A IA muda o lugar do risco. Os controles clássicos vigiam onde o dado fica guardado. Com a IA, quem tem autorização para ler um documento o cola numa ferramenta externa, e nenhum desses controles vê isso.
O que mudou com a IA
A abordagem antiga não está errada. Ele controla quem acessa a base, criptografa os backups, bloqueia planilhas com CPF enviadas para fora e registra quem abriu o quê. Todos esses controles supõem que o risco é alguém sem autorização chegar ao dado, e vigiam onde os dados ficam. Por três décadas, isso bastou.
Nos últimos dezoito meses, essa premissa deixou de valer no dia a dia. A analista de RH resume trinta currículos, o advogado pede uma revisão de uma minuta, o analista financeiro pede a explicação de um balancete. Todos têm autorização para abrir esses arquivos. Eles selecionam o texto, colam numa janela de conversa e recebem a resposta em segundos.
O log de acesso mostra uma leitura legítima. O DLP de rede vê uma sessão HTTPS para um domínio que a TI liberou. Nenhum alerta dispara, e o perímetro continua inteiro. O dado saiu por um caminho que nenhum controle observa: a área de transferência do sistema operacional.
Reforçar os controles antigos não resolve. O envio acontece depois que todos eles autorizaram o acesso. E não deixa rastro: a empresa não consegue demonstrar o que foi colado.
O que a LGPD exige e de quem
O art. 5º define o controlador (inciso VI), que decide sobre o tratamento, e o operador (inciso VII), que trata dados em nome dele. Quando um funcionário cola um documento numa ferramenta de IA para trabalhar, a decisão é da empresa. O fornecedor é, no melhor caso, operador. Com uma conta pessoal, nem contrato existe.
O art. 7º exige uma base legal para cada tratamento, e o art. 6º, X obriga o controlador a demonstrar medidas eficazes. O art. 52 prevê multa de até 2% do faturamento no Brasil no último exercício, limitada a R$ 50 milhões por infração. Desde a Emenda Constitucional nº 115/2022, a proteção de dados pessoais é direito fundamental expresso.
Para advogados, há ainda o sigilo profissional (art. 34, VII da Lei nº 8.906/1994), cuja violação pode ser crime (art. 154 do Código Penal). Esse dever não passa para um fornecedor por contrato. Não dizemos se um uso específico está em conformidade: isso depende de fatos que só você conhece.
Por que o filtro na nuvem não basta
A resposta comum do mercado é um filtro no provedor: o texto chega ao serviço, que mascara os dados pessoais antes que o modelo os leia. É uma melhoria, e para alguns usos basta. O problema é a ordem. Para filtrar, o provedor precisa receber o documento inteiro num servidor que não é seu.
O filtro só decide o que o modelo vê depois que o dado saiu da sua máquina. Diante do art. 6º, X, você continua tendo que demonstrar o que entregou a um terceiro, e ele recebeu tudo. A fronteira precisa ficar no momento do uso: antes do modelo, no dispositivo. As abordagens disponíveis estão comparadas em um panorama das estratégias de proteção e do papel do promptShield entre elas.
Como o promptShield protege o documento antes do envio
Na configuração padrão, a detecção do promptShield acontece inteira no dispositivo, sem enviar nada para fora.
Padrões de alta precisão encontram o que tem forma fixa: um CPF como 123.456.789-09, um CNPJ como 12.345.678/0001-95, um CEP como 01415-000, agência e conta ou uma chave Pix. Um modelo de entidades (spaCy, BERT ou GLiNER, conforme a instalação) encontra nomes, empresas e endereços. Uma camada opcional com um modelo de linguagem local vem desligada por padrão.
Os resultados são combinados, sem duplicatas, e um nome achado na página 1 é marcado também na página 4. Um filtro descarta o ruído. Nenhum modelo local acerta todos os identificadores, então, por padrão, um arquivo protegido só é baixado depois que alguém revisa as detecções.
Uma página escaneada é uma imagem. O aplicativo a renderiza a 300 dpi, roda o Tesseract com o idioma do documento mais o inglês e cobre os dados pessoais na própria imagem. Depois, reconstrói por baixo uma camada de texto pesquisável. Há oito pacotes de idioma (português, inglês, francês, alemão, espanhol, italiano, holandês e polonês), e um documento escaneado lido com o pacote errado sai mal reconhecido, sem aviso.
Ocultar, Codificar e o alcance de um código
Ocultar remove o texto de forma definitiva. Codificar troca o valor por um código curto e reversível, guardado no Registro de códigos, na mesma máquina. Decodificar a resposta do modelo é uma chamada local ao próprio aplicativo, e a tabela de correspondência não sai do computador.
Já descrevemos mal o alcance de um código, por isso convém ser preciso. Na mesma pasta, um valor recebe sempre o mesmo código, e o modelo entende que a parte do contrato é a mesma da notificação. Em pastas diferentes, o mesmo valor recebe códigos diferentes, e só um código fixado manualmente vale de forma global. A versão gratuita no navegador gera códigos do mesmo jeito, com a chave do navegador.
O que sai da máquina
Nosso próprio site já negou esta exceção, por engano. A Análise profunda tem um modo remoto que envia o texto das páginas a um endereço configurado pelo usuário, seja um modelo na rede da empresa, seja um serviço comercial. Ele vem desligado por padrão, existe só no plano Pro e exige três ações: ativar a Análise profunda, escolher o provedor remoto e informar o endereço.
Quem o ativa deve registrar isso na política da empresa. O aplicativo de desktop pode funcionar 100% offline, e o plano Pro tem um modo isolado, sem verificação de licença nem relatórios de falha. A versão gratuita no navegador envia um sinal anônimo de abertura, então não a chamamos de offline. Nas duas, o documento não sai da máquina.
Perguntas frequentes
Por que meus controles atuais não cobrem isso?
Porque eles foram feitos para impedir acesso indevido, e o uso de IA vem depois de um acesso legítimo. O trecho sai como texto numa sessão criptografada, para um domínio liberado, do computador de uma pessoa autorizada.
O provedor de nuvem não pode filtrar por mim?
Ele filtra o que o modelo vê, mas recebe o documento inteiro: para mascarar um CPF, precisa ler o CPF. A pergunta do art. 6º, X continua aberta: o que foi enviado, a quem e com que base legal.
Em que ponto a proteção deve acontecer?
Antes do modelo, na máquina onde o arquivo já está. É o único ponto em que o dado ainda está sob controle exclusivo de quem responde por ele.
Proibir as ferramentas de IA não resolve?
Resolve só no papel. A proibição empurra o uso para o celular e a conta pessoal, onde não fica registro. Por isso o caminho protegido precisa ser também o mais rápido.
O que continua valendo
Controle de acesso e criptografia continuam necessários, porque o risco antigo não foi embora. Surgiu um segundo risco, maior em volume e invisível para os controles atuais. Em vez de vigiar o copiar e colar, a saída é mudar o conteúdo que é colado: um texto em que o cliente aparece como um código.