O Conflito de Transferência de Dados
As equipes de suporte ao cliente que usam o ChatGPT para redigir respostas enfrentam um conflito estrutural de conformidade com o GDPR. Processar dados pessoais de clientes — nomes, IDs de pedidos, endereços, detalhes de reclamações — através do ChatGPT significa transmitir esses dados para os servidores da OpenAI, que estão localizados nos Estados Unidos. De acordo com o Artigo 46 do GDPR, transferir dados pessoais para um terceiro país requer salvaguardas adequadas: seja uma decisão de adequação, Cláusulas Contratuais Padrão ou regras corporativas vinculativas.
A OpenAI publicou Cláusulas Contratuais Padrão para clientes empresariais através das ofertas do ChatGPT Enterprise e API. No entanto, muitas equipes de suporte ao cliente usam a interface padrão do ChatGPT através de contas de consumidor — contas que não possuem as proteções contratuais do GDPR dos acordos empresariais. Uma auditoria da UE em 2024 descobriu que 63% dos dados de usuários do ChatGPT vieram de contas que não optaram pelas configurações de proteção de dados disponíveis para usuários empresariais.
A ação regulatória do Garante da Itália ilustra a trajetória de aplicação. Em dezembro de 2024, o Garante multou a OpenAI em €15 milhões por processamento ilegal de dados pessoais de usuários italianos — especificamente por processar dados sem uma base legal adequada e sem atender às obrigações de direitos dos titulares de dados. A multa foi precedida por uma proibição temporária do ChatGPT na Itália em 2023 e extensas negociações sobre práticas de manuseio de dados. 63% das empresas italianas foram consideradas como não possuindo políticas de uso de IA em conformidade com o GDPR no momento da multa.
A Resolução de Anonimização JIT
A anonimização just-in-time (JIT) resolve o conflito de transferência de dados garantindo que os dados pessoais nunca cheguem aos servidores do ChatGPT em primeiro lugar. A anonimização ocorre no momento da submissão do prompt — entre o evento de colagem do usuário e a transmissão pela rede para a OpenAI.
A arquitetura de interceptação da extensão do Chrome: quando um agente de suporte ao cliente cola uma reclamação de cliente contendo "Maria Dupont, pedido FR-2024-8847, enviado para 12 rue de la Paix, Paris" no campo de entrada do ChatGPT, a extensão intercepta o evento de colagem. Antes que o conteúdo apareça no campo de entrada, a extensão detecta o nome, o número do pedido e o endereço. O agente vê uma prévia. O agente clica em prosseguir. O ChatGPT recebe uma versão anonimizada sem dados pessoais — uma descrição completa da reclamação com tokens substituindo os identificadores.
O ChatGPT gera um rascunho de resposta usando os tokens anonimizados. O recurso de auto-descriptografia da extensão substitui os valores reais de volta na resposta da IA, para que o agente veja uma resposta referenciando o nome real do cliente — mas o ChatGPT nunca processou esse nome.
Sob esta arquitetura, a questão da transferência de dados do Artigo 46 do GDPR não surge: os dados transferidos para os servidores do ChatGPT são dados anonimizados que não atendem à definição de dados pessoais do GDPR. O nome, endereço e informações identificadoras do cliente permanecem dentro da UE no navegador local do agente. A conformidade com o GDPR é estrutural em vez de contratual.
Fontes: