Segurança e privacidade no uso de IA

Um roteiro prático para revisar dados, ferramentas, acessos e respostas antes de usar IA no trabalho. Aplique os itens ao seu contexto e envolva as áreas responsáveis quando houver dados pessoais, informação confidencial ou impacto sobre pessoas.

Todos os checklists

Versão 1.0 · Revisado em setembro de 2026 · Checklist orientativo. Não substitui avaliação jurídica, de privacidade ou de segurança para casos específicos.

Documento bordado protegido por uma moldura de tecido, representando segurança e privacidade.

Dados e finalidade

Mapeie os tipos de informação que entram no processo, incluindo dados de clientes, equipe, fornecedores e conteúdo interno.CríticoSem esse mapa, informações sensíveis podem chegar à ferramenta sem que a equipe perceba. Identifique dados pessoais e dados pessoais sensíveis antes de usar qualquer ferramenta de IA.CríticoA classificação orienta quais controles e aprovações precisam ser verificados. Dados pessoais sensíveis incluem, por exemplo, informações de saúde, biometria, origem racial ou étnica e convicção religiosa. Defina a finalidade e peça validação de privacidade ou jurídico quando o caso envolver dados pessoais ou decisões sobre pessoas.CríticoA finalidade, a base legal e as responsabilidades podem depender do contexto. A revisão evita tratar uma resposta genérica como autorização suficiente. Reduza os dados ao mínimo necessário; prefira exemplos fictícios, anonimizados ou trechos redigidos.RecomendadoMenos informação identificável no prompt ou arquivo reduz a exposição caso o acesso ou tratamento não seja o esperado.

Ferramenta e fornecedor

Use somente ferramentas, contas e planos aprovados para a finalidade e o tipo de dado.CríticoUma conta pessoal ou configuração diferente pode não oferecer os controles definidos pela empresa. Confira como o fornecedor trata prompts, arquivos, respostas, registros, retenção, exclusão e eventual uso para aprimorar modelos.CríticoSem conhecer essas condições, a empresa não sabe por quanto tempo os dados ficam disponíveis nem quem pode acessá-los. Peça à área responsável que revise contratos, subprocessadores, local de processamento e transferências de dados, quando aplicável.CríticoCondições contratuais e fluxos de dados podem alterar os riscos e as obrigações do caso. Mantenha uma lista atualizada de ferramentas permitidas, usos aceitos, responsável interno e data de revisão.RecomendadoUma referência comum evita decisões improvisadas e facilita retirar uma ferramenta que deixou de atender aos critérios.

Acesso e integrações

Use contas individuais e autenticação forte; nunca compartilhe credenciais entre a equipe.CríticoContas compartilhadas dificultam atribuir ações e remover acesso de uma pessoa sem afetar as demais. Limite o acesso a conversas, arquivos, espaços de trabalho e resultados conforme a necessidade de cada função.CríticoAcesso amplo aumenta a chance de exposição acidental ou uso fora da finalidade. Revise permissões de conectores, plugins, extensões e integrações antes de habilitá-los.RecomendadoUma integração pode abrir fontes de dados e ações além do que a pessoa imagina ao ativá-la.

Arquivos e informações enviadas

Não envie senhas, chaves de API, códigos de autenticação, tokens ou credenciais para ferramentas de IA.CríticoCredenciais expostas podem permitir acesso a sistemas e contas, mesmo que o arquivo seja removido depois. Remova ou substitua identificadores que não sejam necessários, como nome, CPF, e-mail, telefone e endereço.CríticoIdentificadores podem revelar quem está por trás de um caso, mesmo quando a tarefa parece rotineira. Confirme que você tem autorização para enviar documentos e que o contrato e as regras internas permitem esse uso.CríticoTer acesso a um documento não significa automaticamente que ele possa ser compartilhado com qualquer serviço. Antes de carregar um arquivo, confira a conta de destino, o compartilhamento, as configurações de dados e se anexos ou metadados desnecessários foram removidos.RecomendadoConferir o arquivo e o ambiente reduz envios equivocados e exposição de conteúdo oculto ou irrelevante.

Revisão e uso das respostas

Exija revisão humana antes de usar respostas em decisões relevantes, comunicações externas ou operações automatizadas.CríticoA revisão identifica erros e avalia consequências que a ferramenta não conhece sobre o contexto da empresa ou das pessoas. Confira informações, cálculos, nomes, referências e links diretamente em fontes confiáveis.CríticoRespostas podem parecer seguras mesmo quando contêm erros, citações inexistentes ou dados desatualizados. Registre quem aprovou resultados de alto impacto e não publique ou tome decisões com base apenas na resposta da IA.RecomendadoA revisão documentada deixa claro quem assumiu a decisão e permite entender como um resultado foi usado.

Direitos e confidencialidade

Não use informações confidenciais da empresa ou de terceiros em uma conta ou ferramenta não aprovada.CríticoUma vez compartilhada, a informação pode ficar sujeita às configurações, termos e acessos daquele serviço. Verifique direitos e autorizações para textos, imagens, vozes, marcas e outros materiais enviados ou gerados para uso externo.CríticoO uso de IA não elimina direitos autorais, contratos, autorizações de imagem ou regras de marca. Revise resultados para detectar exposição de dados, discriminação, estereótipos ou conteúdo que possa prejudicar pessoas.RecomendadoUma resposta sem erro factual aparente ainda pode reproduzir vieses ou expor alguém de forma indevida.

Incidentes e revisão contínua

Defina um canal para relatar suspeitas de exposição de dados, acesso indevido ou uso inadequado de IA.CríticoUm canal claro reduz o tempo entre a descoberta e a resposta das equipes responsáveis. Saiba como interromper integrações, revogar acessos e preservar informações para a equipe de segurança investigar.CríticoA contenção rápida pode limitar efeitos; a investigação precisa de registros preservados e encaminhamento correto. Programe revisões de ferramentas, permissões e regras, especialmente após mudanças de fornecedor, produto ou processo.RecomendadoControles que funcionavam antes podem deixar lacunas depois de uma mudança.

Seu próximo passo

Marque os itens conforme revisar cada medida. O progresso fica salvo neste navegador.

Rever o checklist de início Acessar o Diagnóstico de Maturidade