Dados de clientes em chatbots de IA: o que controlar
Segundo a Netskope, 64% das violações de política com IA generativa no Brasil envolvem dados regulamentados. Para pequenas empresas, o caminho passa por regras claras, ferramentas aprovadas e treinamento prático.
Quando alguém da equipe cola uma planilha de clientes num chatbot para "ganhar tempo", a empresa pode perder o controle sobre aquela informação sem que ninguém perceba. Um relatório recente mostra que isso não é raro e que, no Brasil, o problema atinge sobretudo dados que a lei trata com mais rigor.
O que os números indicam
Segundo o TI Inside, que citou estudos da Netskope, o número de incidentes de usuários enviando informações confidenciais a aplicativos de IA dobrou no último ano. A média global é de 223 por mês por organização, de acordo com o Cloud and Threat Report 2026. No recorte brasileiro, o Threat Labs Report Brazil 2026 aponta que 64% das violações de política de dados em IA generativa envolvem dados regulamentados, como informações financeiras e pessoais.
O restante da lista também importa para quem tem uma operação enxuta: código-fonte responde por 21% dos incidentes, senhas e chaves de API por 9% e propriedade intelectual por 7%. Ou seja, o risco não se limita a cadastro de cliente; inclui o que mantém seus sistemas funcionando.
O mercado chama esse comportamento de BYOAI (Bring Your Own AI): o funcionário usa a ferramenta que preferiu, por conta própria, sem a empresa saber. Em pequenas empresas, onde não há equipe de TI dedicada, isso tende a passar despercebido. A relação com a LGPD é direta: dados pessoais de clientes enviados a uma ferramenta não avaliada podem virar um problema de conformidade, e a responsabilidade continua sendo da empresa.
A executiva de compliance da Prestex, ouvida pelo TI Inside, defende que proibir não basta: é preciso regras claras, ferramentas seguras e capacitação. A empresa dela integrou TI e Compliance para definir juntas como a IA pode ser usada. Numa pequena empresa, a versão enxuta disso cabe em poucas decisões:
- Escreva uma política de uma página dizendo quais dados nunca podem ir a um chatbot (dados pessoais de clientes, financeiros, senhas, chaves de acesso, código) e quais usos são liberados.
- Ofereça uma ferramenta aprovada. Se a equipe não tem alternativa, continuará usando contas pessoais. Avalie nos termos do plano contratado como os dados são tratados.
- Aplique bloqueios onde for viável, como restringir acesso a serviços não aprovados nos computadores da empresa, quando o seu antivírus ou firewall permitir.
- Treine com exemplos reais do seu dia a dia: como reescrever um pedido removendo nome, CPF e valores antes de consultar uma IA.
- Defina um responsável, mesmo que seja o próprio dono, para tirar dúvidas e revisar a política.
A fonte não detalha quais ferramentas de controle seriam adequadas a empresas pequenas, então vale consultar seu fornecedor de TI sobre o que já está disponível nos sistemas que você paga.
Comece pelo diagnóstico
A mesma executiva recomenda partir do diagnóstico, e não da ferramenta: entender onde a IA gera ganho real, definir prioridades e só então criar controles. Outra especialista citada na matéria sugere que, quanto maior o risco e menor a chance de corrigir um erro, menor deve ser a autonomia da IA. Para o gestor, isso se traduz em perguntar à equipe, sem punição, onde a IA já está sendo usada hoje.
Fechamento
O risco não está em usar IA, mas em usá-la sem regra. Uma política curta, uma ferramenta aprovada e um treinamento prático custam menos do que explicar a um cliente por que os dados dele foram parar em um chatbot.
Fontes
Continue lendo
Anatel manda bloquear SMS sem cadastro: o que sua empresa faz
A Anatel determinou que operadoras bloqueiem SMS corporativos de remetentes sem cadastro. Empresas que enviam avisos, cobranças ou códigos por SMS precisam checar se estão no novo diretório antes do fim do prazo de 90 dias.
CibersegurançaVazamento no FGC: o que empresas devem revisar na LGPD
O FGC admitiu acesso indevido a nomes, CPFs e e-mails de investidores. O caso serve de roteiro para pequenas empresas revisarem acessos, fornecedores e o preparo para comunicar um incidente à ANPD.