Um colaborador precisa resumir uma folha de pagamento, conferir uma planilha financeira ou preparar a resposta para um cliente. A solução mais rápida parece simples: anexar o arquivo a uma ferramenta de inteligência artificial e pedir a análise.
O risco começa antes da resposta. Ao enviar o arquivo, o escritório já pode estar realizando operações de tratamento de dados, como acesso, transmissão e processamento. A LGPD inclui essas operações em sua definição de tratamento, e a ANPD alerta que interações com prompts podem envolver o compartilhamento de dados pessoais do próprio usuário ou de terceiros.
Para o escritório contábil, isso atinge informações de sócios, empregados, dependentes, clientes, fornecedores e beneficiários de pagamentos. Não significa proibir a IA. Significa criar uma rota segura para decidir o que pode ser usado, em qual ferramenta, por quem e com qual registro.
O protocolo abaixo é uma proposta operacional. Ele não substitui a análise jurídica, de proteção de dados ou de segurança aplicável à realidade do escritório e ao contrato com cada cliente.
- Comece pela tarefa, não pelo arquivo
Antes de anexar qualquer documento, descreva o resultado que a equipe precisa obter.
Se a tarefa for criar um roteiro de conferência, melhorar uma mensagem, organizar um procedimento ou explicar uma regra pública, normalmente é possível trabalhar sem dados reais do cliente.
Faça a primeira pergunta: a IA precisa mesmo receber a base completa para executar esta tarefa?
Muitas vezes, uma estrutura de colunas, um exemplo fictício ou valores agregados são suficientes. Se o trabalho puder ser feito sem identificar pessoas ou empresas, essa deve ser a primeira opção.
Essa triagem reduz o volume de informação exposta e aproxima a rotina do princípio da necessidade previsto na LGPD: tratar somente o mínimo necessário para a finalidade.
- Classifique os dados antes do envio
Nem todo arquivo tem o mesmo risco. Uma minuta sem identificação não deve seguir o mesmo fluxo de uma folha com nomes, CPF, salários e dados bancários.
Crie uma classificação simples para a equipe. Um nível pode abranger conteúdo público ou exemplos fictícios. Outro pode reunir dados internos sem identificação direta. Um nível mais restrito deve incluir dados pessoais, documentos fiscais completos, extratos, folhas, cadastros e qualquer informação sujeita a sigilo profissional.
Dados sobre saúde, biometria, filiação sindical, convicção religiosa e outras categorias do art. 5º, II, da LGPD são dados pessoais sensíveis. Informações financeiras não recebem automaticamente essa classificação legal, mas podem representar risco elevado e merecem controle reforçado.
Antes do uso, remova o que não for indispensável: nomes, CPF, e-mails, telefones, endereços, chaves de pagamento, números de conta, assinaturas e identificadores internos.
Trocar o nome por “Cliente A” não garante anonimização. Se a pessoa puder ser reidentificada por outras informações, o dado continua exigindo proteção. Quando houver dúvida, trate-o como dado pessoal.
- Avalie a ferramenta e o plano contratado
Não basta saber que a ferramenta “tem segurança”. O escritório precisa verificar as condições concretas de uso do serviço e do plano contratado.
Registre, no mínimo, quem é o fornecedor, quais termos e políticas se aplicam, se as entradas podem ser usadas para treinamento ou melhoria do serviço, por quanto tempo ficam armazenadas, como ocorre a exclusão, quais controles administrativos existem e onde encontrar o canal de segurança ou incidentes.
Também deve ser avaliado se há suboperadores, tratamento fora do Brasil ou transferência internacional de dados. A função do escritório como controlador ou operador pode variar conforme a operação, o contrato e quem toma as decisões sobre o tratamento. Isso precisa ser validado no caso concreto.
Configurações podem mudar entre planos e ao longo do tempo. Guarde a data da verificação e a evidência das opções ativadas. Desabilitar o uso para treinamento, quando essa possibilidade existir, é uma providência relevante, mas não resolve sozinho todos os requisitos da LGPD, do contrato e do sigilo profissional.
- Defina ferramentas e contas autorizadas
Uma política que permite “usar IA com cuidado” não orienta a rotina. A equipe precisa saber quais serviços foram aprovados, quais tarefas são permitidas e quais dados são proibidos em cada ambiente.
Prefira contas corporativas administradas pelo escritório, com autenticação adequada, acessos por função e retirada imediata do usuário que mudar de atividade ou sair da equipe. Evite contas pessoais, compartilhamento de senha e contratação individual sem análise.
A ANPD recomenda medidas administrativas e técnicas como política de segurança, controle de acesso, gerenciamento de contratos, cópias de segurança e orientação das pessoas que tratam dados. O guia é orientativo e não vinculante, mas oferece uma base útil para organizar controles proporcionais ao risco.
No uso de IA, transforme essas recomendações em uma matriz curta: ferramenta autorizada, finalidade permitida, tipos de dado admitidos, responsável pela aprovação e forma de exclusão.
- Registre a operação de uso
A LGPD determina que controlador e operador mantenham registro das operações de tratamento de dados pessoais, especialmente quando baseadas em legítimo interesse.
Na rotina do escritório, crie um registro compatível com o porte e o risco da operação. Ele pode reunir a finalidade, a categoria dos dados, a ferramenta utilizada, a justificativa para o uso, o responsável, os acessos concedidos, o prazo de retenção e o destino do resultado.
A hipótese legal não deve ser escolhida por conveniência. Ela depende da finalidade, da relação entre as partes e da natureza dos dados. Consentimento não é uma autorização genérica que corrige qualquer tratamento.
Um formulário simples pode ajudar a prestar contas, mas não substitui o inventário de tratamento, os contratos, a avaliação de risco ou outras obrigações que sejam cabíveis.
- Mantenha revisão humana antes da entrega
A IA pode ajudar a estruturar uma análise, mas a responsabilidade técnica não migra para a ferramenta.
Antes de usar o resultado em uma orientação, lançamento, obrigação acessória, relatório ou comunicação ao cliente, o profissional deve conferir a fonte, a vigência, a competência, a jurisdição, os cálculos e as particularidades do caso.
A NBC PG 01 exige que o contador atue com zelo, diligência e capacidade técnica, guarde sigilo e se municie de documentos e informações antes de emitir opinião. Na prática, uma resposta gerada por IA deve ser tratada como material de apoio sujeito a revisão, não como evidência de conclusão.
Defina quem revisa cada tipo de saída. Uma minuta comercial pode ter um fluxo; uma interpretação fiscal, trabalhista ou contábil precisa de revisor com competência para o tema.
- Tenha um fluxo para envio indevido
Se alguém anexar por engano um arquivo com dados não autorizados, esconder o problema aumenta o risco.
O procedimento interno deve orientar a interromper novos compartilhamentos, identificar qual arquivo foi enviado, quais titulares e categorias de dados estão envolvidos, preservar os registros necessários e acionar imediatamente o responsável interno por privacidade e segurança.
Depois, verifique as opções de exclusão junto ao fornecedor e avalie, com base nas circunstâncias, se houve incidente de segurança e quais medidas legais, contratuais e de comunicação são aplicáveis. A LGPD prevê comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante, conforme a regulamentação vigente.
A decisão não deve ser improvisada pelo colaborador que realizou o envio. O escritório precisa ter responsável, canal e critérios previamente definidos.
Um exemplo hipotético
Imagine que a equipe queira identificar divergências em uma folha de pagamento.
O fluxo de maior risco seria enviar o arquivo integral, com nomes, CPF, salários, dados bancários e afastamentos, para uma conta pessoal de uma ferramenta ainda não avaliada.
Um fluxo mais controlado começa definindo quais divergências serão pesquisadas. A equipe pode testar a lógica com uma base fictícia e, se o uso de dados reais for indispensável, reduzir campos, usar somente a ferramenta aprovada, registrar a operação e exigir revisão do profissional responsável.
O ganho não está em “usar IA em tudo”. Está em usar a tecnologia quando ela melhora o processo sem abandonar sigilo, contexto e controle.
O que implementar no escritório hoje
Liste as ferramentas de IA que a equipe já utiliza e as tarefas executadas em cada uma. Depois, classifique os dados envolvidos e identifique usos que ainda não têm fornecedor, plano, conta ou finalidade aprovados.
Crie uma regra curta com três respostas possíveis: uso livre com dados públicos ou fictícios; uso condicionado à ferramenta e ao fluxo aprovados; uso proibido até avaliação específica.
Nomeie um responsável para revisar fornecedores, acessos e incidentes. Faça o primeiro teste com dados sintéticos e revise periodicamente a política, porque os serviços, contratos e configurações mudam.
O contador não precisa escolher entre produtividade e responsabilidade. Precisa colocar a decisão sobre dados antes do botão de enviar.
Fontes oficiais consultadas em 2 de outubro de 2026
Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais, texto atualizado: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm
ANPD — Radar Tecnológico: Inteligência Artificial Generativa: https://www.gov.br/anpd/pt-br/centrais-de-conteudo/documentos-tecnicos-orientativos/radar_tecnologico_ia_generativa_anpd.pdf/@@display-file/file
ANPD — Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte: https://www.gov.br/anpd/pt-br/centrais-de-conteudo/materiais-educativos-e-publicacoes/guia-vf.pdf/@@display-file/file
CFC — NBC PG 01, Código de Ética Profissional do Contador: https://www1.cfc.org.br/sisweb/SRE/docs/NBCPG01.pdf
