Antes de enviar dados à IA, a empresa precisa classificar a informação

Antes de enviar dados à IA, a empresa precisa classificar a informação

Informação confidencial não é sinônimo de dado pessoal sensível Na rotina, a expressão “dado sensível” costuma ser utilizada para qualquer informação que exige cuidado. A Lei Geral de Proteção de Dados Pessoais utiliza o termo em sentido mais específico. A LGPD define dado pessoal como a informação relacionada a uma pessoa natural identificada ou identificável. Nome, CPF, endereço, telefone, e-mail individual, histórico de compras e informações financeiras relacionadas a uma pessoa podem ser dados pessoais. A classificação depende do conteúdo e da possibilidade de identificar alguém. Dados pessoais sensíveis constituem uma categoria específica. A lei inclui informações sobre: origem racial ou étnica; convicção religiosa; opinião política; filiação sindical; vínculo com organização religiosa, filosófica ou política; saúde; vida sexual; dados genéticos; dados biométricos vinculados a uma pessoa. Um contrato comercial, uma projeção de faturamento, um relatório de margem ou uma estratégia interna pode ser altamente confidencial sem se enquadrar nessa definição legal. Isso não reduz a necessidade de proteção. Significa apenas que a empresa precisa distinguir privacidade, confidencialidade, segurança e criticidade operacional. Uma mesma informação pode pertencer a mais de uma dessas categorias. A classificação deve considerar conteúdo e consequência Separar informações apenas entre “públicas” e “sigilosas” pode ser insuficiente. Uma classificação operacional simples pode considerar quatro níveis. 1. Informações públicas ou genéricas Incluem materiais já divulgados, descrições institucionais, dados públicos e conteúdos criados sem informações internas ou pessoais. Essas informações costumam permitir usos mais simples, embora as respostas da IA ainda precisem ser verificadas. 2. Informações internas Incluem procedimentos, apresentações, atas, planejamentos, relatórios e documentos de circulação restrita. Elas podem não conter dados pessoais, mas sua exposição pode revelar decisões, dificuldades, preços, métodos ou prioridades da empresa. 3. Dados pessoais e conteúdos confidenciais Incluem cadastros de clientes, documentos de profissionais, históricos de atendimento, contratos identificáveis e informações financeiras vinculadas a pessoas. Seu uso exige avaliar finalidade, necessidade, acesso, armazenamento e condições do fornecedor. 4. Dados pessoais sensíveis ou aplicações de alto impacto Incluem informações de saúde, biometria, convicção religiosa, opinião política e as demais categorias previstas na LGPD. Também merecem tratamento mais rigoroso as aplicações capazes de influenciar crédito, contratação, desligamento, preço, atendimento, acesso a serviços ou outras decisões relevantes. A classificação não substitui uma análise jurídica ou de segurança. Ela ajuda as equipes a reconhecer quando uma tarefa simples passou a envolver consequências maiores. Retirar o nome pode não eliminar a identificação Uma prática comum consiste em apagar nomes antes de enviar um documento à ferramenta. Essa medida pode reduzir a exposição, mas não garante que os dados foram anonimizados. Cargo, localização, histórico, número de matrícula, características pessoais e combinações de informações podem permitir que alguém seja identificado novamente. Trocar o nome por iniciais também pode ser insuficiente quando o restante do documento revela quem é a pessoa. Antes de utilizar dados em uma ferramenta, a empresa deve avaliar se todas as informações são realmente necessárias. Em alguns casos, pode trabalhar com: exemplos fictícios; trechos reduzidos; dados agregados; campos substituídos; valores aproximados; documentos sem identificadores; ambientes autorizados com controles adicionais. A melhor forma de reduzir exposição é não compartilhar aquilo que a tarefa não exige. A finalidade precisa estar definida antes do envio A LGPD estabelece princípios como finalidade, adequação e necessidade para o tratamento de dados pessoais. Na prática, isso significa que a empresa precisa saber por que determinada informação será utilizada e se a quantidade enviada é proporcional ao objetivo. Resumir um contrato não exige necessariamente compartilhar todas as páginas, assinaturas, documentos pessoais e dados bancários presentes no arquivo. Analisar padrões de atendimento pode não exigir nomes, telefones ou endereços dos clientes. Produzir um relatório pode depender de valores agregados, sem a identificação de cada pessoa. Antes do envio, convém perguntar: qual resultado a tarefa precisa produzir; quais campos são indispensáveis; quais informações podem ser removidas; se existe uma forma menos exposta de realizar o trabalho; quanto tempo os dados precisarão permanecer disponíveis; quem utilizará a resposta. A ferramenta não deve receber automaticamente todo o conteúdo disponível apenas porque consegue processá-lo. Consentimento não é a única questão jurídica É comum resumir proteção de dados à pergunta sobre consentimento. A LGPD prevê diferentes hipóteses legais para o tratamento de dados pessoais, e a definição adequada depende do contexto. A empresa não deve presumir que todo uso exige consentimento nem que obter uma autorização resolve qualquer aplicação. Também precisa avaliar, entre outros pontos: finalidade do tratamento; hipótese legal aplicável; necessidade das informações; direitos dos titulares; compartilhamento com terceiros; medidas de segurança; período de retenção; possibilidade de transferência internacional; responsabilidades entre as partes. Aplicações que envolvam dados pessoais sensíveis, crianças e adolescentes ou decisões de maior impacto podem exigir avaliação mais cuidadosa. Este artigo organiza critérios de gestão. A definição jurídica para uma aplicação concreta deve ser feita por profissionais qualificados, considerando o processo, os dados e os contratos envolvidos. O fornecedor participa do fluxo de informações Quando documentos ou comandos são enviados a uma ferramenta externa, o fornecedor passa a integrar o caminho percorrido pelas informações. Antes de autorizar o uso, a empresa precisa compreender: quais dados são coletados; onde são processados; por quanto tempo permanecem armazenados; se podem ser utilizados para aprimorar modelos; quais profissionais ou sistemas podem acessá-los; quais controles administrativos estão disponíveis; como ocorre a exclusão; se existem subcontratados; como incidentes são comunicados; quais condições se aplicam ao plano contratado. Uma versão gratuita e uma modalidade empresarial podem oferecer regras diferentes de retenção, administração e utilização de dados. O nome da ferramenta, sozinho, não informa quais condições se aplicam. A relação jurídica entre a empresa e o fornecedor também depende das decisões tomadas por cada parte no tratamento. Não é adequado presumir que todo provedor de IA terá sempre a mesma função perante a LGPD. Contrato, política de privacidade e configuração técnica precisam ser analisados em conjunto. Ferramenta autorizada não significa uso irrestrito Aprovar uma solução não torna qualquer informação ou finalidade automaticamente permitida. A empresa pode autorizar uma ferramenta para determinados usos e restringi-la em outros. Uma solução pode ser liberada para: revisar textos sem dados internos; organizar documentos públicos; resumir materiais previamente aprovados; apoiar pesquisas; estruturar apresentações; sugerir alternativas dentro de um ambiente controlado. O uso pode exigir autorização adicional quando envolver dados pessoais, documentos confidenciais, integrações ou decisões relevantes. Também pode permanecer proibido para determinadas categorias de informação ou ações. A orientação deve combinar ferramenta, finalidade, dados e permissão. Uma lista simples de soluções aprovadas não substitui essa combinação. A possibilidade de agir aumenta o impacto Uma ferramenta que apenas sugere um texto apresenta uma condição diferente de outra que pode alterar cadastros, enviar mensagens, movimentar valores ou executar etapas de um processo. Quanto maior a capacidade de ação, maior precisa ser o controle. Uma aplicação com acesso a sistemas internos deve utilizar somente as permissões necessárias. Ela também precisa manter registros, limites e formas de interrupção. Antes de liberar uma ação, a empresa deve definir: o que a ferramenta pode consultar; o que pode criar ou modificar; quais ações exigem aprovação; quais ações permanecem bloqueadas; como as atividades serão registradas; quem acompanhará erros; como o acesso poderá ser revogado; o que acontecerá em caso de falha. Mesmo uma resposta correta pode produzir consequências inadequadas quando executada no momento ou no contexto errado. Revisão humana precisa ter conteúdo definido Exigir revisão humana sem explicar o que deve ser verificado cria apenas uma etapa formal. Em uma tarefa de redação, o responsável pode conferir fatos, coerência e adequação. Em um resumo contratual, precisa comparar a resposta com o documento original e observar omissões. Em uma análise financeira, deve revisar dados, premissas e cálculos. Em aplicações de maior impacto, a revisão pode signific impedir que uma ação seja executada antes de uma autorização identificável. O responsável precisa saber: qual fonte deve consultar; quais erros são mais prováveis; quais limites a ferramenta possui; quais condições impedem o uso do resultado; quando deve solicitar avaliação especializada; como registrar a decisão final. A responsabilidade humana não se preserva apenas pela presença de uma pessoa. Ela depende de autoridade, conhecimento e tempo suficiente para revisar. Bloquear sem oferecer alternativa pode deslocar o uso Em alguns contextos, bloquear uma ferramenta pode ser necessário. O bloqueio, porém, não elimina a atividade que a equipe precisava realizar. Se a tarefa permanece e não existe uma alternativa autorizada, parte do uso pode migrar para contas pessoais ou soluções fora da visibilidade da empresa. Por isso, restrições devem vir acompanhadas de orientação. As equipes precisam saber: quais ferramentas podem utilizar; para quais finalidades; quais informações devem permanecer fora delas; como reduzir ou substituir dados; quando solicitar autorização; quem procurar em caso de dúvida; como comunicar uma ocorrência. O caminho autorizado precisa ser seguro e viável. Uma regra impossível de aplicar na rotina tende a ser contornada. Um incidente exige resposta organizada Mesmo com controles, erros podem acontecer. Um documento pode ser enviado à ferramenta errada, uma permissão pode ser concedida em excesso ou uma integração pode expor informações que deveriam permanecer restritas. A empresa precisa definir previamente: como interromper o acesso; como preservar registros; quem será comunicado internamente; como avaliar quais dados foram envolvidos; quais pessoas ou fornecedores participarão da resposta; quando buscar orientação jurídica; como corrigir a causa; como evitar recorrência. Nem todo incidente precisa ser comunicado à Autoridade Nacional de Proteção de Dados. A necessidade depende, entre outros aspectos, do envolvimento de dados pessoais e da possibilidade de risco ou dano relevante aos titulares. Essa avaliação não deve ser improvisada depois do ocorrido. A política inicial pode ser curta e aplicável Uma pequena ou média empresa não precisa começar com um documento extenso e difícil de utilizar. Uma orientação inicial pode definir: ferramentas autorizadas; finalidades permitidas; categorias de informação; usos que exigem aprovação; ações proibidas; responsáveis; regras de revisão; canal para dúvidas; procedimento para ocorrências; periodicidade de atualização. A Autoridade Nacional de Proteção de Dados recomenda que agentes de tratamento de pequeno porte adotem medidas administrativas e técnicas proporcionais ao risco, incluindo política de segurança, controle de acesso, treinamento e orientação das pessoas. O documento precisa ser revisado conforme ferramentas, processos e riscos mudam. Seguranç