Dados do projeto em ferramentas de IA: o que não colar no chat

O analista está com o contrato do cliente aberto, quarenta páginas de cláusulas, e precisa entender rápido as condições de multa por atraso. Você passa pela mesa dele e vê a tela: ele já colou o documento inteiro numa ferramenta de IA e está esperando o resumo. Nome do cliente, valores, condições comerciais, tudo ali. Ele olha para você satisfeito, porque encontrou um jeito de economizar uma tarde.

Você fica sem saber o que dizer. Não sabe exatamente qual é a política da empresa, não sabe para onde vão os dados colados naquela ferramenta e não quer parecer o chato que trava a produtividade da equipe. Mas tem a sensação incômoda de que algo saiu do controle, e de que talvez não dê para trazer de volta.

Essa decisão, colar ou não colar, acontece dezenas de vezes por semana num projeto, quase sempre sem ninguém pensar nela.

O que sai do seu controle quando você cola

Quando uma informação é colocada numa ferramenta externa, ela passa a estar sob as regras de outra organização. Dependendo da ferramenta, da configuração e do contrato da empresa com o fornecedor, esses dados podem ser armazenados, revisados ou usados de formas que você não conhece. O GP raramente sabe responder com segurança qual é o caso. E, sem saber, não dá para garantir ao cliente que os dados dele estão protegidos.

O que está em jogo vai além da tecnologia. Projetos lidam com dados pessoais de colaboradores e clientes, que estão sujeitos à LGPD. Lidam com contratos que costumam ter cláusulas de confidencialidade. Lidam com estratégias que a empresa ainda não divulgou. Uma exposição pode gerar problema jurídico, perda de confiança do cliente e dano à reputação de quem colou, que muitas vezes é alguém da sua equipe.

O ponto delicado é que o erro é silencioso. Ninguém recebe um alerta. O dado simplesmente saiu.

Por que a gente cola sem pensar

A conveniência é a primeira razão. Colar leva segundos, e a resposta vem rápido. Comparado com ler quarenta páginas, parece óbvio.

A segunda é a sensação de privacidade. A interface de conversa parece um espaço pessoal, como um bloco de notas. Muita gente não associa aquela janela ao envio de informação para fora da empresa.

A terceira é a falta de orientação. Em muitas empresas, a política sobre IA não existe, é vaga ou nunca foi explicada à equipe. As pessoas fazem o que parece razoável, e o que parece razoável sob pressão de prazo é usar a ferramenta mais rápida. Há também a parte do GP: se você nunca falou sobre isso com a equipe, ela não tem como saber o que você espera.

Colar tudo ou proibir tudo

O primeiro erro é o liberado: tratar qualquer ferramenta como segura e qualquer dado como colável. Funciona até o dia em que não funciona, e aí o problema já aconteceu.

O segundo erro é a proibição genérica, sem alternativa: "Ninguém usa IA no projeto." A regra soa segura, mas, se a equipe tem uma necessidade real e nenhuma opção aprovada, o uso continua, só que escondido. E uso escondido é o pior cenário, porque ninguém orienta, ninguém revisa e ninguém sabe o que foi colado. A conversa sobre esse risco está em equipe usando IA por conta própria.

Um critério em três níveis

Uma forma prática de decidir é classificar a informação antes de colar. Os níveis abaixo são um ponto de partida; a política da sua empresa, se existir, prevalece sobre eles.

Verde: pode entrar com tranquilidade. Conteúdo público ou genérico, sem relação com clientes ou pessoas identificáveis. Um modelo de ata em branco, uma dúvida sobre como estruturar um plano de comunicação, um texto seu sem nomes nem números.

Amarelo: só depois de anonimizar. Conteúdo interno que não é sigiloso, mas tem detalhes identificáveis. Uma ata com nomes, um e-mail com o nome do cliente. Troque nomes por funções ("o diretor da área A"), remova valores e datas e confira se, sem eles, ainda daria para saber de quem se trata.

Vermelho: não entra. Dados pessoais de colaboradores ou clientes, contratos e condições comerciais, valores financeiros não divulgados, estratégia e planos confidenciais, avaliações de desempenho, credenciais de acesso e tudo o que estiver protegido por acordo de confidencialidade. Para esse nível, a resposta é não, a não ser que a empresa tenha uma ferramenta aprovada expressamente para esse tipo de dado.

Na prática, o caminho muda conforme a situação. Se a empresa tem política e uma ferramenta aprovada, use apenas essa ferramenta e respeite o que a política permite para cada tipo de dado. Se não tem política, consulte o seu gestor ou a área de segurança da informação antes de usar com qualquer dado do projeto, e enquanto isso fique no verde. Se o contrato com o cliente tem cláusula de confidencialidade, trate todo o material dele como vermelho até que alguém com autoridade diga o contrário. Se você ou alguém da equipe já colou algo que não devia, avise imediatamente quem cuida de segurança da informação, sem esperar para ver se dá problema.

Trate essa decisão como um risco do projeto, com dono e orientação clara, e não como escolha individual de cada pessoa.

Frases para a conversa com a equipe

"Pode usar ferramenta de IA para organizar texto e ideias, sem problema. Mas nada de nome de cliente, valor de contrato ou dado de pessoa. Se ficar em dúvida, me pergunta antes."

"Vi que você colou o contrato para resumir. Entendo a pressa, mas esse material tem cláusula de confidencialidade. Vamos avisar a segurança da informação agora, juntos, e eu te ajudo com a leitura das cláusulas de multa."

"Ainda não temos política clara sobre IA. Vou levar o tema ao meu gestor esta semana. Até lá, só conteúdo genérico, combinado?"

"Se alguém colar algo por engano, me avisa na hora. Ninguém vai ser crucificado por avisar. Problema é esconder."

Na última frase, tenha cuidado com o tom: o objetivo é deixar claro que avisar é seguro e que o risco maior está no silêncio.

Sinais de que a regra está pegando

A orientação está funcionando quando as pessoas perguntam antes de colar, quando os textos usados com a ferramenta chegam anonimizados sem você pedir e quando alguém relata espontaneamente um erro. Esse último sinal é o mais valioso: indica que a equipe confia que pode errar e contar.

Reveja a abordagem se perceber que ninguém fala mais do assunto e ao mesmo tempo os relatórios ficaram mais rápidos de forma inexplicável, se as pessoas parecem desconfortáveis quando você chega perto da tela ou se a regra ficou tão restritiva que atrapalha tarefas legítimas. Nos dois primeiros casos, o uso pode ter ido para a clandestinidade. No terceiro, vale buscar com a empresa uma ferramenta aprovada.

O contrato do Lucas

Exemplo ilustrativo (situação fictícia): Lucas, analista de um projeto de implantação de sistema para um cliente do setor de energia, colou o contrato inteiro numa ferramenta de IA gratuita para resumir as condições de multa. A gerente de projetos, Camila, viu a tela e percebeu o problema.

Ela não deu bronca na frente de ninguém. Chamou Lucas para uma sala, explicou que o contrato tinha cláusula de confidencialidade e que precisavam avisar a segurança da informação. Foram juntos. A área orientou os próximos passos e pediu que o caso fosse registrado. Camila assumiu com Lucas a responsabilidade de contar ao gestor dela e ao sponsor o que tinha acontecido, de forma objetiva.

Na semana seguinte, Camila reuniu a equipe e apresentou o critério em três níveis, com exemplos do próprio projeto. Pediu à área de tecnologia que indicasse uma ferramenta aprovada para uso interno. E combinou que dúvidas sobre o que colar seriam perguntadas a ela antes, sem julgamento. O caso não teve consequência maior, e a equipe passou a falar abertamente sobre o assunto.

Proteger dados é proteger confiança

Olhando um nível acima, a forma como o projeto trata informações sensíveis diz ao cliente e à organização se aquele GP é confiável. Um vazamento raramente é avaliado pela intenção de quem errou; é avaliado pela forma como o projeto preveniu e respondeu. Ter critério claro e uma equipe que avisa cedo é parte da maturidade de gestão de riscos.

E, se algo der errado, a forma de reagir conta tanto quanto o erro. Para essa conversa, apoie-se em como assumir um erro no projeto. Para o quadro mais amplo de como usar IA generativa sem perder o critério, veja IA para gerentes de projetos.

Checklist antes de colar qualquer coisa

• Sei se a empresa tem política sobre IA e quais ferramentas estão aprovadas.
• Classifiquei a informação como verde, amarela ou vermelha.
• Removi nomes, valores e datas do que é amarelo.
• Conferi se, mesmo sem nomes, daria para identificar cliente ou pessoa.
• Verifiquei se o contrato do cliente tem cláusula de confidencialidade.
• Combinei com a equipe o que pode e o que não pode entrar.
• A equipe sabe que deve avisar na hora se colar algo por engano.

O que fazer hoje

Descubra hoje se a sua empresa tem uma política sobre uso de IA e quais ferramentas estão aprovadas. Se não encontrar, mande uma mensagem ao seu gestor ou à segurança da informação perguntando.

Na próxima reunião com a equipe, reserve dez minutos para apresentar o critério em três níveis com exemplos do seu projeto, e termine dizendo com clareza que quem avisar um erro terá o seu apoio.