Uma pessoa da equipe precisa resumir um contrato, organizar uma planilha ou responder a um cliente. Para ganhar tempo, cola o conteúdo em uma ferramenta de inteligência artificial. O resultado pode ser útil, mas o texto enviado talvez contenha nomes, valores, dados de saúde, credenciais ou informações comerciais que não deveriam sair do ambiente autorizado pela empresa.

Esse risco ganhou destaque em outubro de 2026. Em levantamento referente a setembro, a Check Point Research classificou um em cada 25 prompts empresariais analisados na América Latina como de alto risco para exposição de dados. A classificação indica risco, não prova que houve vazamento ou que a mesma taxa se aplique a toda empresa brasileira. Ainda assim, o número mostra por que o uso cotidiano de IA merece regras claras.

Para negócios de Recife e Pernambuco, o caminho não precisa começar com uma política extensa. Começa com uma pergunta antes de cada envio: este conteúdo pode ser compartilhado com a ferramenta, nesta conta e para esta finalidade? O checklist abaixo ajuda a responder.

Ilustração de documentos protegidos por um escudo antes de um fluxo de dados chegar à inteligência artificial

Por que um prompt pode expor dados da empresa

O prompt é tudo o que a pessoa fornece à ferramenta: instrução, texto colado, arquivo, imagem, áudio ou conteúdo acessado por uma integração. Muitas vezes, a equipe pensa apenas na pergunta escrita e esquece que um documento anexado pode conter páginas ocultas, comentários, histórico de revisão ou metadados.

O risco varia conforme o serviço, o plano contratado, as configurações, as integrações e o contrato com o fornecedor. Não é correto presumir que toda ferramenta usa os dados para treinar modelos, nem que uma opção chamada “privada” resolva sozinha todas as questões. O essencial é verificar as condições reais de retenção, uso, acesso e exclusão antes de permitir dados corporativos.

A ANPD, em seu Radar Tecnológico sobre IA generativa, chama atenção para o compartilhamento de informações pessoais em diferentes etapas de uso dessas tecnologias. O perfil de IA generativa do NIST também orienta organizações a identificar, medir e administrar riscos ao longo do ciclo de vida do sistema. Na prática, isso pede decisões sobre dados, pessoas, ferramentas e finalidade.

O que não deve entrar em uma ferramenta de IA sem autorização

Dados pessoais e documentos de clientes

Nome, CPF, telefone, endereço, dados financeiros e informações de saúde podem identificar pessoas ou revelar detalhes íntimos. Um contrato, uma ficha de atendimento ou uma planilha de clientes não vira material seguro apenas porque o pedido à IA parece simples.

Exemplo: em vez de anexar uma proposta real com o nome do cliente e preço negociado, descreva o cenário com números fictícios e peça um modelo de estrutura. Depois, complete o documento no sistema aprovado pela empresa.

Senhas, códigos e detalhes de infraestrutura

Nunca use uma IA para “organizar” uma lista de senhas, tokens de API, códigos de recuperação, certificados ou chaves privadas. Endereços internos, diagramas de rede e configurações completas também podem facilitar ataques se forem expostos. Um inventário de TI bem mantido ajuda a saber onde esses dados ficam e quem pode acessá-los.

Se for necessário pedir ajuda para interpretar um erro técnico, remova credenciais, endereços sensíveis, nomes de clientes e identificadores antes de compartilhar um trecho. Confira também anexos e capturas de tela: um token visível em um canto da imagem continua sendo um token.

Informações estratégicas e documentos sob sigilo

Propostas ainda não enviadas, preços especiais, dados de folha, contratos com cláusulas confidenciais e planos de expansão exigem cuidado mesmo quando não contêm dados pessoais. A obrigação de sigilo pode decorrer de contrato, da relação com o cliente ou da própria estratégia do negócio.

Antes de enviar material, pergunte quem o produziu, quem autorizou o uso e se há uma versão pública ou sintética suficiente para a tarefa. Quando a resposta for incerta, consulte o responsável em vez de testar com o documento real.

Checklist de uso seguro de IA generativa

1. Liste as ferramentas que a equipe já usa

Comece pelo que existe, inclusive contas gratuitas e extensões de navegador. Registre nome do serviço, finalidade, responsável, tipo de conta, integrações, dados acessados e pessoas autorizadas. Sem esse mapa, uma regra genérica será difícil de cumprir.

Inclua ferramentas embutidas no e-mail, no editor de texto, no CRM e na videoconferência. Em alguns casos, um resumo automático ou uma transcrição pode enviar informações sem que a pessoa perceba que está usando IA.

2. Classifique os dados em três níveis simples

Uma política pequena pode funcionar com estas categorias:

  1. Público: conteúdo já divulgado pela empresa, que pode ser usado em ferramenta aprovada.
  2. Interno: processos e documentos sem sigilo especial, que exigem conta corporativa e finalidade definida.
  3. Restrito: dados pessoais, financeiros, de saúde, credenciais, segredos comerciais e material sujeito a contrato. Exige avaliação e autorização específica antes de qualquer uso.

Os exemplos não substituem a análise jurídica ou contratual. Eles criam uma linguagem comum para a equipe decidir rapidamente quando parar e pedir orientação.

3. Aprove ferramentas e contas, não apenas nomes de produtos

O mesmo fornecedor pode oferecer recursos e condições diferentes em planos pessoais e empresariais. Avalie contrato, política de retenção, uso dos dados, região de processamento quando relevante, controles administrativos, registros de acesso, exclusão e suporte a incidentes. Documente quem pode habilitar novas integrações.

Contas compartilhadas dificultam responsabilização e revogação. Prefira identidades individuais, autenticação forte e permissões compatíveis com a função de cada pessoa. Uma ferramenta aprovada para criar textos de marketing pode continuar inadequada para analisar prontuários ou folha de pagamento.

4. Reduza o conteúdo antes de enviar

Use apenas o mínimo necessário para resolver a tarefa. Troque nomes por papéis, números reais por faixas ou valores fictícios e documentos inteiros por trechos revisados. A anonimização precisa ser efetiva: trocar “Maria” por “Cliente A” não basta se endereço, cargo e data permitirem identificá-la.

Exemplo de prompt mais seguro: “Crie um roteiro de atendimento para uma loja de serviços com dez funcionários que precisa avisar sobre mudança de horário”. Evite colar mensagens reais de clientes quando uma descrição genérica atende ao objetivo.

5. Revise a saída antes de usar ou enviar

A IA pode inventar fatos, misturar versões ou reproduzir dados do material recebido. Confirme números, nomes, links, recomendações técnicas e obrigações legais. Uma resposta fluente não equivale a uma fonte verificada.

Defina revisão humana para propostas, comunicação com clientes, decisões financeiras e orientações que afetem pessoas. Se a saída trouxer informação que deveria ser restrita, interrompa o fluxo e investigue a origem antes de compartilhá-la.

6. Controle integrações e permissões

Conectar IA ao e-mail, armazenamento ou sistema de chamados pode ampliar muito o conjunto de dados acessíveis. Verifique quais pastas e ações ficam disponíveis, por quanto tempo e para quem. Teste primeiro com uma conta e um conjunto de dados de baixo risco.

Remova acessos que deixaram de ser necessários e revise permissões quando um funcionário muda de função ou sai da empresa. O princípio é simples: a ferramenta só deve ver o que precisa para cumprir uma tarefa autorizada.

7. Treine com exemplos da rotina

Uma regra “não coloque dados na IA” costuma falhar porque não explica como trabalhar. Mostre exemplos de uso permitido, de uso que exige autorização e de uso proibido. Faça a equipe praticar a remoção de dados de um arquivo fictício antes de usar documentos reais.

Uma empresa de serviços em Recife, por exemplo, pode liberar IA para sugerir títulos de campanhas com dados públicos e exigir aprovação para analisar históricos de atendimento. O time entende melhor a diferença quando vê casos do próprio trabalho.

8. Prepare uma resposta para envio indevido

Se alguém enviou conteúdo restrito por engano, o primeiro passo é registrar o que foi enviado, em qual conta e ferramenta, quando ocorreu e quem pode ter acesso. Preserve evidências e acione o responsável de TI e de privacidade. Verifique as opções de exclusão e os compromissos do fornecedor, sem presumir que apagar a conversa elimina todas as cópias.

Se houver credencial exposta, revogue ou troque o segredo e avalie sessões e integrações relacionadas. Se houver dados pessoais, faça a avaliação de impacto e das obrigações aplicáveis. O plano de resposta a incidentes da empresa deve incluir também esse cenário.

Um plano de implantação em uma semana

Para sair da intenção e chegar à prática, distribua o trabalho em etapas curtas:

  • Dia 1: identifique ferramentas, contas e integrações em uso.
  • Dia 2: escolha as tarefas de IA que trazem benefício claro.
  • Dia 3: classifique os dados envolvidos e marque os usos restritos.
  • Dia 4: revise as condições das ferramentas e defina uma lista aprovada.
  • Dia 5: escreva uma regra de uma página, com exemplos e responsável por dúvidas.
  • Dia 6: faça um treinamento de 30 minutos com situações reais, sem usar dados reais nos exercícios.
  • Dia 7: teste a regra com a equipe e ajuste pontos confusos.

Depois, revise o inventário e a política sempre que uma nova ferramenta for adotada, um recurso mudar ou ocorrer um incidente. O objetivo é manter a produtividade com limites compreensíveis, e não criar um documento que ninguém consulta.

Perguntas frequentes

Posso usar IA gratuita para textos da empresa?

Pode ser possível para conteúdo público ou fictício, se a empresa aprovar a ferramenta e a finalidade. Antes de usar informação interna, confira as condições da conta, retenção, compartilhamento e controles disponíveis. Não conclua que o serviço é seguro ou inseguro apenas por ser gratuito.

Tirar o nome do cliente torna o documento anônimo?

Nem sempre. Cargo, local, datas, valores e outros detalhes podem identificar a pessoa por combinação. Remova o que não é necessário e peça revisão quando houver dúvida. Para tarefas repetidas, prepare exemplos sintéticos já aprovados.

A LGPD proíbe usar IA com dados pessoais?

Não existe uma proibição geral por causa da tecnologia. O tratamento precisa ter finalidade, fundamento e controles adequados, além de respeitar os direitos das pessoas e as obrigações aplicáveis. A decisão depende do caso, do fornecedor e do fluxo de dados; quando houver risco relevante, envolva o responsável por privacidade.

O que fazer se um funcionário colou uma senha na IA?

Trate a senha como exposta. Revogue ou troque a credencial, verifique onde ela foi usada, revise sessões e acessos associados e registre o incidente. Investigue as opções de remoção na ferramenta, mas não espere por elas para proteger a conta.

Bloquear todas as ferramentas de IA resolve o problema?

Um bloqueio pode ser necessário em tarefas ou dados de alto risco, mas sozinho não ensina a equipe a reconhecer o que é sensível. Ferramentas já integradas a sistemas e uso fora da conta corporativa também precisam de visibilidade. Regras claras, ferramentas aprovadas e supervisão tendem a ser mais aplicáveis.

Conclusão

O risco começa antes de a IA responder: começa na escolha do que entra no prompt e de quais sistemas a ferramenta pode acessar. Um inventário simples, classificação de dados, fornecedores avaliados e exemplos de uso dão à equipe critérios para ganhar tempo sem expor informações de clientes, funcionários e da operação.

Se sua empresa precisa mapear ferramentas, revisar permissões e definir uma política de IA que caiba na rotina, converse com a Infoamigo pelo WhatsApp. Podemos ajudar a transformar esse checklist em ações práticas para a sua operação em Recife e Pernambuco.