precisa da situação, não da identidade. Comece removendo tudo de que a tarefa não depende.

Passo 2: troque identificadores por marcadores

Use marcadores claros e sempre iguais:

• [NOME_CLIENTE]
• [NUM_PEDIDO]
• [CIDADE]
• [EMAIL], [TELEFONE], [PRODUTO]

Guarde a correspondência (qual marcador equivale a qual valor real) só no seu próprio sistema. Quando a IA devolver o rascunho, coloque os valores reais de volta você mesmo.

Passo 3: generalize em vez de apagar quando o contexto importa

• A idade exata (47) vira uma faixa (45 a 54 anos).
• O endereço completo vira uma região (“interior de São Paulo”).
• O valor exato (R$ 1.284,50) vira uma faixa (“pouco mais de R$ 1.000”).
• A data exata vira um período (“semana passada”).

Passo 4: remova identificadores indiretos

Cargos raros, acontecimentos incomuns, históricos longos e combinações de detalhes podem identificar alguém mesmo sem nome. “Um cliente de seis anos, de uma cidadezinha, dono da única clínica veterinária do lugar” não é anônimo.

Passo 5: em planilhas, corte colunas antes de enviar

Apague ou mascare as colunas de identificação (nome, e-mail, telefone, endereço, CPF, código do cliente) antes do envio. Depois, envie só as colunas de que a tarefa precisa.

Se a ideia é analisar padrões de reembolso, você provavelmente precisa do produto, do período e do motivo do reembolso. Não precisa saber quem pediu.

Se precisar diferenciar as linhas, troque o código do cliente por um código aleatório ou por um valor com hash. Isso continua sendo pseudonimização (veja abaixo), não anonimização.

Pseudonimizado não é o mesmo que anonimizado

A diferença tem peso legal:

• Dado pseudonimizado teve os identificadores trocados, mas pode ser reidentificado com uma informação extra que você guarda (como a sua tabela de marcadores). Continua sendo dado pessoal, tanto para a LGPD quanto para o GDPR.
• Dado anonimizado não pode ser associado a uma pessoa com meios razoáveis. A LGPD não o considera dado pessoal, a menos que a anonimização possa ser revertida (art. 12).

Exemplo prático: um e-mail de reclamação

Antes (não cole isto):

Oi, aqui é a Mariana Souza (mariana.s@example.com). O pedido nº 48213, da bolsa térmica de viagem, chegou no meu apartamento em Curitiba com quatro dias de atraso. Sou diabética tipo 1 e precisava dela para manter minha insulina refrigerada numa viagem, então tive que comprar outra no aeroporto por R$ 189. Sou cliente há seis anos e isso não está certo. Mariana, (41) 9XXXX-XXXX

O texto tem nome, e-mail, telefone, número do pedido, cidade, valor de compra, histórico de cliente e um dado de saúde (dado pessoal sensível).

Depois (minimizado e com marcadores):

Oi, aqui é [NOME_CLIENTE]. O pedido [NUM_PEDIDO], de [PRODUTO], chegou na minha casa em [CIDADE] com quatro dias de atraso. Eu precisava dele por um motivo pessoal urgente durante uma viagem, então tive que comprar outro em outro lugar por cerca de R$ 190. Sou cliente há bastante tempo e isso não está certo.

O que mudou:

• E-mail e telefone saíram, porque a resposta não precisa deles.
• Nome, número do pedido, produto e cidade viraram marcadores, que você preenche depois.
• O diabetes e a insulina viraram “motivo pessoal urgente”. A IA consegue escrever uma resposta empática sem saber da condição médica.
• O valor exato virou “cerca de R$ 190” e os seis anos viraram “há bastante tempo”.

Exemplo de prompt para a resposta

Você está ajudando uma pequena loja virtual a responder à reclamação de uma cliente. Escreva uma resposta curta, acolhedora e profissional para o e-mail abaixo. Peça desculpas pelo atraso na entrega, reconheça que isso causou um transtorno real e ofereça o reembolso do valor gasto com a substituição, mediante comprovante. Mantenha os marcadores entre colchetes exatamente como estão. Não invente detalhes.

[cole o e-mail já limpo]

Depois, você insere o nome e o número do pedido reais antes de enviar. Se a resposta precisar mencionar o motivo médico, escreva essa frase você mesmo.

Para estruturar prompts assim, veja nosso guia sobre como escrever prompts de IA para e-mails profissionais.

Conheça os limites

Localizar e substituir deixa coisas passar: um nome na assinatura, um apelido, um e-mail no meio de uma conversa encaminhada.

Configurações para revisar em qualquer plano

Nomes de menus e a localização das opções mudam. Trate esta lista como coisas a encontrar, não como cliques exatos. A Central de Ajuda da OpenAI tem as instruções atuais.

• Controles de dados e treinamento de modelos. Encontre a configuração que define se o seu conteúdo pode ser usado para melhorar os modelos e confirme você mesmo como ela está hoje.
• Chats temporários ou em estilo “anônimo”. Normalmente mantêm a conversa fora do seu histórico. Ainda assim, podem ser guardados por um período, por exemplo para revisão de segurança. Veja na Central de Ajuda o que eles mudam e o que não mudam.
• Memória e instruções personalizadas. Revise o que está guardado sobre você e, principalmente, sobre seus clientes. Apague o que não deveria estar lá.
• Links compartilhados. Revise os links antigos e apague os que tenham trabalho de clientes.
• Conectores e integrações. Se houver conectores com e-mail, drive ou agenda, mantenha só o que você realmente usa.
• Segurança da conta.
  • Ative a verificação em duas etapas.
  • Não compartilhe logins.
  • Remova o acesso no mesmo dia em que alguém sair da empresa.

Quando não usar o ChatGPT de jeito nenhum

Alguns casos são um “não” claro, qualquer que seja o plano.

Nunca cole

• Senhas, chaves de API ou outras credenciais de acesso
• Números de cartão de pagamento (dados de cartão seguem as regras do PCI DSS)
• Login de banco ou dados bancários completos
• Números completos de documentos: CPF, RG, CNH, passaporte

Não use IA para isto, a menos que esteja coberto de forma explícita

• Dados de saúde, de processos judiciais, de crianças e adolescentes ou outros dados sensíveis. Só com contrato empresarial, base legal e conformidade setorial que cubram esse uso de forma explícita.
• Dados que um contrato ou NDA proíbe compartilhar com terceiros.
• Dados coletados sob uma política de privacidade que não prevê esse uso.
• Decisões de alto impacto sobre pessoas, como crédito, contratação ou elegibilidade.
  • Precisão, justiça e deveres legais sobre decisões automatizadas entram em jogo.
  • Isso inclui o direito de revisão previsto no art. 20 da LGPD (e o art. 22 do GDPR, se houver titulares na UE).
• Tarefas em que anonimizar tiraria justamente a informação de que a tarefa precisa. É sinal de que o trabalho deve ficar dentro de casa ou ir para um sistema com contrato adequado.
• Qualquer situação em que você não consegue verificar os termos do plano, como funcionários usando contas pessoais.
  • Isso costuma ser chamado de “shadow AI” (IA usada por fora, sem controle da empresa).
  • É um ponto cego comum, porque a empresa não tem controle sobre as configurações nem sobre os termos dessas contas.

Política de dados de IA em uma página para sua equipe

Copie, substitua as partes entre colchetes e mantenha tudo em uma página. Para uma versão mais completa, com cadastro de ferramentas aprovadas e plano de implantação, use nosso modelo de política de uso aceitável de IA para pequenas empresas.

Modelo para copiar

Política de Dados e IA da [nome da empresa] Responsável: [nome]. Última revisão: [data]. Próxima revisão: [data].

1. Ferramentas aprovadas

• Aprovadas para dados de clientes: [ferramenta e plano, por exemplo: “ChatGPT, somente no nosso espaço de trabalho empresarial”].
• Contas pessoais de IA (gratuitas ou pagas) nunca devem ser usadas com dados de clientes.

2. O que pode ser colado

• 🟢 Verde (perguntas genéricas, textos totalmente anonimizados): qualquer ferramenta aprovada.
• 🟡 Amarelo (nomes, e-mails, histórico de pedidos, chamados de suporte): somente no plano empresarial aprovado, depois de remover os identificadores ou trocá-los por marcadores como [NOME_CLIENTE] e [NUM_PEDIDO].
• 🔴 Vermelho (saúde, cartão ou dados bancários, CPF e outros documentos, senhas, dados de crianças, dados sob NDA): nunca, a menos que [responsável] aprove por escrito após orientação profissional.

3. Configurações e segurança obrigatórias

• Verificação em duas etapas ativada.
• Configurações de treinamento e de dados conferidas por [responsável] em [data].
• Nada de links compartilhados com trabalho de clientes.
• Conectores só com aprovação.

4. Antes de colar, pergunte

• A IA precisa deste dado para fazer a tarefa?
• Eu mandaria isto por e-mail para um prestador externo sem contrato?

5. Dúvidas e erros

• Na dúvida, fale com [nome/canal].
• Se colar algo que não devia, avise [nome] no mesmo dia. O que importa é avisar rápido. Ninguém será punido por comunicar.

6. Revisão

• [Responsável] confere os termos dos fornecedores a cada trimestre e sempre que mudarmos de plano ou de ferramenta.

Se alguém já colou dados sensíveis de clientes

Acontece. Uma resposta calma e rápida importa mais do que o erro em si.

Quando o incidente precisa ser comunicado

• Pela LGPD (art. 48), incidentes que possam gerar risco ou dano relevante aos titulares devem ser comunicados à ANPD e aos titulares afetados.
• O prazo e a forma de comunicação estão na regulamentação da ANPD. Confira a versão vigente no site da ANPD.
• Agentes de tratamento de pequeno porte podem ter prazos diferenciados. Confirme na regulamentação vigente da ANPD e com seu encarregado.
• Se houver titulares na União Europeia, o GDPR (art. 33) prevê comunicação à autoridade em até 72 horas, quando viável.

As mesmas perguntas valem para outras ferramentas de IA

Nada neste método é exclusivo do ChatGPT. Claude, Gemini, Microsoft Copilot e outros assistentes têm seus próprios termos para consumidores e para empresas. A divisão costuma ser a mesma: planos pessoais com um conjunto de termos, planos empresariais com outro.

Aplique o mesmo checklist a cada um. Se você está decidindo entre eles, veja nosso comparativo ChatGPT, Claude ou Gemini para pequenas empresas e some a ele a verificação dos termos de dados.

Recursos de IA embutidos e automações

Não esqueça os recursos de IA embutidos nas ferramentas que você já usa. Programas de e-mail, CRMs, sistemas de atendimento e editores de documentos trazem cada vez mais assistentes de IA, que também podem tratar dados de clientes. Confira os termos e as configurações deles como faria com um chatbot.

O mesmo vale para quem usa IA para automatizar tarefas administrativas repetitivas sem programar: cada ferramenta conectada ao fluxo precisa passar pelo checklist.

Ferramentas de reunião e escolha de novas ferramentas

Ferramentas que gravam e resumem reuniões são outro caso comum, porque as atas costumam citar clientes pelo nome. Nosso guia sobre como escolher uma IA para anotações de reunião trata da privacidade nesse tipo de ferramenta.

Se você está comparando ferramentas, inclua o checklist de termos de dados na avaliação. Nosso guia sobre como escolher um assistente de escrita com IA para pequenas empresas traz um plano de teste de 5 dias. Faça de “conferir os termos e as configurações de dados” uma tarefa do primeiro dia, antes de qualquer dado real de cliente entrar.

Perguntas frequentes

O ChatGPT usa o que eu digito para treinar a IA?

Depende do plano e das suas configurações. A OpenAI publica compromissos de dados diferentes para planos pessoais e para produtos empresariais. Consulte a política de privacidade da OpenAI, a página de privacidade para empresas e os controles de dados da sua conta. Confirme a situação atual você mesmo, em vez de supor um padrão.

O ChatGPT Plus é mais seguro para dados de clientes do que a versão gratuita?

Não automaticamente. O Plus é um plano pessoal pago, regido pelos termos de consumidor. Condições de dados de nível empresarial, como o contrato de tratamento de dados (DPA) e os controles de administrador, em geral estão ligadas às ofertas empresariais da OpenAI. Confira as páginas atuais dos planos antes de usar qualquer um com dados de clientes.

O ChatGPT está em conformidade com a LGPD?

Nenhuma ferramenta está em conformidade sozinha. A conformidade depende de como você a usa. Você precisa de uma base legal e de um contrato com o fornecedor (DPA). Também precisa de uma política de privacidade que cubra esse uso, de minimização de dados e de um mecanismo válido para a transferência internacional. Comece verificando se há DPA disponível para o seu plano. Se você atende clientes na União Europeia, o GDPR também se aplica.

Posso usar o ChatGPT com dados de pacientes ou de saúde?

Trate dados de saúde como vermelhos. Pela LGPD, são dados pessoais sensíveis, com regras mais rígidas. Profissionais de saúde também têm regras de sigilo próprias. Nos EUA, a HIPAA exige um acordo de associado comercial (BAA) antes de um fornecedor tratar informações de saúde protegidas, e a OpenAI diz oferecê-lo apenas para alguns produtos. Confirme isso nas páginas da OpenAI e busque orientação de conformidade antes de usar.

O chat temporário torna seguro colar dados de clientes?

Reduz parte da exposição, por exemplo ao manter a conversa fora do seu histórico. Mas o conteúdo ainda pode ficar guardado por um período, por motivos de segurança. Veja os detalhes atuais na Central de Ajuda da OpenAI. O chat temporário não substitui a minimização de dados nem termos empresariais adequados.

Posso enviar uma planilha de clientes para o ChatGPT?

Só depois de remover ou mascarar as colunas de identificação (nome, e-mail, telefone, CPF etc.) e de enviar apenas as colunas de que a tarefa precisa. Antes, confirme que os termos do seu plano e a sua política de privacidade permitem esse uso. Revise com atenção colunas de texto livre, como observações, porque elas costumam conter dados pessoais.

Preciso avisar os clientes que uso ferramentas de IA com os dados deles?

Se você trata dados pessoais de clientes com um fornecedor terceiro, a LGPD exige transparência. Por isso, a sua política de privacidade normalmente precisa cobrir esse uso. Contratos com clientes também podem exigir autorização antes do uso de ferramentas de IA. Busque orientação jurídica para o seu caso.

Usar a API da OpenAI é mais seguro do que o aplicativo do ChatGPT?

A API é regida por termos empresariais, com compromissos de dados próprios que a OpenAI descreve nas páginas da plataforma. Mesmo assim, você ainda precisa de DPA, de minimização de dados e de cuidado do seu lado, como proteger as chaves de API. Confira a política atual de uso de dados da API.

O que fazer se um funcionário colou dados de clientes na conta pessoal dele do ChatGPT?

Registre o que foi compartilhado, quando e em qual conta. Apague a conversa e os links compartilhados e confira a memória. Avalie se é um incidente de segurança que precisa ser comunicado à ANPD e aos titulares (art. 48 da LGPD). O prazo e a forma de comunicação estão na regulamentação da ANPD, por isso confira a versão vigente e busque orientação rápido. Depois, atualize a política para que dados de clientes só entrem em contas empresariais aprovadas.