ChatGPT Business e Enterprise: o que a OpenAI garante por escrito sobre os dados da empresa

A página de privacidade empresarial da OpenAI, atualizada em 8 de janeiro de 2026, lista o que fica fora do treinamento dos modelos, quem enxerga as conversas do time e por quanto tempo os dados ficam guardados. Mas há lacuna que o contrato precisa fechar antes da assinatura.

O documento que serve de base para a cláusula de dados

A OpenAI mantém uma página chamada Enterprise Privacy, atualizada pela última vez em 8 de janeiro de 2026, que reúne os compromissos de privacidade para ChatGPT Business, ChatGPT Enterprise, ChatGPT para Saúde, ChatGPT Edu, ChatGPT para Professores e a API Platform. Não é o contrato em si, mas é o texto que a própria OpenAI aponta como referência, e é nele que o jurídico e o gestor de segurança da empresa precisam se apoiar antes de autorizar o uso corporativo.

O ponto de partida é simples: por padrão, a OpenAI não usa dados de entrada e saída dessas ferramentas para treinar os modelos. O cliente mantém direitos sobre o que digita e sobre o que recebe, "na medida em que a lei permitir", diz a página. Essa ressalva importa: em alguns países a lei de propriedade intelectual trata texto gerado por IA de forma diferente, e isso não é algo que a OpenAI resolve por contrato.

A exceção que o administrador precisa fechar

A regra de não treinar com dados da empresa tem uma porta aberta: se alguém da equipe optar explicitamente por compartilhar dados através dos mecanismos de feedback do produto (o botão de avaliar uma resposta, por exemplo), esse material pode entrar no treinamento. A página não deixa claro se o administrador do workspace consegue bloquear essa opção para todos os usuários de uma vez.

Isso é pergunta de reunião, não suposição: antes de liberar o ChatGPT Business ou Enterprise para a equipe, vale confirmar com o time de TI se existe uma configuração central que desliga esse compartilhamento, ou se a proteção depende de cada funcionário não clicar em "compartilhar feedback". Política escrita de uso interno ajuda, mas controle técnico é mais confiável que aviso em manual.

Quem vê a conversa do seu time muda conforme o plano

A forma como o administrador acompanha o uso não é igual em todos os planos, e essa diferença pesa na decisão de qual produto contratar.

No Business, o gestor de RH ou de compliance pode literalmente abrir a conversa de um funcionário. No Enterprise, esse mesmo gestor acessa um log de auditoria de conversas e GPTs pela Enterprise Compliance API, um caminho diferente do acesso direto do Business, mas a documentação da OpenAI não detalha se esse log traz o conteúdo completo das conversas ou apenas metadados, nem descreve um processo formal para obter acesso além do log. Para empresa que lida com dado sensível de cliente, vale confirmar esse ponto diretamente com a OpenAI antes de decidir o plano.

Os 30 dias que ficam na letra miúda

A OpenAI promete remover conversa apagada do sistema em até 30 dias, mas com duas exceções: quando a lei exige guardar por mais tempo, e, no caso do ChatGPT Business, quando a retenção for "razoavelmente necessária para proteger os serviços ou terceiros de dano". Essa segunda frase é vaga de propósito, porque cobre casos de abuso e investigação de segurança, mas também dá margem de interpretação ampla.

Antes de assinar, vale pedir ao time jurídico que negocie uma definição mais fechada dessa cláusula, ou pelo menos um compromisso de notificar a empresa quando dados forem retidos além do prazo padrão por esse motivo. Sem isso, a promessa de 30 dias vale como regra geral, não como garantia absoluta.

SOC 2 não substitui dever de casa

ChatGPT Business, Enterprise, Edu, para Saúde e a API Platform completaram auditoria SOC 2 Tipo 2, que atesta que os controles internos de segurança e confidencialidade seguem padrão de mercado. ChatGPT para Professores é exceção nesse ponto: a página diz apenas que a infraestrutura que sustenta o produto "segue as melhores práticas da indústria para segurança e privacidade", sem mencionar a mesma certificação SOC 2 Tipo 2 dos demais planos. Isso é relevante para due diligence, mas não equivale a estar em conformidade com uma lei específica.

Para GDPR (a lei europeia de proteção de dados), a OpenAI oferece um Data Processing Addendum (DPA), mas ele não vem automático: o cliente precisa preencher um formulário próprio para executá-lo. Para ChatGPT Edu e para Professores, o documento equivalente é um Acordo de Privacidade de Dados do Estudante, separado do DPA.

Para HIPAA (a lei americana de dados de saúde), a página garante explicitamente a assinatura de um Business Associate Agreement (BAA) para quem usa a API Platform. Para o ChatGPT para Saúde, o texto diz apenas que o produto foi "projetado para apoiar" conformidade com HIPAA, sem repetir a mesma garantia de BAA assinado. Quem vai usar esse plano com dado de paciente precisa confirmar por escrito se o BAA cobre o produto de chat ou só a API.

O que a página não diz, e por isso entra na negociação

A Lei Geral de Proteção de Dados (Lei nº 13.709, de 14 de agosto de 2018) exige que transferência internacional de dado pessoal tenha base legal específica, prevista no artigo 33. A página da OpenAI fala em GDPR, mas não cita a LGPD em nenhum momento. Isso não significa que a empresa brasileira fica descoberta, mas significa que o jurídico precisa avaliar, caso a caso, se o DPA pensado para a legislação europeia também serve de base para a transferência de dado de um cliente brasileiro para os servidores da OpenAI, majoritariamente fora do país.

Outros pontos que simplesmente não aparecem no texto:

• Onde fisicamente os dados são processados e armazenados (residência de dados)
• Prazo de notificação em caso de incidente de segurança
• Direito de auditoria do cliente sobre os controles internos
• Lista de subprocessadores e terceiros com acesso aos dados
• Retenção zero disponível fora da API (ZDR hoje só vale para endpoints elegíveis da API Platform, não para ChatGPT Business ou Enterprise)

Nenhum desses itens aparece como ausência grave, mas todos são perguntas que cabem na reunião de aprovação do fornecedor, não depois que o contrato já estiver assinado.

A lista para levar ao fornecedor antes de assinar

1. O workspace tem configuração central para bloquear o opt-in individual de compartilhamento de feedback para treinamento?
2. Qual plano dá ao admin acesso direto à conversa (Business) e qual só dá log de auditoria (Enterprise, Edu, Saúde)? Isso bate com a política de privacidade interna da empresa?
3. A cláusula de retenção "além de 30 dias por necessidade razoável" vem com notificação ao cliente? Dá para negociar um texto mais específico?
4. O DPA já foi assinado via formulário próprio, ou ainda está pendente?
5. Para uso com dado de saúde, o BAA cobre o ChatGPT para Saúde ou só a API?
6. Existe análise jurídica própria sobre se o DPA de GDPR serve de base legal para a LGPD, no caso de transferência internacional de dado?
7. Onde ficam fisicamente armazenados os dados da empresa, e isso consta em algum documento formal?

O que decidir na próxima reunião

O material da OpenAI dá base para aprovar o uso corporativo do ChatGPT com razoável segurança de que o conteúdo da empresa não alimenta o modelo por padrão. Mas aprovar sem fechar as sete perguntas acima significa assinar um contrato com lacuna que só aparece se algo der errado. A decisão concreta é: condicionar a liberação do uso à confirmação por escrito do DPA assinado, da política de opt-in bloqueada e, se houver dado de saúde envolvido, do BAA cobrindo o produto certo. O resto pode ir para a revisão anual do contrato, mas esses três pontos não esperam.

Fonte: OpenAI — Enterprise Privacy