Enviar um documento à IA é também compartilhar informações com um serviço. Antes do upload, defina a tarefa, confira quais dados podem sair da organização e escolha quem revisará a resposta. Uma política de uso precisa tratar entrada, processamento, saída e descarte, não apenas escolher o modelo mais recente.
Comece pela tarefa, não pelo arquivo inteiro
Uma pergunta delimitada ajuda a perceber o que realmente precisa ser enviado. Para descobrir a data de vencimento de uma proposta, talvez não seja necessário entregar ao serviço toda a pasta do cliente. Para comparar cláusulas, o contexto relevante pode ser maior. Faça essa avaliação antes de arrastar os anexos para a conversa.
O NIST AI 600-1, publicado em julho de 2024, descreve riscos de privacidade, respostas falsas apresentadas com confiança e dependências da cadeia de fornecedores. O documento é uma referência voluntária de gestão de riscos, não uma certificação de segurança de aplicativos. [NIST AI 600-1: Generative Artificial Intelligence Profile (2024)]
Como regra de trabalho proposta por este guia, registre o objetivo em uma frase: "localizar as condições de reajuste nos documentos autorizados". Depois escreva o que a ferramenta não poderá fazer, como aprovar o contrato ou enviar mensagens. Essa fronteira torna a revisão mais concreta.
Classifique o conteúdo que vai sair
Separe arquivos públicos, documentos internos e materiais com acesso restrito. Confira se há dados de clientes, informações de funcionários, credenciais ou segredos comerciais. Evite enviar um arquivo apenas porque você tem permissão para abri-lo: acesso interno e autorização para compartilhar com um fornecedor são decisões diferentes.
Quando houver dados pessoais, a LGPD exige observar finalidade, adequação e necessidade. A escolha da hipótese legal depende do tratamento concreto; uma caixa marcada no aplicativo não resolve essa análise. Os princípios do art. 6º oferecem um ponto de partida para perguntar quais dados são pertinentes à finalidade. [LGPD: texto atualizado, Câmara dos Deputados]
Retirar nomes pode reduzir exposição, mas não garante anonimização. Cargo, local, datas e detalhes de uma negociação podem permitir reconhecimento por outras pessoas. Use exemplos fictícios em treinamentos e avalie o risco de identificação no conjunto, sem presumir que a troca de CPF por iniciais tornou o arquivo público.
Leia as condições do ambiente contratado
Confira a política e o contrato do serviço efetivamente utilizado. Procure retenção de arquivos e conversas, uso para treinamento, acesso por administradores, subprocessadores, exclusão e transferência de dados. Não transfira condições de uma API empresarial para um aplicativo pessoal só porque ambos exibem a mesma marca.
Se a documentação não esclarecer um ponto relevante, registre a pendência antes de usar conteúdo restrito. Este roteiro não escolhe fornecedor nem afirma que algum plano é seguro por padrão. Uma resposta comercial também precisa corresponder ao produto e à conta que serão usados.
Teste a saída sem conectá-la a decisões
Comece com documentos permitidos e uma tarefa que possa ser conferida. Peça referência à página ou seção e permita a resposta "não localizado". Compare a resposta com o original, inclusive exceções e anexos. Uma referência existente não garante que a interpretação esteja correta.
Separe o resultado em informação conferida, interpretação a revisar e lacuna. Essa classificação é uma proposta de processo, não uma funcionalidade presumida da ferramenta. Defina quem pode encerrar cada pendência e não autorize pagamento, assinatura ou envio apenas porque o resumo parece convincente.
Uma ficha simples para começar
- Tarefa e resultado esperado.
- Arquivos autorizados e dados que foram removidos.
- Serviço, ambiente e condições de retenção conferidos.
- Pessoa responsável pela revisão e erros que bloqueiam o uso.
- Destino da saída e prazo para descarte das cópias de trabalho.
O objetivo da ficha é deixar a decisão rastreável. Se o modelo, o contrato do fornecedor ou a finalidade mudar, reavalie a autorização. Este texto é informativo e não substitui avaliação jurídica, de privacidade ou de segurança do caso.
