Dados dos usuários: proteger chats e evitar venda

TL;DR: A falência de uma plataforma de personagens de IA levanta uma pergunta prática: o que acontece com os dados dos usuários, seus chats, preferências e perfis? Procuradores-gerais nos EUA já pedem à Justiça que impeça a venda indiscriminada dessas informações, e você (pessoa e negócio) pode agir agora: reduzir exposição, pedir exclusão, revisar contratos e criar um plano de contingência de IA. Abaixo, explicamos o cenário, riscos reais, o que esperar do processo e um passo a passo para proteger sua organização e sua vida digital.

O que é este caso e por que mexe com o seu negócio

Character.AI, uma plataforma popular de “personagens” de IA com a qual milhões de pessoas conversavam sobre temas cotidianos e íntimos, entrou em processo de falência nos EUA (Chapter 11). A partir daí surgiu a questão central: o destino dos dados dos usuários acumulados em anos de conversas privadas.

Segundo reportagem do The Verge, uma coalizão de procuradores-gerais estaduais entrou no caso para assegurar que conversas privadas não virem item de leilão sem salvaguardas robustas. Em paralelo, o comunicado da Procuradoria-Geral de Nova York afirma que 40 procuradores-gerais alertaram o tribunal: a empresa não deveria ser vendida sem proteções fortes para milhões de pessoas cujas conversas foram coletadas. Já a reportagem da CNBC contextualiza a movimentação de potenciais compradores durante o processo.

Por que isso importa para você no Brasil? Porque:

• Empresas e pessoas daqui também usaram plataformas desse tipo; se seus dados dos usuários foram tratados no exterior, ainda assim você pode ter direitos pela LGPD (Lei Geral de Proteção de Dados).
• Startups, varejo, saúde, educação e finanças no Brasil adotaram chatbots e “assistentes” de IA como front de atendimento e P&D. Uma falência lá fora pode afetar cadeias de dados e modelos aqui.
• Se a sua operação terceiriza processamento de conversas, perfis e feedbacks para fornecedores estrangeiros, o risco de transferência (ou exposição) em uma venda judicial é real.

O que é uma plataforma de personagens de IA e o que estava em jogo

Plataformas de “personagens” de IA permitem que usuários conversem com entidades virtuais com estilos e “personalidades” variadas. Cada interação é uma troca de texto (e às vezes voz e imagem), que pode incluir dúvidas pessoais, rotinas, estudos, preferências culturais e, em alguns casos, temas sensíveis. Esses dados servem para:

• Personalizar o comportamento do personagem (memória, tom, contexto).
• Melhorar a plataforma (afinando respostas, detectando abusos, corrigindo alucinações).
• Eventualmente treinar ou ajustar modelos (dependendo da política de privacidade e dos controles oferecidos).

O problema: quando uma empresa assim pede proteção judicial (Chapter 11), bases de dados, modelos, logs e PI (propriedade intelectual) viram itens de um pacote de ativos. Sem regras específicas, os dados dos usuários podem seguir o novo comprador, e isso assusta autoridades e consumidores quando há conversas íntimas e dados de crianças.

De acordo com o comunicado da NYAG, houve preocupações adicionais: chatbots teriam se passado por profissionais licenciados e exposto crianças a conteúdos inapropriados, como sexualização, violência e incentivo à automutilação. Isso amplia a gravidade do destino desses dados dos usuários em qualquer transação.

“Character.AI não deveria ser vendida sem proteções fortes para os milhões de pessoas cujas conversas privadas ela mantém.”, Procuradoria-Geral de Nova York (ver o comunicado oficial).

Como funciona: o ciclo de vida dos seus dados em plataformas de personagens

Para entender o risco, é útil mapear como um serviço desse tipo lida com informações:

1. Coleta: mensagens, anexos, metadados (horário, dispositivo, IP, localização aproximada), preferências e perfis básicos. Em contas pagas, dados de cobrança podem ser coletados por processadores de pagamento.
2. Processamento: as mensagens passam pelo modelo (ou por uma orquestração de modelos). Parte do texto pode ser transformada em embeddings (vetores numéricos) para memória e busca semântica.
3. Armazenamento: histórico de chats e metadados ficam em bancos de dados. Em alguns casos, há “memórias” por personagem ou por usuário, retidas por períodos diferentes.
4. Uso para melhoria: dependendo da política, as conversas podem alimentar ajustes finos (fine-tuning), avaliações ou treinamento de sistemas auxiliares (ex.: moderação, detecção de conteúdo sensível). Muitas empresas dizem anonimizar ou pseudoanonimizar, mas isso raramente é absoluto.
5. Compartilhamento: suboperadores (provedores de nuvem, monitoramento de logs, antispam) podem ter acesso técnico. A política de privacidade deveria listar categorias e finalidades.
6. Exclusão/retenção: prazos variam; exclusões podem ser “lógicas” (apagadas da aplicação, mas ainda em backups por um tempo). A qualidade dessa etapa define o risco residual.

Em uma falência, esse ecossistema de dados vira uma massa de ativos: bancos de dados, logs, pipelines de ML, modelos ajustados, documentação, integrações. O que parecia “apenas conversa” se transforma em inventário valioso e sensível.

O que acontece com os dados dos usuários em uma falência?

No Chapter 11, a empresa busca se reorganizar sob supervisão judicial. Isso pode incluir:

• Venda integral da operação para um comprador estratégico.
• Venda fatiada de ativos (marcas, código, modelos, bancos de dados).
• Captação de financiamento “debtor-in-possession” e reestruturação.

Em todos os cenários, os dados dos usuários podem estar na mesa. O que tende a definir o destino dessas informações:

• Política de privacidade vigente: compromissos assumidos pela empresa sobre transferência em caso de mudança de controle.
• Ordens e salvaguardas do tribunal: especialmente quando há pressão de procuradores-gerais para proteger consumidores e crianças. Segundo o The Verge e o comunicado da NYAG, dezenas de estados pedem salvaguardas robustas para evitar exposição e venda irrestrita.
• Leis aplicáveis: além de normas de privacidade dos EUA, para usuários no Brasil incidem obrigações da LGPD, como base legal adequada para tratamento, transparência, direitos de acesso, correção e exclusão, além de restrições à transferência internacional de dados.
• Negociação com o comprador: às vezes o pacote é vendido sem determinados identificadores, ou com cláusulas de não uso para novas finalidades, ou com obrigação de oferecer opt-out e avisos reforçados.

Em resumo: não existe um “automático” universal. Mas com a mobilização de autoridades (como reportado pelo The Verge e pela Procuradoria-Geral de Nova York), cresce a chance de que o juiz imponha barreiras ao uso e à revenda dos dados dos usuários, sobretudo de crianças.

Como usar/aplicar (passo a passo): plano de ação para pessoas e empresas

Se você usou ou integrou uma plataforma de personagens de IA, trate o momento como um “exercício ao vivo” de resposta a incidentes de dados. Siga este roteiro.

1) Lista de exposição

Faça um inventário simples: quem usou, quais times, que tipos de informações foram trocadas (pessoais, sensíveis, segredos comerciais). Classifique o risco: baixo (conversas triviais), médio (preferências, hábitos), alto (PI confidencial, dados de clientes, saúde, finanças).

2) Pare de alimentar com dados novos sensíveis

Até haver clareza, desative o uso para temas críticos. Oriente as equipes: nada de briefings estratégicos, contratos, dados pessoais de clientes, códigos privados. Use mensagens padronizadas nos canais internos.

3) Solicite acesso e exclusão

Exerça direitos de acesso, portabilidade e exclusão. Mesmo com a empresa em Chapter 11, você pode abrir ticket de privacidade pedindo cópia e remoção de seus dados dos usuários. Guarde protocolos e comprovantes.

4) Revise contratos e políticas

Se a sua companhia tem contrato (SaaS, Enterprise), cheque cláusulas de término, transferência de controle, auditoria e exclusão de dados. Acione o jurídico para cobranças formais, anexe o inventário de exposição do passo 1.

5) Reduza rastros e memórias

Quando possível, limpe histórico, desabilite “memória” por personagem e revise integrações (ex.: conexões com e-mail, calendários, drives). Quanto menos volume de dados dos usuários, menor o risco de transferência indesejada.

6) Plano B de IA

Para fluxos críticos de atendimento e produtividade, desenhe alternativas: provedores com contratos mais robustos, modelos locais ou camadas de gateway com anonimização. Se o objetivo é manter dados internos, veja nosso guia prático em como rodar IA local em PC fraco e considere construir agentes de ia internos para tarefas repetitivas.

7) Pseudonimize prompts

Implemente “máscaras” automáticas antes dos prompts saírem da sua rede: remova nomes, e-mails, CPFs, CNPJs, números de contrato, endereços, credenciais. Isso permite utilidade sem vazar PII e reduz a sensibilidade dos dados dos usuários.

8) Treinamento e governança

Explique ao time por que “modo privado” não é sinônimo de sigilo absoluto. Crie diretrizes simples: o que pode ir ao prompt, o que nunca pode, como revisar saída, como registrar uso.

9) Segurança e monitoramento

Audite dispositivos, extensões de navegador e integrações que capturam tela, teclado ou dados de app. IA é produtiva, mas amplia a superfície de ataque. Para uma visão prática de defesa, veja nosso conteúdo de IA de cibersegurança.

10) Comunicação com clientes

Se dados de clientes podem ter entrado em conversas, avalie se é necessário notificar (mesmo preventivamente). Uma mensagem transparente preserva confiança e reduz ruído, sem criar pânico nem admitir incidentes que não ocorreram.

Dados dos usuários: quais cenários no tribunal e o que muda para você

Com base no que foi relatado por veículos como The Verge e no comunicado da Procuradoria-Geral de Nova York, o tribunal pode impor salvaguardas. Abaixo, uma leitura prática dos cenários mais comuns e como se preparar:

Cenário de falência	O que tende a acontecer com os dados	Risco para você	O que fazer agora
Venda integral para comprador estratégico	Dados podem ser transferidos como parte do “negócio em continuidade”. Pode haver novas políticas e obrigações impostas pelo tribunal.	Médio a alto, dependendo das salvaguardas.	Pedir exclusão pré-venda; documentar direitos; revisar nova política do comprador.
Venda fatiada (ativos específicos)	Bases podem ser separadas; às vezes sem identificadores, às vezes com restrições de uso.	Variável; risco se identificadores forem mantidos.	Solicitar anonimização forte; exigir opt-out e limites de finalidade.
Reorganização sem venda	Dados permanecem na empresa reestruturada sob planos aprovados pelo tribunal.	Médio; depende de governança interna e fiscalização.	Rever contas, reduzir histórico, negociar garantias contratuais.
Liquidação	Ativos podem ir a múltiplos compradores; backup e logs viram risco extra.	Alto, se não houver ordens restritivas claras.	Maximizar exclusões e provar pedidos antes de alienações.

Vantagens e limitações: por que plataformas de personagens atraem e onde mora o risco

Por que tanta gente usa? Conversas rápidas, sensação de companhia, brainstorming, prática de idiomas, estudo. Para negócios, servem como rascunho de UX, pesquisa de linguagem do cliente e protótipos de atendimento. Mas há limites óbvios:

• Privacidade imperfeita: mesmo com anonimização, logs e memórias podem reidentificar pessoas se mal tratados.
• Alucinações: a IA pode “inventar” fatos; bom para criatividade, ruim para decisões críticas.
• Vazamento involuntário: equipes podem pastejar códigos e planilhas sem checagem; isso vira material de treino ou, no mínimo, de avaliação.
• Risco jurídico: transferência internacional de dados dos usuários sem base legal e proteção adequadas entra em choque com a LGPD.

Conclusão honesta: use com parcimônia para o que não é confidencial; para o que é crítico, internalize (modelo local) ou contrate com acordos e auditorias sérias.

O que as autoridades pedem e como isso influencia o mercado

O movimento das procuradorias estaduais nos EUA sinaliza uma tendência: autoridades querem impedir que conversas íntimas e dados de crianças virem “ativo negociável” sem guardrails. Como relatado pelo The Verge, os procuradores-gerais buscam que o tribunal trate isso como tema de proteção ao consumidor, impondo travas a qualquer comprador.

O comunicado da Procuradoria-Geral de Nova York destaca a preocupação com conteúdo impróprio para menores e com a forma como chatbots teriam se apresentado (como se fossem profissionais licenciados). Se o tribunal atender a esse pedido, abre-se um precedente prático: plataformas que guardam conversas precisarão planejar desde o início o destino dos dados dos usuários em cenários de saída forçada (venda, falência, liquidação).

Para empresas brasileiras, isso reforça um check-list ao selecionar fornecedores de IA conversacional:

• Há cláusulas sobre falência e mudança de controle?
• Existe “botão de exclusão total” auditável?
• Backups e retentivas têm prazos definidos?
• Os dados dos usuários entram em ajuste fino? Dá para desabilitar?
• Há data residency no Brasil ou em jurisdição com garantias equivalentes?

Como reduzir a exposição antes que problemas aconteçam

Um programa enxuto de governança de IA reduz 80% do risco com 20% de esforço:

• Política de prompts: defina o que nunca entra (PII, segredos, contratos) e dê exemplos claros.
• Anônimos por padrão: substitua nomes por IDs voláteis e oculte campos sensíveis.
• Contas empresariais: evite contas pessoais; prefira SSO e logging corporativo.
• Camada de mediação: um proxy interno que intercepta, limpa e registra prompts/respostas.
• Modelo local quando fizer sentido: tarefas internas repetitivas podem rodar em servidores próprios. Comece pequeno (documentos internos) e evolua. Consulte como rodar IA local em PC fraco para provas de conceito.
• Fornecedores alternativos avaliados: se considerar troca, avalie critérios de segurança e privacidade; veja também discussões em deepseek é seguro e orientações em como usar o deepseek para comparar abordagens de uso consciente.

Exemplos hipotéticos para clareza

Exemplo 1, Escola de idiomas: uma escola usou a plataforma para treinar conversação. Alunos compartilharam rotina, humor e bairros. Se os dados dos usuários forem vendidos, um novo operador poderia perfilar faixas etárias e horários. Mitigação: pedir exclusão, trocar provedor por um com “aulas” em servidor dedicado e proibir dados de localização em prompts.

Exemplo 2, Startup de saúde: equipe testou o personagem “coach de bem-estar” e colou trechos de relatórios de nutrição. Se houver transferência de dados, isso abre risco regulatório e reputacional. Mitigação: remoção retroativa, data loss prevention nos navegadores, adoção de modelo local para rascunhos sensíveis.

Exemplo 3, Atendimento ao cliente: time de suporte colava tickets reais para gerar respostas. O inventário revela CPFs e telefones em conversas. Mitigação: bloqueio de campos sensíveis no proxy, reprocessamento dos tickets via ferramenta aprovada e notificação aos clientes se necessário.

Checklist rápido para decisão executiva

• 1. Quais times usaram a plataforma? O que colaram lá?
• 2. Esses conteúdos incluem PII, segredos ou dados de menores?
• 3. Há pedidos de exclusão/documentação já abertos? Falta algo?
• 4. Se o provedor sumir amanhã, qual é o plano B de IA da empresa?
• 5. Quem aprova novos provedores e como audita a privacidade?
• 6. As comunicações com clientes e colaboradores estão preparadas?

Como avaliar um possível comprador e reações em cadeia

Se houver novo dono, reavalie do zero:

• Modelo de negócio: publicidade? venda de dados dos usuários? licença corporativa? O incentivo econômico importa.
• Jurisdicional: onde a empresa e os servidores ficam? Existe canal de DSR (data subject request) funcional para brasileiros?
• Transparência: política clara sobre uso de dados em ajuste fino, opt-out e retenção.
• Controles técnicos: criptografia em repouso e trânsito, segredos isolados, trilhas de auditoria.

Se não houver resposta clara, não aposte “no escuro”. Use provedores auditáveis ou opte por soluções internas. Quando o uso envolver automação mais complexa e persistente, avalie desenvolver agentes de ia sob governança própria.

Relação com tendências maiores da IA

Casos como este mostram que governança virou parte do produto. À medida que surgem recursos mais poderosos e integrados, a superfície de risco cresce. Organizações que já usam automação para navegação, scraping ou manipulação de arquivos devem redobrar cuidado com o que o agente observa e armazena. Quem acompanha recursos avançados em outros ecossistemas pode cruzar este tema com iniciativas como ChatGPT que controla o computador, planejando limites de dados desde o desenho da solução.

LGPD na prática: como seus direitos ajudam agora

A LGPD dá instrumentos práticos, mesmo quando o processamento ocorre fora do Brasil:

• Acesso: peça cópia dos dados dos usuários (conteúdos de chats, metadados, categorias).
• Correção: ajuste informações imprecisas se houver perfis ou preferências associadas.
• Exclusão: solicite apagar dados não necessários ou tratados sem base legal adequada.
• Portabilidade: se quiser migrar para outro serviço, peça em formato estruturado.
• Informação: exija clareza sobre compartilhamentos, transferências internacionais e prazos de retenção.

Organizações devem registrar esses pedidos, responder em prazos razoáveis e provar conformidade (responsabilização). Se o provedor estiver em falência, faça o pedido mesmo assim, o protocolo mostra diligência.

Comunicação com stakeholders: como falar sem gerar pânico

Uma nota curta funciona melhor que silêncio:

• Explique que a empresa monitora o caso e já minimizou a exposição.
• Diga o que foi feito (exclusão, bloqueio, inventário) e o que não se usa mais.
• Compartilhe canal para dúvidas e deixe claro o compromisso com a privacidade.
• Evite tecnicismos; foque no concreto. Ex.: “Não usamos a plataforma para dados bancários” é mais forte que “ativamos controles avançados”.

Como o mercado pode evoluir após esta falência

Três mudanças são prováveis:

1. Políticas de falência mais explícitas: provedores incluirão cláusulas claras sobre destruição ou limitação de uso de dados dos usuários em vendas e reestruturações.
2. Memória sob controle do cliente: opção de memória local ou cofre criptográfico do cliente para reduzir risco de transferência não autorizada.
3. Certificações de privacidade: selos que atestem capacidade de exclusão e gestão de backups, com testes de restauração e de eliminação segura.

Empresas que se moverem antes terão vantagem: menos risco jurídico, menor custo de troca e discurso de confiança mais forte.

Quando a troca de fornecedor vale a pena

Considere migrar se ocorrer qualquer um destes pontos:

• Negativa ou atraso repetido em pedidos de exclusão/portabilidade de dados dos usuários.
• Falta de transparência sobre quem terá acesso após a venda.
• Modelo de negócio baseada em monetização indireta de dados ou publicidade cruzada sem controles.
• Ausência de suporte empresarial, logs e SSO para sua equipe.

Antes de escolher a alternativa, defina critérios objetivos (privacidade, custo total, recursos, latência, suporte). Se possível, pilote soluções internas com escopo limitado; conteúdos sensíveis ficam “em casa”.

Perguntas frequentes (FAQ)

Minhas conversas podem ser vendidas junto com a empresa?

Podem ser incluídas como ativos, mas autoridades estão pedindo salvaguardas para impedir venda irrestrita, especialmente de crianças. Segundo a cobertura do The Verge e o comunicado da Procuradoria-Geral de Nova York, há pressão para impor proteções e limites. Você pode reduzir risco pedindo exclusão e anonimizando seu uso desde já.

Se eu pedir exclusão, a empresa em falência é obrigada a cumprir?

Ela continua sujeita a leis e ordens judiciais. Na prática, pode haver atrasos, mas o pedido cria registro e aumenta a chance de seu dado não ir para um comprador. Guarde protocolos e, se necessário, busque orientação jurídica.

Sou empresa no Brasil. A LGPD me protege mesmo com dados hospedados fora?

Sim, a LGPD se aplica quando há tratamento de dados de indivíduos localizados no Brasil, independentemente do local do servidor. Seus clientes têm direitos (acesso, exclusão, etc.) e você, como controladora, deve demonstrar diligência na escolha de operadores.

Devo parar totalmente de usar IAs conversacionais?

Não necessariamente. O recado é usar com governança: não cole conteúdo sensível, implemente anonimização, prefira contas empresariais e contratos com garantias. Para casos críticos, avalie modelos locais e camadas de mediação.

Quais dados são mais perigosos de manter em histórico?

PII (nome, e-mail, CPF, telefone), dados financeiros, de saúde, segredos industriais, contratos, credenciais e dados de menores. Essas categorias aumentam o dano potencial caso haja transferência ou acesso indevido.

Como saber se um comprador futuro usará meus dados para outras finalidades?

Acompanhe os arquivos do tribunal e anúncios oficiais. Verifique a política do novo controlador e exija mecanismos de opt-out e exclusão. Se a empresa não oferecer clareza, trate como sinal de alerta e migre.

Conclusão: prudência agora evita dores depois

Quando conversas íntimas e preferências viram ativos, cada clique conta. A boa notícia é que dá para agir hoje: pedido de exclusão, redução de histórico, bloqueio de dados sensíveis, contratos melhores e um plano B de IA. Com a pressão de procuradores-gerais descrita pela reportagem do The Verge e com o posicionamento oficial da Procuradoria-Geral de Nova York, cresce a chance de salvaguardas judiciais. Ainda assim, a responsabilidade final é sua: minimize a exposição, planeje alternativas e trate os dados dos usuários como patrimônio que precisa de proteção permanente.

Observação final: este conteúdo é educativo e não substitui aconselhamento jurídico. Em casos concretos, consulte advogados especializados em proteção de dados e contratos de tecnologia.

Fontes

• https://www.theverge.com/policy/1011417/new-york-ag-characterai-bankruptcy
• https://ag.ny.gov/press-release/2026/attorney-general-james-urges-court-protect-children-and-consumers-characterai
• https://www.mass.gov/news/ag-campbell-seeks-consumer-protections-in-characterai-bankruptcy
• https://www.reuters.com/business/us-states-seek-childrens-data-protections-characterai-bankruptcy-2026-10-14/
• https://www.cnbc.com/2026/10/13/character-ai-chapter-11-disney-bid.html

Conteúdo informativo, verificado em 15/10/2026.