Quais cuidados tomar ao enviar dados da ONG para a IA: checklist de LGPD, contrato e segurança

Pontos-Chave sobre os Cuidados ao Enviar Dados para a IA

• A ONG é a controladora dos dados. Quando ela envia dados a uma ferramenta de IA, a ferramenta passa a tratar esses dados em nome dela, e a responsabilidade pela decisão continua sendo da ONG (LGPD, arts. 5º e 42).
• Cinco perguntas resolvem a maior parte dos casos: para quê, com que base legal, em que ferramenta, onde os dados ficam e por quanto tempo.
• Contrato e configuração valem mais que a reputação da marca. Um nome conhecido com a conta errada oferece menos proteção que uma ferramenta menor contratada com cláusulas claras.
• Existe plano para o erro. Se o dado já foi enviado, a primeira hora importa mais que a culpa.
• Esta é a quarta parte da série. A primeira, sobre o que enviar, define o critério. Esta mostra o que conferir antes de enviar o amarelo.

O Papel da ONG: Controladora dos Dados

Pela LGPD, quem decide como e por que os dados são tratados é o controlador. Na relação com as pessoas atendidas, doadoras e voluntárias, esse papel é da ONG. O fornecedor da ferramenta de IA, quando trata esses dados seguindo as instruções da ONG, atua como operador (art. 5º, VI e VII, e art. 39).

Isso tem uma consequência prática: a ONG responde por escolher bem o fornecedor e por usar a ferramenta dentro da finalidade combinada (arts. 42 e 46). Dizer "foi a ferramenta que errou" não elimina a responsabilidade de quem decidiu enviar os dados. Quando o voluntário usa a própria conta para fazer o trabalho da ONG, a situação complica: o dado saiu, e a organização não tem contrato nem controle.

As Cinco Perguntas Antes de Enviar

1. Para quê? (finalidade e necessidade)

Os dados só devem ser tratados para uma finalidade legítima e informada, e limitados ao mínimo necessário (art. 6º, I e III). Se o objetivo é revisar o tom de um e-mail, o e-mail não precisa vir com o nome da família. Se o objetivo é estruturar um relatório, o relatório não precisa dos dados pessoais, apenas da estrutura.

2. Com que base legal?

Todo tratamento de dados pessoais precisa de uma das hipóteses do art. 7º e, para dados sensíveis, do art. 11. Enviar dados de atendidos a uma ferramenta de IA é um novo tratamento, e a base legal que justifica o atendimento não cobre automaticamente esse uso. Em caso de dados de saúde, de crianças e adolescentes ou de situação de vulnerabilidade, o caminho mais seguro é não enviar. O guia de LGPD para ONGs e o texto sobre dados sensíveis de famílias atendidas tratam desse mapa.

3. Em que ferramenta e com qual contrato?

Antes de enviar o amarelo, pergunte ao fornecedor e registre as respostas por escrito:

• Treinamento: o conteúdo enviado é usado para treinar ou melhorar modelos? É possível desligar? A resposta muda entre contas pessoais e contas de trabalho. Veja as diferenças em ChatGPT e Gemini.
• Revisão humana: pessoas da empresa ou de prestadores podem ler as conversas? Em que casos?
• Operador e subprocessadores: quem mais participa do tratamento?
• Aditivo de proteção de dados: existe um contrato ou termo específico, ou só os termos de uso aceitos por clique?
• Resposta a incidentes: em quanto tempo e como o fornecedor avisa?

4. Onde os dados ficam? (transferência internacional)

A maior parte das ferramentas de IA processa dados fora do Brasil. A LGPD permite a transferência internacional nas hipóteses do art. 33, entre elas quando o controlador oferece garantias por meio de cláusulas contratuais adequadas. A ANPD regulamentou o tema na Resolução CD/ANPD nº 19/2024, publicada em 23 de agosto de 2024, com cláusulas-padrão contratuais e outros mecanismos. Uma ONG pequena não costuma negociar isso sozinha, mas pode e deve perguntar ao fornecedor como ele se enquadra e preferir quem responde com clareza. Na dúvida, consulte o encarregado de dados ou a assessoria jurídica.

5. Por quanto tempo? (retenção e exclusão)

Pergunte quanto tempo o histórico fica guardado, quem acessa, como apagar e se apagar na tela apaga de fato. Em algumas ferramentas, apagar o histórico não remove conversas já revisadas ou mantidas por motivos de segurança. O texto sobre política de retenção de dados ajuda a definir prazos próprios.

Segurança da Conta: o Cuidado Mais Barato

Muitos incidentes com IA não vêm do modelo, e sim da conta:

• Autenticação em dois fatores em todas as contas usadas pela ONG.
• Uma pessoa, uma conta. Nada de login compartilhado, o que impede saber quem enviou o quê. O post sobre contas compartilhadas mostra por quê.
• Cuidado com extensões e aplicativos que prometem "integrar a IA" ao e-mail ou ao navegador. Eles podem ler tudo o que passa pela tela.
• Phishing que imita ferramentas de IA é comum. Digite o endereço oficial e desconfie de convites para "versões gratuitas premium". Veja phishing e ransomware em OSCs.

Cuidados com o Resultado

O cuidado com a IA não termina no envio.

• Alucinação: a IA pode inventar fatos, leis e referências. Quem publica confere.
• Viés e decisão automatizada: não use IA para decidir quem recebe atendimento, vaga ou benefício. O art. 20 da LGPD garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado. Veja IA responsável.
• Dados que voltam: se a IA devolve um texto com dados pessoais que você havia colocado, o resultado também é dado pessoal e segue as mesmas regras.
• Direitos autorais e confidencialidade: materiais de parceiros e conteúdos de terceiros podem ter restrições de uso.

E Se Eu Já Enviei? Um Plano para a Primeira Hora

Acontece. Alguém colou a ficha de uma família no chat. O que fazer, sem pânico e sem esconder:

1. Avise o responsável pela proteção de dados ou a coordenação, na hora.
2. Registre o que aconteceu: quem enviou, o que foi enviado, em qual ferramenta, conta e quando. Guarde uma cópia do que foi digitado, num local protegido, e não em nova conversa de IA.
3. Apague a conversa e desligue, se for o caso, o uso para melhoria do modelo, sabendo que apagar nem sempre elimina a cópia que o fornecedor possa ter.
4. Avalie o risco para as pessoas: quais dados, quantas pessoas, se há crianças ou dados sensíveis, se a conta é institucional ou pessoal.
5. Decida sobre a comunicação. A LGPD (art. 48) prevê que o controlador comunique à ANPD e aos titulares incidentes que possam acarretar risco ou dano relevante. A avaliação é caso a caso: use o roteiro do plano de resposta a incidentes e peça apoio jurídico.
6. Corrija a causa: foi falta de orientação, de ferramenta aprovada ou de regra clara? Ajuste a política e treine a equipe.

Tratar o erro como oportunidade de aprendizado, e não como motivo de punição, faz com que o próximo caso seja avisado mais cedo.

Checklist Resumido

• Sei qual é a finalidade e enviei só o necessário.
• O dado não é sensível, de criança ou de adolescente, ou a ONG decidiu com apoio jurídico.
• A conta é institucional, com autenticação em dois fatores.
• Conferi se o conteúdo é usado para treinar modelos e se há revisão humana.
• Tenho, por escrito, as respostas do fornecedor sobre país, subprocessadores e retenção.
• O texto gerado será revisado por uma pessoa antes de sair.
• A equipe sabe o que fazer se algo errado for enviado.

Perguntas Frequentes

Se a ferramenta é conhecida, posso confiar nela?

A reputação ajuda, mas não substitui o contrato nem a configuração. O mesmo produto pode ter garantias diferentes em contas pessoais e institucionais.

A ONG precisa de um contrato com o fornecedor de IA?

Para uso com dados pessoais, é o ideal. Em ferramentas contratadas, procure o aditivo de proteção de dados do fornecedor. Em contas gratuitas, em geral só existem os termos de uso, e por isso elas devem ficar restritas a tarefas sem dados pessoais.

Posso enviar dados de doadores?

Dados de doadores pessoas físicas são dados pessoais. Siga as mesmas cinco perguntas, envie só o necessário e use ferramenta contratada pela ONG. Sempre que possível, trabalhe com a estrutura e preencha os dados fora da ferramenta.

É obrigatório comunicar à ANPD se um dado foi enviado por engano para a IA?

Depende do risco ou dano relevante aos titulares, conforme o art. 48 da LGPD. A avaliação deve ser feita caso a caso, com registro. Em dúvida, busque apoio jurídico e use o plano de resposta a incidentes da ONG.

Anonimizar elimina a necessidade de todos esses cuidados?

Se o dado for de fato anonimizado, a LGPD não o trata como dado pessoal (art. 12). Mas é difícil garantir isso com texto livre, e o contexto pode reidentificar a pessoa. Os demais cuidados, como confidencialidade e conferência do resultado, continuam valendo.

Conclusão

Os cuidados ao enviar dados para a IA cabem em cinco perguntas e em um plano para o erro. Para quê, com que base, em qual ferramenta e contrato, onde ficam os dados e por quanto tempo. A ONG que responde a elas por escrito, usa contas institucionais e treina a equipe consegue aproveitar a IA com muito menos risco, e continua tendo o que mostrar a financiadores e a auditorias.

---

Quer um sistema em que a IA trabalha com os dados mascarados e cada uso fica registrado? Agende uma demonstração gratuita e converse com a equipe.

Saiba mais sobre o Nexus Social e a gestão integrada para organizações sociais.

---

Fontes e Referências

• Lei nº 13.709/2018 (LGPD) — Planalto — Princípios (art. 6º), bases legais (arts. 7º e 11), anonimização (art. 12), transferência internacional (art. 33), operador (art. 39), responsabilidade (art. 42), segurança (art. 46) e comunicação de incidente (art. 48)
• Lefosse — ANPD publica regulamento de transferência internacional de dados e cláusulas-padrão contratuais — Resolução CD/ANPD nº 19/2024, publicada em 23 de agosto de 2024