Como auditar quais dados um assistente de IA envia para fora da empresa

Auditar o que sai da empresa começa por um mapa de fluxo de dados por conector, não por uma leitura solta da política de privacidade. Para cada assistente em uso (ChatGPT, Claude, Gemini, Meta AI e qualquer servidor MCP interno), registre cinco coisas: qual campo sai, para qual fornecedor, com qual finalidade, por quanto tempo fica e quem revisa. Sem esse mapa, a resposta para “podemos usar essa ferramenta neste processo?” vira opinião.

O mapa é um documento vivo, com dono e data de revisão. Não substitui contrato, avaliação de impacto ou parecer jurídico, mas organiza a evidência que essas peças exigem. A LGPD pede registro das operações, medidas de segurança, justificativa para transferência internacional e eliminação ao fim do tratamento.

Resumo rápido

• Diferencie dado de entrada, dado derivado e metadado. Os três podem conter dado pessoal.
• Monte uma linha por conector e por finalidade, não uma linha por fornecedor.
• Retenção só entra no mapa com fonte: política do fornecedor, painel de administração ou contrato.
• A base legal é decisão do controlador. O fornecedor não escolhe isso por você.
• Escopo OAuth amplo, conta pessoal e ausência de contrato são os três alertas mais comuns.
• Revise a cada trimestre e depois de qualquer mudança de plano, de conector ou de processo.

Entrada, derivado e metadado: o que cada conector leva

Dado de entrada é o que a pessoa ou o sistema envia: texto do prompt, arquivo, imagem, áudio, planilha, registro puxado por uma ferramenta e contexto injetado por integração. Em um conector de CRM, pode ser nome, CPF, histórico e texto da mensagem. Em um conector de documentos, pode ser o arquivo inteiro.

Dado derivado é o que o fornecedor produz a partir da entrada. A resposta gerada, o resumo, a classificação, o embedding, o índice de busca e o arquivo de saída entram aqui. A distinção importa porque derivado também pode ser dado pessoal. Um resumo que descreve a situação de saúde de uma pessoa continua sendo dado sensível, mesmo que não repita o texto original.

Metadado descreve a interação sem ser o conteúdo: remetente, destinatário, data, IP, identificador de conta, tipo e tamanho do arquivo, resultado da chamada. Parece inofensivo e costuma revelar rotina, volume de atendimento e relação entre pessoas.

Os três níveis têm destinos diferentes. A entrada vai para o modelo e para os sistemas que o alimentam. O derivado fica no histórico, no índice ou no armazenamento do fornecedor. O metadado alimenta telemetria, faturamento, segurança e melhoria. Um mapa que só registra “texto do prompt” perde a maior parte do risco.

Separe também dado da empresa e dado pessoal. Um relatório agregado pode não identificar ninguém; a mesma planilha com nome, CPF e endereço identifica. Classificar evita travar tudo ou vazar dado pessoal por considerá-lo agregado.

A tabela do mapa de fluxo

A tabela é o núcleo do documento. Cada linha representa um conector em uma finalidade. O mesmo fornecedor aparece várias vezes, porque suporte e análise financeira têm riscos diferentes.

A coluna de retenção exige disciplina. A página de retenção da Anthropic informa que o conteúdo de conversa não é retido por padrão na API, com exceção de modelos que exigem 30 dias, e que há regime de retenção zero para recursos elegíveis. A mesma página descreve prazos próprios para feed de atividades e transcrições. O prazo depende do recurso usado, não apenas da marca.

No Gemini Apps, o Google informa autoexclusão padrão de 18 meses, com opções de 3, 36 ou indefinido, e retenção de até três anos para chats revisados por pessoas. A mesma página alerta que o Google não monitora nem protege dados de Connected Apps de terceiros personalizados. Prazos e aviso entram no mapa com a fonte ao lado.

Quando a fonte não confirma o prazo, escreva “verificar no contrato” em vez de estimar. Número inventado contamina a auditoria: alguém cita em uma decisão e ninguém sabe a origem. Ausência de número é honesta; ausência de dono, não.

A coluna de base legal registra a base que o controlador declarou, não a que o fornecedor usa para o próprio tratamento. A LGPD lista as hipóteses no artigo 7 e exige finalidade específica e informada. Legítimo interesse pede avaliação registrada; consentimento pede registro de coleta e revogação.

Como levantar isso na prática

O levantamento combina três fontes que raramente conversam: as áreas, a configuração técnica e os logs. Cada uma revela uma parte do fluxo, e a divergência entre elas é o achado mais útil.

1. Entreviste as áreas por processo. Pergunte o que é colado, de onde vem o arquivo, quem revisa a resposta e o destino do resultado. Peça exemplos com dados mascarados.
2. Revise os escopos OAuth. Liste aplicativo, escopo e o que ele permite ler ou gravar. Leitura ampla em drive ou caixa de e-mail alcança muito mais que o caso de uso declarado.
3. Inspecione os conectores. Registre quais estão ativos, quem habilitou e para qual conta apontam. Conector em conta pessoal é achado recorrente.
4. Leia os logs. Procure chamadas de ferramenta, uploads, erros de política e picos fora de horário. Em MCP, nome e servidor mostram qual base foi consultada.
5. Cruze contrato e painel. Confirme plano, região, subprocessadores, retenção e cláusulas de transferência. Painel e contrato precisam coincidir.
6. Classifique o dado. Use a classificação da empresa. Se não existe, comece por público, interno, confidencial e sensível, com rótulos no drive.

O resultado é uma lista de fluxos, não de ferramentas. “Claude no atendimento” e “Claude na análise de contrato” têm dados distintos, mesmo fornecedor. A separação permite desligar um uso sem derrubar o outro.

Em transferência internacional, mostre para onde o dado vai e qual mecanismo cobre o envio. O artigo 33 da LGPD admite país com proteção adequada, cláusulas contratuais específicas, cláusulas-padrão e normas corporativas globais. Sem isso, o mapa não serve à decisão jurídica.

Sinais de alerta e o que fazer com dado sensível

Alguns achados pedem ação imediata. Os sinais abaixo justificam revisão antes de qualquer nova liberação.

• Escopo amplo demais. Leitura em todo o drive, toda a caixa de e-mail ou toda a base, quando o caso exige uma pasta ou um conjunto.
• Conta pessoal no fluxo corporativo. Tira o dado do controle administrativo e mistura histórico pessoal com informação confidencial.
• Ausência de contrato ou anexo de tratamento. Sem instrumento que defina finalidade, segurança e retenção, não há como demonstrar conformidade.
• Retenção indefinida sem justificativa. Configuração que guarda tudo para sempre, sem necessidade operacional declarada.
• Dado sensível no prompt. Saúde, biometria, origem racial, convicção religiosa, opinião política e vida sexual são categorias do artigo 5 da LGPD e exigem tratamento reforçado.
• Conector esquecido. Integração ativa que ninguém do time atual reconhece como sua.

Se encontrar dado sensível saindo, a sequência é conter, registrar e decidir. Conter é revogar o escopo, desativar o conector ou bloquear a conta. Registrar é documentar o que saiu, quando, por qual canal e com qual finalidade. Decidir é avaliar o risco aos titulares com segurança e jurídico.

A LGPD exige comunicação à autoridade nacional e ao titular quando o incidente de segurança puder acarretar risco ou dano relevante. Não classifique o evento sozinho. Leve o mapa, os logs e a avaliação de risco para quem responde pela decisão, e guarde a trilha do que foi feito. Um guia de base está em segurança e LGPD na implantação de IA.

Rotina trimestral de revisão

O mapa envelhece rápido. Fornecedor muda padrão, time muda hábito, plano muda limite. Uma revisão trimestral com pauta fixa resolve a maior parte da deriva.

1. Atualize o inventário de conectores. Compare o que está habilitado com o que o mapa registra. Conector novo sem linha no mapa é pendência.
2. Releia os escopos. Verifique se cada permissão ainda corresponde ao caso de uso. Revogue o que não tem dono.
3. Confirme retenção e contrato. Cheque se houve mudança de plano, de região ou de subprocessador. Se a fonte não confirmar, mantenha “verificar no contrato”.
4. Revise os logs do trimestre. Procure uso fora do processo declarado, volume anômalo e tentativa de acessar base não prevista.
5. Reavalie a base legal. Uso novo com base antiga é erro comum. Finalidade mudou, a análise muda junto.
6. Registre a decisão e o responsável. Data, mudanças, pendências e quem aprovou. O histórico é o que permite responder a uma auditoria meses depois.

A rotina rende mais quando tem dono nomeado e prazo no calendário. Revisão sem dono vira documento parado. Um modelo de cláusulas e responsabilidades está em conformidade LGPD em contratos com fornecedores de IA.

Exemplo: escritório de contabilidade com quatro conectores

Cenário hipotético, sem vínculo com empresa real. Um escritório de contabilidade de médio porte usa quatro conectores: ChatGPT para redigir e-mails, Claude para analisar contratos, Gemini para pesquisar legislação e um servidor MCP interno que consulta o sistema de folha.

O primeiro levantamento mostra escopo amplo. O conector de documentos lê todo o drive, mas o uso real é revisar contratos de uma pasta. A correção é restringir a pasta e revogar o acesso amplo, sem trocar de fornecedor.

O segundo é de retenção. O time achava que nada ficava guardado porque “a conversa é temporária”. A política do fornecedor descreve autoexclusão configurável e retenção própria para conteúdo revisado por pessoas. O mapa passa a registrar prazo, fonte e configuração adotada.

O terceiro é de fluxo. A folha de pagamento é consultada pelo servidor MCP com CPF e valor. O fornecedor do modelo recebe o parâmetro e o resultado da consulta. A ação é limitar a ferramenta a campos agregados por centro de custo, manter o CPF no sistema de origem e registrar a decisão no mapa.

Nenhum desses achados exige desligar a IA. Exige restringir escopo, documentar retenção e reduzir o dado que atravessa a fronteira. O escritório termina o trimestre com quatro linhas no mapa, cada uma com dono, fonte de retenção e data de revisão.

Erros comuns

• Tratar fornecedor como um único fluxo. O mesmo produto pode ter usos com dados e riscos diferentes. Modele por processo.
• Copiar prazo de retenção de blog. Prazo sem fonte oficial não serve para auditoria. Use a política do fornecedor, o painel ou o contrato.
• Ignorar metadado. Quem se comunica com quem e quando também é informação sensível em muitos contextos.
• Confundir base legal do fornecedor com a do controlador. A escolha e a justificativa são da empresa que decide o tratamento.
• Deixar conector sem dono. Integração órfã continua recebendo dado e ninguém responde por ela na revisão.
• Fazer o mapa uma vez. Sem revisão periódica, o documento descreve um ambiente que não existe mais.

Perguntas frequentes

O mapa substitui a política de privacidade ou o contrato?

Não. Ele organiza a evidência e mostra lacunas. A política descreve o tratamento para o público, o contrato define obrigações entre as partes e o mapa liga os dois à operação real.

Preciso mapear uso feito em conta pessoal?

Sim, porque o dado da empresa continua sendo da empresa. O uso em conta pessoal é um achado de risco, com perda de controle administrativo e de trilha de auditoria.

Como registrar retenção quando o fornecedor não publica prazo?

Escreva “verificar no contrato” e abra a pendência com responsável e prazo. Não estime. Prazo sem fonte não deve sustentar decisão.

Dado derivado entra no mapa?

Entra. Resumo, classificação, embedding e arquivo gerado podem conter dado pessoal e têm destino próprio. Ignorar o derivado deixa metade do fluxo fora do documento.

Com que frequência revisar?

Trimestralmente, e sempre que houver novo conector, mudança de plano, mudança de fornecedor ou processo novo. A revisão precisa de dono e registro.

Fontes e leitura recomendada

• Anthropic: uso de dados na API Claude
• Anthropic: retenção de dados da API, retenção zero e prazos por recurso
• Google: aviso de privacidade do Gemini Apps, retenção e Connected Apps
• OpenAI: como os dados são usados para melhorar o desempenho dos modelos
• Meta: central de privacidade, com políticas por produto
• Lei 13.709/2018, Lei Geral de Proteção de Dados Pessoais
• ANPD: orientações e materiais sobre proteção de dados