Privacidade no ChatGPT Enterprise: o checklist que o conselho deve exigir antes de assinar

A OpenAI mantém uma página pública chamada Enterprise Privacy, atualizada pela última vez em 8 de janeiro de 2026, que descreve como trata os dados de quem usa ChatGPT Business, ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare, ChatGPT for Teachers e a API. Não é um anúncio de produto novo: é o texto de referência que qualquer empresa assina (ou deveria ler com atenção) antes de liberar a ferramenta para o time. Para quem está na posição de aprovar ou barrar esse contrato, o documento responde às três perguntas que importam: quem acessa os dados, por quanto tempo eles ficam guardados e se alimentam o treinamento dos modelos da OpenAI.

Esse terceiro ponto costuma ser o primeiro medo do jurídico e o primeiro mal-entendido da diretoria. Vale esclarecer de cara.

O treino do modelo não usa os dados da empresa, por padrão

A OpenAI afirma que, por padrão, não treina seus modelos com os dados de entrada e saída de clientes corporativos. Isso vale para ChatGPT Business, Enterprise, Edu, Healthcare, for Teachers e para o uso da API a partir de 1º de março de 2023. A exceção existe, mas depende de ação explícita da empresa: se alguém na organização optar por compartilhar dados através dos mecanismos de feedback, aí sim esse material pode virar treino.

Isso significa que o risco de vazamento de propriedade intelectual via treinamento não é automático, mas também não é impossível. Se um funcionário ativa algum recurso de feedback sem saber o que está fazendo, a cláusula de opt-in passa a valer para aquele conteúdo. O time de TI precisa saber exatamente quais recursos de feedback estão habilitados no workspace e quem tem permissão para ativá-los.

Quem é dono do que entra e do que sai

A política diz que a empresa retém todos os direitos sobre os dados que envia (os inputs) e é dona do que recebe como resposta (os outputs), dentro do que a lei permitir. A OpenAI só recebe os direitos necessários para prestar o serviço, cumprir a lei e fazer valer suas próprias políticas. Na prática, isso remove uma dúvida comum de contrato: o conteúdo gerado por um analista financeiro dentro do ChatGPT Enterprise, por exemplo, não passa a pertencer à OpenAI.

Mas essa cláusula de titularidade não substitui o controle de acesso interno. Ela diz quem é dono perante a OpenAI, não quem dentro da empresa pode ler aquela conversa. Esse segundo ponto depende de como o workspace é configurado.

A retenção de dados é configurável, e isso é raro de verdade

Em ChatGPT Enterprise, ChatGPT Edu e ChatGPT for Healthcare, os administradores do workspace controlam por quanto tempo os dados ficam retidos. Toda conversa apagada some dos sistemas da OpenAI em até 30 dias, a não ser que haja obrigação legal de guardar por mais tempo. Em ChatGPT Business, o controle é parecido, mas o texto frisa que os administradores podem visualizar, exportar e apagar conversas de usuários do workspace, não só configurar o prazo.

Essa diferença entre os planos é o primeiro item que a área jurídica deveria confirmar antes de escolher qual produto contratar. A tabela resume o que muda:

Um detalhe que costuma passar batido na reunião de aprovação: a própria OpenAI avisa que encurtar demais o prazo de retenção compromete a experiência do produto, porque recursos como histórico de conversa dependem desses dados ficarem guardados. Ou seja, o prazo que o jurídico pede (o menor possível) pode conflitar com o prazo que o time de produto quer (manter contexto entre sessões). Essa tensão precisa ser resolvida antes de configurar o workspace, não depois que o time já está usando a ferramenta no dia a dia.

Quem, dentro da OpenAI, pode ver as conversas da empresa

A política detalha três cenários em que funcionários da própria OpenAI acessam conteúdo de clientes corporativos: resolver incidentes técnicos, recuperar conversas de um usuário final com permissão explícita dele, ou cumprir exigência legal. Fora disso, o acesso de funcionários autorizados fica restrito a suporte de engenharia, investigação de uso abusivo da plataforma e conformidade legal, e a OpenAI também usa contratados terceirizados sob obrigação de confidencialidade para revisar casos de abuso.

A empresa contratante também roda análise automática: a OpenAI diz que pode submeter dados corporativos a classificadores automáticos de conteúdo e ferramentas de segurança, inclusive para entender como o serviço é usado. O texto é explícito em dizer que essas classificações geram metadados, não expõem o conteúdo original, e que a revisão humana de dados de negócio só acontece nos casos descritos acima.

As certificações que sustentam a promessa de segurança

A OpenAI afirma ter concluído auditoria SOC 2 Type 2 para ChatGPT Enterprise, Edu, Healthcare, Business e para a API Platform, o padrão do setor para controles de segurança e confidencialidade. Os dados ficam criptografados em repouso com AES-256 e em trânsito com TLS 1.2 ou superior, tanto entre cliente e OpenAI quanto entre a OpenAI e seus fornecedores de serviço. A empresa também mantém um programa de recompensa por vulnerabilidades (bug bounty) e publica detalhes adicionais no Trust Portal.

Certificação SOC 2 Type 2 não é autodeclaração: é auditoria de terceiro independente que avalia os controles ao longo de um período, não só numa foto do dia. Ainda assim, ela não substitui due diligence própria. Pedir o relatório de auditoria (não só a menção de que ele existe) é um item concreto de checklist antes de assinar.

GDPR e HIPAA dependem de contrato à parte, não vêm por padrão

A OpenAI executa um Data Processing Addendum (DPA) com clientes de ChatGPT Business, Enterprise e API para apoiar conformidade com a GDPR (o regulamento europeu de proteção de dados) e outras leis de privacidade, mediante preenchimento de formulário próprio. Para ChatGPT Edu e for Teachers, o processamento segue um Acordo de Privacidade de Dados do Estudante específico. Para dados de saúde protegidos, a OpenAI assina Business Associate Agreement (BAA) em apoio à conformidade com a HIPAA, a lei americana de portabilidade e responsabilidade de seguros de saúde, mediante solicitação formal.

Nenhuma dessas proteções é automática. Elas exigem que alguém na empresa compradora peça o documento certo, assine e arquive. Uma empresa que usa dados de saúde no ChatGPT Enterprise sem ter um BAA assinado está fora da cobertura que a própria OpenAI oferece, mesmo pagando pelo plano corporativo.

O que perguntar ao time de TI e ao fornecedor antes de assinar

Esta é a lista que deveria sair da reunião de aprovação com respostas registradas, não com "vamos verificar depois":

1. Qual produto está sendo contratado (Business, Enterprise, Edu ou Healthcare) e qual o nível de controle de retenção que ele realmente oferece?
2. Qual o prazo de retenção configurado no workspace, e quem tomou essa decisão?
3. Algum recurso de feedback com opt-in de treinamento está ativo? Quem pode ativá-lo?
4. A empresa tem acesso ao log de auditoria via Enterprise Compliance API, e quem na organização monitora esse log?
5. O DPA para GDPR foi assinado? Se há dado de saúde envolvido, o BAA para HIPAA foi assinado?
6. O relatório da auditoria SOC 2 Type 2 foi solicitado e revisado pelo jurídico ou pela área de segurança da informação?
7. Quais apps e fontes internas estão conectados ao ChatGPT, e quem aprovou cada integração?

A política da OpenAI resolve a arquitetura de privacidade no papel. O que ela não resolve é a configuração do workspace, a assinatura dos aditivos certos e a disciplina de quem administra o acesso dentro da própria empresa. Essa parte não vem por padrão: é tarefa de quem aprova o contrato cobrar, nesta ordem, antes de liberar o uso para o restante da organização.

Fonte: OpenAI — Enterprise Privacy