Início / Blog / Chatbots e assistentes

Segurança de dados ao usar ferramentas de IA: o que você não deve colar em um chatbot

Classifique os dados por sensibilidade, saiba o que verificar na política do fornecedor e siga regras práticas para que pessoas e pequenas empresas usem a IA com mais segurança.

Edição: PickYourToolAtualizado: 2026-10-265 min de leitura

Colar um contrato em um chatbot para obter um resumo é muito conveniente e pode causar problemas com facilidade se você não souber para onde esses dados vão. Este artigo não quer assustá-lo a ponto de deixar de usar IA, mas ajudá-lo a traçar limites claros: o que pode entrar, o que não pode e o que verificar antes de confiar em uma ferramenta.

Para onde vão os seus dados quando você aperta Enviar

Quando você digita um conteúdo em um serviço de IA online, ele é enviado aos servidores do fornecedor para ser processado. Dependendo do serviço e do plano, o fornecedor pode:

• guardar o histórico de conversas na sua conta;
• permitir que revisores humanos vejam algumas conversas para melhorar a qualidade ou investigar abusos;
• usar as conversas para treinar modelos, a menos que você desative essa opção ou use um plano que se compromete a não treinar;
• repassar dados a subcontratados de infraestrutura (nuvem, armazenamento).

Os termos específicos variam entre fornecedores, entre planos gratuito, pessoal e empresarial, e entre o aplicativo e a API. Por isso a resposta exata está sempre na política de privacidade e nos termos de serviço vigentes do plano exato que você usa, e não em um artigo como este.

Classifique os dados em três níveis

Nível 1: públicos. Conteúdo já publicado em um site, comunicados de imprensa, produtos já à venda. Você pode usá-los à vontade.

Nível 2: internos. Planos de marketing, orçamentos ainda não enviados, fluxos de trabalho, e-mails internos sem dados pessoais. Use depois de ler a política, desativar a opção de usar seus dados para treinamento, se houver, e remover nomes próprios quando não forem necessários.

Nível 3: sensíveis. Incluem dados pessoais de clientes e funcionários (nome completo com telefone, endereço, número de documento, conta bancária), informações de saúde, contratos com cláusulas de confidencialidade, código-fonte proprietário, chaves de API e senhas. Não os coloque em ferramentas de IA públicas. Se for realmente necessário, use apenas um plano empresarial ou um serviço implantado de forma privada e avaliado por alguém qualificado.

Cinco pontos a verificar na política

1. Treinamento: seus dados são usados para treinar modelos, e você pode desativar isso?
2. Retenção: por quanto tempo ficam guardados, como são apagados, são realmente removidos dos sistemas?
3. Leitores: alguma pessoa lê o conteúdo das conversas e em quais casos?
4. Localização e transferências: onde os dados são processados, são transferidos para o exterior?
5. Certificações e compromissos contratuais: existe um acordo de tratamento de dados (DPA) e uma certificação independente de segurança para o plano empresarial?

Se você não encontrar uma resposta clara para os cinco pontos, considere a ferramenta ainda não segura para dados de nível 2 ou superior.

Riscos além do armazenamento

A segurança no uso de IA não é só uma questão do que o fornecedor armazena. A OWASP, organização especializada em segurança de aplicações, lista riscos específicos de aplicações que usam modelos de linguagem, entre eles:

• Injeção de prompt (prompt injection): conteúdo escondido em uma página da web ou em um documento faz o modelo seguir as instruções de um atacante. É especialmente preocupante quando o assistente tem permissão para agir, como enviar e-mails ou ler arquivos.
• Vazamento de informações sensíveis por meio das respostas.
• Permissões excessivas: dar a um agente de IA acesso a mais do que ele precisa.
• Confiança excessiva nos resultados, por exemplo executar código escrito por IA sem lê-lo.

Para ferramentas com recursos de "agente" (navegar na web, enviar e-mails, operar arquivos por conta própria), o princípio de segurança é conceder o mínimo de permissões, manter contas de teste separadas das contas reais e exigir confirmação antes de ações irreversíveis.

Regras práticas para pessoas e pequenas empresas

• Anonimize antes de colar. Troque nomes reais por "Cliente A" e valores específicos por faixas.
• Separe as contas. Use uma conta de trabalho própria e ative a autenticação em duas etapas.
• Desative o histórico ou o treinamento se o serviço permitir e você não precisar do histórico.
• Nunca coloque senhas, chaves de API ou códigos OTP em nenhum chatbot, mesmo "só para pedir ajuda com um erro". Se já fez isso, troque a chave imediatamente.
• Escreva uma regra de uma página para a equipe: o que é permitido, o que é proibido, quais ferramentas são aprovadas.
• Verifique extensões e aplicativos de terceiros. Muitas extensões de "IA" para o navegador pedem permissão para ler todas as páginas que você abre.
• Releia a política quando receber um aviso de mudança. Os termos podem mudar com o tempo.

Quando os dados envolvem outras pessoas

Se você trata dados pessoais de clientes ou funcionários, pode ter obrigações legais, por exemplo ter uma base legal, avisar as pessoas envolvidas ou limitar transferências para o exterior. As regras específicas dependem do país e do setor. No Vietnã, a nova lei de proteção de dados pessoais está em vigor desde 2026; na Europa há o GDPR. Este artigo não é aconselhamento jurídico; se o seu negócio trata grandes volumes de dados pessoais, consulte um advogado ou um especialista em conformidade.

Se você enviou dados sensíveis por engano

1. Apague a conversa e, se houver, remova-a do histórico ou da memória da ferramenta.
2. Se for uma senha, chave de API ou token, revogue e crie uma nova imediatamente.
3. Anote o que foi enviado e em que momento.
4. Se forem dados de clientes, avise o responsável e verifique as obrigações de notificação.
5. Atualize as regras internas para evitar que se repita.

Conclusão

Usar a IA com segurança não exige que você seja especialista em segurança. Classifique os dados, leia a política do plano exato, anonimize o que for possível e não coloque segredos em um chatbot. Para trabalhos importantes, escolha um plano empresarial com compromissos por escrito. Por fim, lembre-se de que toda política pode mudar, então o seu hábito de cautela vale mais que qualquer promessa.

Este artigo é apenas uma referência geral e não substitui aconselhamento jurídico ou profissional. Veja também a política editorial, de afiliados e de avaliações.