Funcionários estão vazando dados corporativos para o ChatGPT: volume cresceu 30 vezes em um ano

Funcionários Vazam Dados Corporativos no ChatGPT: Volume Cresceu 30 Vezes em um Ano

O grupo empresarial "Solar" analisou o tráfego de 150 organizações russas e constatou: o volume de dados corporativos que os funcionários enviam independentemente para serviços públicos de IA cresceu aproximadamente 30 vezes — enquanto cerca de 60% das empresas não possuem nenhuma regra interna sobre o assunto.

O que exatamente vai para data centers estrangeiros

O esquema é simples: você precisa fazer um resumo de um contrato — você carrega no ChatGPT. Precisa processar uma lista de clientes — você insere em uma planilha com funções de IA. O resultado é bom, leva menos tempo. O problema é que junto com os documentos, o seguinte vai para um data center de terceiros:

• Nomes de funcionários e clientes
• Dados de passaporte e números de identificação fiscal
• Detalhes bancários e valores de transações
• Termos comerciais e correspondência interna
• Informações que constituem segredos comerciais

Geralmente o serviço não exibe nenhum aviso. Formalmente, o usuário aceitou os termos informando que os dados podem ser usados para treinar o modelo — mas poucas pessoas leem isso.

Onde está o risco real e onde é só alarmismo

Grandes provedores de IA declaram que não usam dados corporativos do modo API para treinar modelos. Mas para empresas russas, isso não elimina o problema.

"Aproximadamente 60% das empresas não possuem nenhuma regra interna sobre este assunto: o processo não é controlado nem tecnicamente nem em papel", — da pesquisa da

Solar.

Os riscos reais se dividem em três direções.

Regulatório. De acordo com a lei russa 152-ФЗ "Sobre Dados Pessoais", a transferência de dados pessoais a terceiros sem consentimento do titular e sem um contrato apropriado é uma violação. A partir de 30 de maio de 2025, as multas por violações repetidas para pessoas jurídicas chegam a 15 milhões de rublos.

Comercial. Se um contrato com um cliente especifica confidencialidade e um funcionário enviou um documento ao ChatGPT — a empresa violou sua obrigação contratual. A contraparte tem o direito de exigir indenização por danos.

Reputacional. Vazamentos de dados de parceiros através do uso negligente de IA se tornam motivo para rescisão de contratos.

O que as empresas devem fazer agora

A boa notícia: existem soluções e não exigem proibição de IA.

O primeiro passo é uma política interna: um documento de uma página listando quais dados podem ser processados em serviços de IA externos e quais não podem. Sem isso, a empresa não tem ferramenta para ação disciplinar e nenhum argumento em conversa com reguladores.

O segundo passo é treinamento de funcionários. Não proibir, mas explicar: o que exatamente é dado pessoal e segredo comercial, por que não pode ser carregado em um serviço público e quais alternativas corporativas existem.

O terceiro passo é medidas técnicas: sistemas DLP que bloqueiam ou registram a transferência de certas categorias de dados fora do perímetro; ferramentas de IA corporativas em sua própria infraestrutura ou em nuvem russa com um provedor que assinou acordo de processamento de dados sob 152-ФЗ.

O que isso significa

A transição em massa de funcionários para ferramentas de IA não pode ser parada — e não deve ser. Mas um aumento de 30 vezes no volume de transmissão de dados em um ano sugere que a maioria das empresas perdeu o momento em que isso deixou de ser uma iniciativa privada e se tornou um risco corporativo sistêmico. Regras são necessárias não "em algum momento", mas agora mesmo.

Perguntas frequentes

A empresa corre risco de multa se um funcionário carregou dados no

ChatGPT por conta própria?

Sim, potencialmente. Sob 152-ФЗ, a responsabilidade pelo processamento de dados pessoais recai sobre o operador — ou seja, a empresa, não o funcionário específico. Se o fato da transmissão de dados pessoais a terceiro for estabelecido, o regulador tem o direito de impor multa à pessoa jurídica. A partir de 30 de maio de 2025, por violações repetidas chega a 15 milhões de rublos.

Existe uma alternativa segura aos serviços públicos de IA?

Sim: soluções de IA corporativas implantadas em seus próprios servidores ou em nuvem russa com um provedor que celebrou acordo de processamento de dados. Neste caso, os dados não saem do perímetro controlado.