Segurança e dados no dia a dia

Nesta aula

Cuidar dos dados não é freio. É o que permite usar a IA todo dia sem medo.

Ao longo do curso eu repeti uma regra em quase toda aula: dado de pessoa não entra na IA sem tratamento. Agora vou juntar tudo num só lugar e explicar o porquê, em linguagem de quem tem um negócio e não de quem escreve lei. A ideia não é assustar. É o contrário: quando você sabe exatamente o que pode e o que não pode, você usa a ferramenta com mais liberdade, porque para de adivinhar. Esta aula termina com um checklist do seu próprio negócio, que vai entrar no projeto final.

• Ao final, você vai saber explicar o que é dado pessoal e dado sensível, e por que a responsabilidade é de quem trata o dado.
• Vai anonimizar qualquer texto antes de colar, com um método de quatro passos.
• Vai sair com o checklist de dados do seu negócio: quais dados você tem, onde estão, o que pode e o que não pode entrar numa IA.

LGPD em linguagem simples

A Lei Geral de Proteção de Dados (LGPD) é a lei brasileira que diz como empresas e pessoas devem tratar dados de outras pessoas. Não vou citar artigos nem números, porque isso é trabalho para um advogado e porque o que importa no dia a dia cabe em quatro ideias.

1. Dado pessoal é o que aponta para uma pessoa

Nome, CPF, RG, telefone, e-mail, endereço, placa do carro, foto, número de matrícula. E também combinações: "a dentista do bairro X que atende às terças" pode identificar alguém sem nenhum documento. Dado de empresa (CNPJ, razão social, faturamento) não é dado pessoal, mas quase sempre vem acompanhado de dado de pessoa: o nome do sócio, o e-mail do contato, o telefone do comprador.

2. Dado sensível exige cuidado dobrado

Saúde, religião, orientação sexual, origem étnica, opinião política, dados biométricos, filiação a sindicato. Uma clínica, uma academia, uma escola e uma igreja lidam com dado sensível todo dia. A regra prática é curta: dado sensível não entra numa IA. Nem anonimizado, se houver qualquer chance de a pessoa ser identificada pelo contexto.

3. Todo uso precisa de uma finalidade

Você coletou o telefone do cliente para confirmar a entrega. Usar esse telefone para confirmar a entrega é a finalidade. Colar a lista inteira de telefones numa IA para "ver o que ela sugere" não é. A pergunta que resolve quase tudo: a pessoa que me deu esse dado esperaria que ele fosse parar aqui? Se a resposta for "provavelmente não", pare.

4. A responsabilidade é de quem trata o dado

Se um dado de cliente vaza porque um funcionário colou numa conta pessoal de IA, quem responde em primeiro lugar é a empresa, não o funcionário sozinho (o fornecedor da IA também tem obrigações, mas isso não tira a sua). Por isso as regras desta aula não são "para a equipe": são para o negócio, e o dono precisa conhecê-las primeiro.

Anonimizar em quatro passos

Anonimizar é trocar o dado que identifica por um marcador que não identifica, mantendo o texto útil. Você já fez isso em várias práticas do curso, na aula 04 com e-mails e na aula 12 com contratos. Aqui está o método completo, para virar hábito.

1. Leia procurando pessoa. Nome, sobrenome, apelido, cargo com nome, e-mail, telefone, documento, endereço, placa. Marque tudo.
2. Troque por marcador entre colchetes. [cliente], [paciente], [funcionário 1], [fornecedor], [telefone], [endereço]. Se houver duas pessoas, numere: [cliente 1], [cliente 2]. Colchete funciona porque a IA entende que é um espaço a preservar e devolve o texto com o marcador no lugar.
3. Procure o que identifica pelo contexto. "O único médico que atende no sábado", "a loja em frente à igreja matriz", "o aluno que ganhou a olimpíada de matemática". Generalize: "um médico", "a loja", "um aluno".
4. Confira o que sobrou. Leia o texto final como se fosse um estranho. Dá para saber de quem se trata? Se sim, volte ao passo 3. Se não, pode colar.

Antes e depois

Uma imobiliária quer que a IA reescreva um aviso de atraso de repasse ao proprietário. O texto original:

Depois dos quatro passos, o pedido fica assim:

A resposta vem com os marcadores no lugar. Você preenche os dados reais no seu sistema ou no e-mail, e a IA nunca viu nenhum nome. O texto ficou igualmente bom.

Contas: da empresa, pessoais e compartilhadas

Na aula 02 eu disse que dado do negócio fica na conta do negócio. Agora o detalhe.

Senhas e duas etapas

A conta de IA vira, com o tempo, um arquivo do seu trabalho: meses de conversas com contexto do negócio. Trate como trata o e-mail. Senha única, longa, guardada num gerenciador de senhas, e verificação em duas etapas ativada. Isso fica nas configurações de segurança de cada assistente e leva menos de cinco minutos. Se a equipe usa contas próprias, essa é a primeira regra do checklist de hoje.

O que apagar e quando

Uma vez por mês, abra o histórico e a memória (se o seu assistente tiver) e apague o que não deveria estar lá: uma conversa em que alguém colou um nome por descuido, um dado guardado na memória que já não vale. Se um funcionário sair da empresa, remova o acesso dele no mesmo dia, como faria com o e-mail.

Golpes que usam o nome dos assistentes

Toda ferramenta popular vira isca. No momento em que escrevo (setembro de 2026), os golpes mais comuns em torno de Claude, ChatGPT e Gemini seguem três formatos, e nenhum deles é novo: só trocaram o nome do banco pelo nome do assistente.

• Aplicativo ou extensão falsa. "Baixe o ChatGPT desbloqueado", "instale a extensão que libera o Claude de graça". Instala um programa que rouba senhas ou mostra propaganda. O acesso oficial é pelo site de cada assistente ou pela loja oficial de aplicativos do celular, sempre conferindo o nome do desenvolvedor.
• E-mail de suspensão. "Sua conta será encerrada em 24 horas, clique para confirmar". Urgência, link e pedido de senha. Nunca clique. Abra o site digitando o endereço e veja se há algum aviso na sua conta.
• Venda de acesso. "Conta premium por uma fração do preço", vendida por mensagem ou em grupo. Ou é conta roubada de outra pessoa, ou é golpe de pagamento. Contrate só no site oficial.

Há também o uso da IA por golpistas contra você: mensagens de cobrança perfeitas, voz clonada, textos sem erro de português. Isso rende um curso inteiro, e é assunto para outro momento. Para o trabalho, fica a regra que vale para tudo: pedido de dinheiro, senha ou dado, por mais bem escrito que esteja, confirma por outro canal antes de agir.