- Classificação vem antes do prompt: define o que pode (ou não) ir para a IA
- LGPD não proíbe IA; ela exige base legal, necessidade e segurança proporcionais ao risco
- Dados pessoais sensíveis e segredos de negócio quase sempre pedem ambiente controlado e minimização
- O maior erro é “colar e mandar”: copiar e-mails, contratos, planilhas e tickets com dados identificáveis
- Crie um padrão simples que caiba na rotina: 4 níveis + exemplos + regra de ferramenta
1) Liste os tipos de informação que sua equipe realmente usa com IA
Pegue 10 tarefas comuns (resumir reunião, responder cliente, revisar contrato, criar proposta) e anote quais insumos entram no chat: e-mails, planilhas, CRM, gravações, PDFs, prints. Sem esse inventário mínimo, a classificação vira teoria.
2) Adote 4 níveis de classificação (simples o suficiente para pegar)
Use uma régua curta: Público, Interno, Confidencial, Sensível/Alto risco. O objetivo é orientar decisão rápida: posso colar no chat? Preciso anonimizar? Só em ferramenta corporativa? Precisa de aprovação?
3) Defina a regra do “mínimo necessário” por nível
Para cada nível, descreva: (a) pode ir para IA externa? (b) pode ir com identificadores? (c) precisa mascarar/anonimizar? (d) quem aprova exceções? Isso evita discussões caso a caso toda semana.
4) Crie exemplos prontos (bons e ruins) que pareçam com a sua operação
As pessoas acertam mais por semelhança do que por definição. Transforme casos reais em exemplos: um ticket com CPF, um contrato com cláusulas estratégicas, uma planilha com salários, um briefing de campanha.
5) Ajuste ferramentas e acessos de acordo com o risco
Não é só “treinar a equipe”. Você precisa de controles: contas corporativas, restrição de extensão/plug-in, segregação de pastas, permissões por função, e um canal claro para pedir exceção quando necessário.
6) Registre o que importa (sem burocracia)
Mantenha um registro leve: quais ferramentas são permitidas, para quais níveis de dado, e quais logs são retidos. Em incidentes, isso vira prova de diligência — e ajuda a corrigir rápido.
Uma tabela de classificação que funciona na prática (e não trava o time)
Se a sua política exige 12 categorias, ninguém usa. Abaixo vai um modelo enxuto que eu vejo funcionar melhor em PMEs: quatro níveis, exemplos e a decisão operacional.
Observação: não existe “classificação LGPD oficial” única. O ponto é alinhar risco, controles e comportamento. Ajuste os exemplos ao seu setor (saúde, jurídico, financeiro, RH).
| Nível | O que é | Exemplos comuns | Regra prática para usar com IA |
|---|---|---|---|
| Público | Informação já publicada ou destinada ao público, sem restrição | Post do site, catálogo público, FAQ, comunicados já divulgados | Pode usar em IA externa; ainda assim, revise saídas (marca/erros/fatos) |
| Interno | Informação operacional que não deve ser publicada, mas não expõe pessoas nem segredos críticos | Processos internos genéricos, padrões de e-mail sem dados reais, descrições de tarefas | Pode usar com cuidado; prefira remover nomes e referências específicas |
| Confidencial | Informação que prejudica a empresa/cliente se vazar, ou contém dados pessoais identificáveis não sensíveis | Contratos com dados das partes, propostas com preços, planilhas com e-mails/telefones, tickets com nome e pedido | Evite IA externa com dados brutos; use anonimização/mascara; limite acesso; registre uso |
| Sensível / Alto risco | Dados pessoais sensíveis (LGPD) e/ou conteúdo crítico de negócio | Dados de saúde, biometria, religião, orientação sexual, dados de menores; salários; credenciais; estratégia, M&A, segredos industriais | Não enviar para IA externa; só em ambiente controlado e com governança forte; exigir aprovação e revisão humana |
Como decidir rápido: 6 perguntas que evitam 80% dos erros
Na dúvida, faça o teste do risco antes de colar qualquer coisa na IA. Estas perguntas são simples, mas pegam os casos que mais dão dor de cabeça.
- Isso identifica uma pessoa (direta ou indiretamente)? (nome, e-mail, telefone, CPF, ID de cliente, voz, foto)
- Se vazar, eu consigo “explicar” com tranquilidade para o cliente e para a liderança?
- Eu realmente preciso do dado inteiro ou só de um trecho/estrutura?
- Posso trocar identificadores por placeholders (Cliente A, Produto X) e ainda obter uma boa resposta?
- O conteúdo tem segredo comercial (preço, margem, estratégia, negociação, fornecedor)?
- Quem assume a responsabilidade pela decisão e pela revisão do resultado?
Modelos prontos de máscara/anonimização (copiar e adaptar)
Para muita tarefa, você não precisa do dado real — precisa do formato e do contexto. Máscara e anonimização não são mágicas, mas reduzem risco e já melhoram disciplina do time.
- Substitua nomes por papéis: “CLIENTE_NOME”, “ATENDENTE”, “GESTOR_FINANCEIRO”
- Troque IDs por tokens aleatórios: “CLIENTE_7F3A” (mantém consistência sem expor identidade)
- Generalize localização: “capital do Sudeste” em vez de endereço completo
- Remova anexos e cole só o trecho necessário (cláusula X, parágrafo Y)
- Para planilhas, mande amostra sintética: mesma estrutura, valores fictícios e range realista
O ponto cego: saída da IA também pode virar dado sensível
Mesmo que você só envie dados “internos”, a resposta pode misturar inferências, sugestões e trechos que alguém cola em e-mail, proposta ou documento. É aí que aparece o risco reputacional e jurídico.
Trate a saída como rascunho: revise, valide, e evite colar sem checagem em comunicações externas — especialmente quando envolver pessoas, preços, justificativas e decisões.
Perguntas frequentes
Posso colocar contratos na IA para pedir resumo?
Dados “sem CPF” ainda podem ser dados pessoais?
Se eu anonimizar, estou 100% seguro na LGPD?
Qual o erro mais comum de equipes iniciantes ao classificar dados para IA?
Leia também
Como anonimizar dados para usar IA no negócio (sem tropeçar na LGPD)
Passo a passo para anonimizar e pseudonimizar dados antes de enviar para IA: o que remover, como mascarar, checklist de risco e exemplos práticos para usar no dia a dia com mais segurança.
Ler →
Como auditar prompts e logs de IA (sem paranoia): reduza vazamento de dados e risco na LGPD
Guia prático para auditar prompts, históricos e logs de ferramentas de IA: o que revisar, como anonimizar, quem aprova, o que guardar e por quanto tempo — com checklist e FAQ.
Ler →
Como criar uma política de uso de IA na empresa (modelo simples, prático e sem juridiquês)
Guia direto para criar uma política de uso de IA: regras de dados, prompts, revisão humana, direitos autorais e fornecedores. Inclui modelo pronto e checklist para pequenas e médias empresas.
Ler →
Governança de IA para PMEs: checklist prático (sem travar o time)
Um guia direto para criar governança de IA em pequenas e médias empresas: regras mínimas, papéis, dados, aprovação, riscos e um checklist que dá para aplicar em 1 semana.
Ler →