Em maio de 2023, a Samsung proibiu o ChatGPT em todos os dispositivos corporativos depois de identificar três vazamentos de dados proprietários em sua divisão de semicondutores. Os episódios ocorreram vinte dias após a liberação da ferramenta para engenheiros e envolveram código-fonte, algoritmos de fabricação e a transcrição de uma reunião interna. Não houve indicação de má-fé dos funcionários.
O caso mostra como informações sigilosas podem deixar o controle de uma organização quando são inseridas em sistemas de terceiros. Para advogados brasileiros, o mesmo tipo de exposição pode envolver simultaneamente o sigilo profissional, a proteção de dados pessoais e a transferência internacional de informações.
Nos planos individuais da OpenAI — Free, Go, Plus e Pro — o conteúdo das conversas pode ser usado no treinamento dos modelos. A opção para impedir esse uso fica nas configurações da conta e vem ativada por padrão. A empresa informa que dados já incorporados a rodadas concluídas de treinamento não podem ser removidos retroativamente.
O Plus custa USD 20 por mês e é um plano individual. O pagamento, portanto, não equivale à contratação de privacidade específica para os dados inseridos. Nos planos empresariais, o padrão é diferente: os dados não são usados para treinamento, salvo se a organização optar expressamente por isso.
Três frentes de risco
O Estatuto da Advocacia, no artigo 34, inciso VII, considera infração disciplinar a violação do sigilo profissional sem justa causa. A proteção alcança informações obtidas em razão do mandato, como fatos do processo, estratégia, situação patrimonial e documentos do cliente. A inserção desse material em uma plataforma de terceiros pode caracterizar violação pela própria transferência, mesmo sem um vazamento posterior.
A LGPD acrescenta outra camada. O escritório atua como controlador dos dados dos clientes, enquanto a plataforma de IA pode assumir a função de operadora. Para isso, deve existir instrumento contratual que defina instruções, finalidades e garantias de proteção. Os termos padrão de contas individuais não constituem, conforme o texto, um DPA válido nos termos do artigo 37 da LGPD.
Também há o risco da transferência internacional. Os Estados Unidos não têm reconhecimento formal de adequação pela ANPD, e o envio de dados de clientes para servidores americanos exige as salvaguardas previstas no artigo 33 da LGPD.
A ANPD intensificou a fiscalização em 2025 e 2026, com foco declarado em operações de alto risco que envolvem inteligência artificial. O PL 2.338/2023, aprovado pelo Senado em dezembro de 2024 e em tramitação na Câmara, prevê responsabilidade objetiva para operadores de sistemas de IA de alto risco e sanções de até R$ 50 milhões por infração. Ainda está em aberto se plataformas que geram peças processuais ou analisam contratos serão enquadradas nessa categoria.
Como reduzir a exposição
O uso de IA não precisa incluir dados identificáveis. Pesquisa em bases públicas, modelos genéricos sem fatos do caso e organização de prazos sem identificação das partes são exemplos de utilização com menor risco nessa dimensão. O problema surge quando o advogado envia nomes, números de processos, fatos, contratos ou documentos a uma ferramenta sem DPA válido.
Para dados identificáveis, o texto aponta como alternativas os planos empresariais com DPA explícito, como ChatGPT Team ou Enterprise, Claude for Work nas versões Team ou Enterprise, Google Workspace com Gemini Enterprise e soluções com processamento local. A anonimização também pode ser usada: nomes e números de processos são substituídos por códigos ou referências genéricas, e os fatos são despersonalizados. Essa medida reduz a exposição de dados identificáveis, mas não elimina o risco da transferência internacional.
Os anúncios contextuais do ChatGPT no Brasil a partir de maio de 2026 são apresentados como um fato que reforça a atenção sobre os planos gratuitos. A fiscalização e as regras aplicáveis ao sigilo e à LGPD já formam a base para novas consequências disciplinares e regulatórias, embora o texto afirme que ainda não há casos amplamente documentados no Brasil sobre essa combinação de riscos.
