# Quais cuidados tomar ao enviar dados da ONG para a IA: checklist de LGPD, contrato e segurança > Antes de enviar qualquer dado da ONG para uma ferramenta de IA, a organização precisa responder a perguntas sobre finalidade, base legal, contrato, país de processamento e retenção. Veja o checklist e o que fazer se algo já foi enviado. - URL: https://blog.nexussocial.com.br/posts/cuidados-ao-enviar-dados-da-ong-para-ia - Publicado em: 2026-11-07 - Autor: Equipe Nexus (Blog Nexus Social) - Palavras-chave: cuidados com IA em ONGs, LGPD e IA, enviar dados para IA, transferência internacional de dados, controlador e operador, segurança de dados ONG, incidente de dados IA, OSCs, Nexus Social ## Pontos-Chave sobre os Cuidados ao Enviar Dados para a IA - **A ONG é a controladora dos dados.** Quando ela envia dados a uma ferramenta de IA, a ferramenta passa a tratar esses dados em nome dela, e a responsabilidade pela decisão continua sendo da ONG (LGPD, arts. 5º e 42). - **Cinco perguntas resolvem a maior parte dos casos:** para quê, com que base legal, em que ferramenta, onde os dados ficam e por quanto tempo. - **Contrato e configuração valem mais que a reputação da marca.** Um nome conhecido com a conta errada oferece menos proteção que uma ferramenta menor contratada com cláusulas claras. - **Existe plano para o erro.** Se o dado já foi enviado, a primeira hora importa mais que a culpa. - **Esta é a quarta parte da série.** A primeira, sobre [o que enviar](/posts/o-que-enviar-da-ong-para-ia-verde-amarelo-vermelho), define o critério. Esta mostra o que conferir antes de enviar o amarelo. ## O Papel da ONG: Controladora dos Dados Pela LGPD, quem decide como e por que os dados são tratados é o **controlador**. Na relação com as pessoas atendidas, doadoras e voluntárias, esse papel é da ONG. O fornecedor da ferramenta de IA, quando trata esses dados seguindo as instruções da ONG, atua como **operador** (art. 5º, VI e VII, e art. 39). Isso tem uma consequência prática: **a ONG responde por escolher bem o fornecedor e por usar a ferramenta dentro da finalidade combinada** (arts. 42 e 46). Dizer "foi a ferramenta que errou" não elimina a responsabilidade de quem decidiu enviar os dados. Quando o voluntário usa a própria conta para fazer o trabalho da ONG, a situação complica: o dado saiu, e a organização não tem contrato nem controle. ## As Cinco Perguntas Antes de Enviar ### 1. Para quê? (finalidade e necessidade) Os dados só devem ser tratados para uma finalidade legítima e informada, e limitados ao mínimo necessário (art. 6º, I e III). Se o objetivo é revisar o tom de um e-mail, o e-mail não precisa vir com o nome da família. Se o objetivo é estruturar um relatório, o relatório não precisa dos dados pessoais, apenas da estrutura. ### 2. Com que base legal? Todo tratamento de dados pessoais precisa de uma das hipóteses do art. 7º e, para dados sensíveis, do art. 11. Enviar dados de atendidos a uma ferramenta de IA é um **novo tratamento**, e a base legal que justifica o atendimento não cobre automaticamente esse uso. Em caso de dados de saúde, de crianças e adolescentes ou de situação de vulnerabilidade, o caminho mais seguro é não enviar. O [guia de LGPD para ONGs](/posts/lgpd-ongs-oscs-guia-conformidade) e o texto sobre [dados sensíveis de famílias atendidas](/posts/lgpd-dados-sensiveis-familias-atendidas-oscs) tratam desse mapa. ### 3. Em que ferramenta e com qual contrato? Antes de enviar o amarelo, pergunte ao fornecedor e registre as respostas por escrito: - **Treinamento:** o conteúdo enviado é usado para treinar ou melhorar modelos? É possível desligar? A resposta muda entre contas pessoais e contas de trabalho. Veja as diferenças em [ChatGPT](/posts/como-usar-chatgpt-na-ong) e [Gemini](/posts/como-usar-gemini-na-ong). - **Revisão humana:** pessoas da empresa ou de prestadores podem ler as conversas? Em que casos? - **Operador e subprocessadores:** quem mais participa do tratamento? - **Aditivo de proteção de dados:** existe um contrato ou termo específico, ou só os termos de uso aceitos por clique? - **Resposta a incidentes:** em quanto tempo e como o fornecedor avisa? ### 4. Onde os dados ficam? (transferência internacional) A maior parte das ferramentas de IA processa dados fora do Brasil. A LGPD permite a transferência internacional nas hipóteses do art. 33, entre elas quando o controlador oferece garantias por meio de **cláusulas contratuais** adequadas. A ANPD regulamentou o tema na [Resolução CD/ANPD nº 19/2024](https://lefosse.com/noticias/alerta/anpd-publica-regulamento-de-transferencia-internacional-de-dados-e-clausulas-padrao-contratuais-de-protecao-de-dados/), publicada em 23 de agosto de 2024, com cláusulas-padrão contratuais e outros mecanismos. Uma ONG pequena não costuma negociar isso sozinha, mas pode e deve **perguntar ao fornecedor como ele se enquadra** e preferir quem responde com clareza. Na dúvida, consulte o encarregado de dados ou a assessoria jurídica. ### 5. Por quanto tempo? (retenção e exclusão) Pergunte quanto tempo o histórico fica guardado, quem acessa, como apagar e se apagar na tela apaga de fato. Em algumas ferramentas, apagar o histórico não remove conversas já revisadas ou mantidas por motivos de segurança. O texto sobre [política de retenção de dados](/posts/politica-retencao-dados-lgpd-oscs-praticos) ajuda a definir prazos próprios. ## Segurança da Conta: o Cuidado Mais Barato Muitos incidentes com IA não vêm do modelo, e sim da conta: - **Autenticação em dois fatores** em todas as contas usadas pela ONG. - **Uma pessoa, uma conta.** Nada de login compartilhado, o que impede saber quem enviou o quê. O post sobre [contas compartilhadas](/posts/contas-compartilhadas-ongs-riscos-seguranca) mostra por quê. - **Cuidado com extensões e aplicativos** que prometem "integrar a IA" ao e-mail ou ao navegador. Eles podem ler tudo o que passa pela tela. - **Phishing que imita ferramentas de IA** é comum. Digite o endereço oficial e desconfie de convites para "versões gratuitas premium". Veja [phishing e ransomware em OSCs](/posts/cybersecurity-oscs-phishing-ransomware-lgpd). ## Cuidados com o Resultado O cuidado com a IA não termina no envio. - **Alucinação:** a IA pode inventar fatos, leis e referências. Quem publica confere. - **Viés e decisão automatizada:** não use IA para decidir quem recebe atendimento, vaga ou benefício. O art. 20 da LGPD garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado. Veja [IA responsável](/posts/ia-responsavel-oscs-vies-privacidade). - **Dados que voltam:** se a IA devolve um texto com dados pessoais que você havia colocado, o resultado também é dado pessoal e segue as mesmas regras. - **Direitos autorais e confidencialidade:** materiais de parceiros e conteúdos de terceiros podem ter restrições de uso. ## E Se Eu Já Enviei? Um Plano para a Primeira Hora Acontece. Alguém colou a ficha de uma família no chat. O que fazer, sem pânico e sem esconder: 1. **Avise o responsável** pela proteção de dados ou a coordenação, na hora. 2. **Registre o que aconteceu:** quem enviou, o que foi enviado, em qual ferramenta, conta e quando. Guarde uma cópia do que foi digitado, num local protegido, e não em nova conversa de IA. 3. **Apague a conversa** e desligue, se for o caso, o uso para melhoria do modelo, sabendo que apagar nem sempre elimina a cópia que o fornecedor possa ter. 4. **Avalie o risco para as pessoas:** quais dados, quantas pessoas, se há crianças ou dados sensíveis, se a conta é institucional ou pessoal. 5. **Decida sobre a comunicação.** A LGPD (art. 48) prevê que o controlador comunique à ANPD e aos titulares incidentes que possam acarretar risco ou dano relevante. A avaliação é caso a caso: use o roteiro do [plano de resposta a incidentes](/posts/incidente-seguranca-dados-ong-plano-de-resposta) e peça apoio jurídico. 6. **Corrija a causa:** foi falta de orientação, de ferramenta aprovada ou de regra clara? Ajuste a política e treine a equipe. Tratar o erro como oportunidade de aprendizado, e não como motivo de punição, faz com que o próximo caso seja avisado mais cedo. ## Checklist Resumido - [ ] Sei qual é a finalidade e enviei só o necessário. - [ ] O dado não é sensível, de criança ou de adolescente, ou a ONG decidiu com apoio jurídico. - [ ] A conta é institucional, com autenticação em dois fatores. - [ ] Conferi se o conteúdo é usado para treinar modelos e se há revisão humana. - [ ] Tenho, por escrito, as respostas do fornecedor sobre país, subprocessadores e retenção. - [ ] O texto gerado será revisado por uma pessoa antes de sair. - [ ] A equipe sabe o que fazer se algo errado for enviado. ## Perguntas Frequentes ### Se a ferramenta é conhecida, posso confiar nela? A reputação ajuda, mas não substitui o contrato nem a configuração. O mesmo produto pode ter garantias diferentes em contas pessoais e institucionais. ### A ONG precisa de um contrato com o fornecedor de IA? Para uso com dados pessoais, é o ideal. Em ferramentas contratadas, procure o aditivo de proteção de dados do fornecedor. Em contas gratuitas, em geral só existem os termos de uso, e por isso elas devem ficar restritas a tarefas sem dados pessoais. ### Posso enviar dados de doadores? Dados de doadores pessoas físicas são dados pessoais. Siga as mesmas cinco perguntas, envie só o necessário e use ferramenta contratada pela ONG. Sempre que possível, trabalhe com a estrutura e preencha os dados fora da ferramenta. ### É obrigatório comunicar à ANPD se um dado foi enviado por engano para a IA? Depende do risco ou dano relevante aos titulares, conforme o art. 48 da LGPD. A avaliação deve ser feita caso a caso, com registro. Em dúvida, busque apoio jurídico e use o plano de resposta a incidentes da ONG. ### Anonimizar elimina a necessidade de todos esses cuidados? Se o dado for de fato anonimizado, a LGPD não o trata como dado pessoal (art. 12). Mas é difícil garantir isso com texto livre, e o contexto pode reidentificar a pessoa. Os demais cuidados, como confidencialidade e conferência do resultado, continuam valendo. ## Conclusão Os cuidados ao enviar dados para a IA cabem em cinco perguntas e em um plano para o erro. Para quê, com que base, em qual ferramenta e contrato, onde ficam os dados e por quanto tempo. A ONG que responde a elas por escrito, usa contas institucionais e treina a equipe consegue aproveitar a IA com muito menos risco, e continua tendo o que mostrar a financiadores e a auditorias. --- **Quer um sistema em que a IA trabalha com os dados mascarados e cada uso fica registrado?** [Agende uma demonstração gratuita](https://wa.me/5511936180125?text=Olá!%20Gostaria%20de%20saber%20como%20o%20Nexus%20Social%20protege%20os%20dados%20ao%20usar%20IA.) e converse com a equipe. Saiba mais sobre o [Nexus Social](https://nexussocial.com.br) e a gestão integrada para organizações sociais. --- ## Fontes e Referências - [Lei nº 13.709/2018 (LGPD) — Planalto](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — Princípios (art. 6º), bases legais (arts. 7º e 11), anonimização (art. 12), transferência internacional (art. 33), operador (art. 39), responsabilidade (art. 42), segurança (art. 46) e comunicação de incidente (art. 48) - [Lefosse — ANPD publica regulamento de transferência internacional de dados e cláusulas-padrão contratuais](https://lefosse.com/noticias/alerta/anpd-publica-regulamento-de-transferencia-internacional-de-dados-e-clausulas-padrao-contratuais-de-protecao-de-dados/) — Resolução CD/ANPD nº 19/2024, publicada em 23 de agosto de 2024