Depende de qual porta você usou — e essa é a parte que quase ninguém explica. O mesmo modelo tem dois regimes de dados: pela API de empresa, seu conteúdo não é usado para treinar; pelo aplicativo de consumidor, pode ser, e ficar retido por anos. Perante a LGPD, a responsabilidade é sua nos dois casos.
Por que a mesma IA tem duas respostas diferentes?
Porque não existe “a IA” como uma coisa só. Existe o modelo, e existem as portas por onde você chega até ele.
A porta de consumidor é o aplicativo ou o site onde você conversa com o assistente. A porta comercial é a API, que é como um sistema fala com o modelo sem passar por tela nenhuma.
Mesma inteligência, contratos diferentes. Quem escreve o material de venda costuma dizer “usamos IA” e parar por aí — e é exatamente aí que a dúvida do dono do negócio nasce.
O que muda entre a API e o aplicativo de consumidor?
Lendo a documentação de dois fornecedores grandes, o padrão se repete nos dois:
| Porta comercial (API) | Porta de consumidor (app) | |
|---|---|---|
| Treina o modelo com o que você escreve? | Não, por padrão | Pode treinar, conforme a configuração da conta |
| Retenção | Curta, na casa de dias | Bem mais longa quando o uso para melhoria está ligado |
| Quem contrata | A empresa, com termos comerciais | A pessoa, aceitando termos de consumidor |
| Onde isso está escrito | Documentação técnica e contrato | Central de privacidade e configurações |
A Anthropic afirma que, por padrão, não usa entradas e saídas dos produtos comerciais para treinar modelos. Nos planos de consumidor, o material dela descreve outro cenário: com a melhoria de modelo ativada, o dado pode ficar até 5 anos nos pipelines de treinamento.
A OpenAI descreve a mesma lógica do lado da API: dado enviado não é usado para treinar, a menos que você escolha compartilhar — e documenta que os registros de monitoramento de abuso ficam retidos por até 30 dias.
A LGPD culpa quem: eu ou o fornecedor?
Você. E essa é a parte que nenhum material comercial coloca em destaque.
A LGPD separa dois papéis. Controlador é quem toma as decisões sobre o tratamento. Operador é quem trata os dados em nome do controlador. O guia da própria autoridade é explícito nessa divisão.
Quando você decide colar a lista de contatos numa ferramenta de IA, quem tomou a decisão foi você. O fornecedor executa. Contratar bem reduz o risco de execução, mas não transfere a decisão — e é a decisão que a lei olha.
O que a autoridade sinalizou para o período atual?
A ANPD publicou, ao fim de 2025, o mapa de temas prioritários de fiscalização para o biênio 2026–2027. São quatro eixos, e um deles é inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais.
Ou seja: IA deixou de ser assunto de futuro regulatório e entrou na lista do que o órgão declarou que vai olhar. Os outros três eixos são direitos dos titulares, proteção de crianças e adolescentes no ambiente digital, e tratamento de dados pelo poder público.
Isso não significa multa automática para quem usa IA. Significa que a pergunta “por que esse dado foi parar aí” ficou mais provável de ser feita.
Por que os números que circulam sobre essa fiscalização não batem?
Aqui está o achado que motivou esta matéria. Vários textos em português sobre o tema afirmam um número específico de ações de fiscalização previstas para IA no biênio.
Fomos ler o comunicado oficial. Esse número não está lá. O documento lista os quatro eixos e explica como foram definidos, mas não publica quantidade prevista de ações por tema.
Não é conspiração — é o efeito conhecido de um texto citar outro texto que citou um terceiro, até o número perder a origem. Vale como lembrete prático: quando a fonte é regulação, a versão que importa é a do órgão, não a do blog que resume o órgão.
Como eu checo isso sem ser advogado nem técnico?
Três perguntas, nenhuma delas técnica, todas respondíveis por e-mail:
- Por qual porta meu dado passa? Se o fornecedor não souber dizer se usa API comercial ou conta de consumidor, isso já é a resposta
- Meu conteúdo pode ser usado para treinar modelo? A resposta tem que vir por escrito, apontando para a documentação, não para a boa vontade
- Por quanto tempo o histórico fica guardado, e como eu apago? Se não existe caminho de exclusão, não existe atendimento a pedido de titular
Some a isso um hábito barato: só mande para a ferramenta o dado que o trabalho exige. Nome e pedido resolvem um orçamento; documento e histórico completo raramente resolvem.
E se eu construir o meu próprio agente, muda alguma coisa?
Muda o que você controla, e muda o que passa a ser trabalho seu.
Numa plataforma fechada, o regime de dados é o que o fornecedor definiu. Construindo por conta — com ferramentas de automação como n8n ou Make, ou com um assistente de programação como o Claude Code escrevendo a integração direto contra a API — você escolhe a porta comercial de propósito, decide o que é gravado e onde fica o histórico.
O preço é que a manutenção também vira sua. Não existe caminho sem contrapartida: ou você aceita a política de alguém, ou assume a sua.
O que muda depois de saber disso
Você para de perguntar “IA é segura?” e passa a perguntar “por qual porta esse dado passa, e quem decidiu mandar?”. A primeira pergunta não tem resposta. A segunda tem, está escrita na documentação do fornecedor, e cabe num e-mail.
Resumo
Segurança de dado em IA não se decide pelo nome do modelo, e sim pela porta de acesso: API comercial e aplicativo de consumidor têm regimes de treinamento e retenção diferentes, mesmo sendo o mesmo fornecedor.
Perante a LGPD você é o controlador nos dois casos, e a autoridade brasileira colocou IA entre os quatro eixos prioritários de fiscalização do biênio. A pergunta sobre a porta sai mais barata agora do que depois.
Veja também: o que dá errado quando um agente de IA atende no WhatsApp e quanto custa o agente de IA do WhatsApp Business por mês.
Fontes primárias consultadas: os quatro eixos prioritários de fiscalização, conforme o comunicado da ANPD sobre o mapa de temas prioritários 2026–2027; as definições de controlador e operador conforme o guia orientativo de agentes de tratamento da ANPD; a política de produtos comerciais na central de privacidade da Anthropic e a de produtos de consumidor, com o prazo de retenção detalhado à parte; a política de dados da API na documentação da OpenAI. A comparação entre as portas, a conferência do número divulgado contra o documento oficial e as três perguntas de checagem são da Apare as Pontas.
Deixe um comentário