IA generativa e sigilo fiscal: o que a administração tributária municipal pode e não pode fazer

• A licitude do uso de IA generativa não depende da ferramenta, mas do destinatário do dado: a informação fiscal só circula licitamente dentro da esfera do dever de sigilo, formada pelos sistemas do próprio ente, pelos operadores contratados com garantias formais e pelo intercâmbio entre Fazendas.
• Conta pessoal, gratuita ou paga, está fora dessa esfera: o fornecedor trata o conteúdo para finalidades próprias, com treinamento de modelos, revisão humana e retenção que pode chegar a anos e ceder a ordens judiciais estrangeiras.
• Assinatura corporativa só muda o quadro quando acompanhada de contratação formal pelo Município, com adendo de tratamento de dados e cláusulas-padrão da ANPD; sem ela, o vício permanece.
• O uso sem dado protegido é livre e desejável: a proibição indiscriminada desperdiça produtividade e empurra a prática para a clandestinidade, onde nenhum controle alcança.
• O artigo completo, em PDF, traz a análise dos termos de uso de OpenAI, Google, Anthropic e Microsoft, o quadro comparativo por produto, a matriz de licitude em seis cenários e a rota de governança em três fases.

Esta análise parte da nota técnica original indicada abaixo. O PDF fica disponível para conferência integral do texto-base, autoria e base legal usada na leitura editorial.

A pergunta certa não é sobre a ferramenta, é sobre o destinatário do dado

Auditores fiscais já usam ChatGPT, Gemini, NotebookLM e ferramentas congêneres para resumir relatórios, cruzar planilhas, redigir minutas e explorar bases de dados. Cursos e capacitações estimulam esse uso, muitas vezes com exercícios sobre dados reais de contribuintes: extratos da DIMP, declarações do PGDAS-D, documentos da NFS-e do padrão nacional, cadastros imobiliários e lançamentos de IPTU.

A pergunta que costuma ser feita, “posso usar inteligência artificial?”, está mal posta. Usar IA não é o mesmo que entregar dados. Há modalidades de uso que não envolvem dado protegido algum e são plenamente legítimas, e há modalidades que consistem, na sua essência jurídica, em entregar informação sigilosa a uma empresa privada estrangeira que a tratará para finalidades próprias.

O art. 198 do Código Tributário Nacional veda a divulgação, pela Fazenda Pública ou por seus servidores, de informação obtida em razão do ofício sobre a situação econômica ou financeira do sujeito passivo. O Supremo Tribunal Federal, ao validar o acesso do Fisco a dados bancários (Tema 225), o compartilhamento com órgãos de persecução penal (Tema 990) e a sistemática da DIMP (ADI 7.276), fixou a chave de leitura: o que ocorre nesses fluxos é traslado do dever de sigilo, não quebra. O dado fiscal chega ao Município acompanhado do dever de sigilo, e o servidor é depositário, não proprietário, da informação.

Disso resulta um teste operacional simples, aplicável antes de submeter qualquer informação a uma ferramenta: o destinatário do dado está obrigado a guardar o sigilo por instrumento que o Município possa exibir e fazer valer? Sistemas próprios, operador contratado com cláusulas de sigilo e intercâmbio formal entre Fazendas estão dentro da esfera. A conta pessoal de um fornecedor estrangeiro, não.

O que os termos de uso realmente dizem sobre retenção e revisão humana

A dúvida que motivou o estudo partia da hipótese de que os sistemas retêm os dados apenas temporariamente. A análise dos termos de uso, políticas de privacidade e contratos de tratamento de OpenAI, Google, Anthropic e Microsoft, nas versões vigentes em 23 de agosto de 2026, mostra que essa hipótese é generosa com os fornecedores.

Em 2025, no litígio movido pelo The New York Times contra a OpenAI, a Justiça norte-americana determinou a preservação de todos os registros que de outro modo seriam excluídos e, depois, a produção de vinte milhões de conversas de contas de consumidor. Durante meses, a política de exclusão em trinta dias simplesmente não valeu. O prazo de retenção anunciado nos termos de uso é política interna, derrogável por ordem judicial de outra jurisdição, sem aviso ao titular e sem que o Município disponha de meio algum de resistência.

Tampouco a exclusão pelo usuário encerra o ciclo de vida do dado, e a leitura por pessoas nem sempre pode ser recusada. Sigilo fiscal e revisão de conteúdo por terceiros são conceitos incompatíveis.

• Gemini em conta pessoal: conteúdo usado para treinar modelos, revisão por humanos (inclusive prestadores de serviço), retenção padrão de 18 meses e de até 3 anos para conversas revisadas, mesmo que o usuário exclua a atividade. A assinatura paga não altera esse regime.
• ChatGPT em conta de consumidor (Free, Plus e Pro): treinamento por padrão, sem contrato de tratamento de dados e sem residência de dados, com foro na Califórnia.
• Claude em conta de consumidor: treinamento por padrão desde agosto de 2025, com possibilidade de recusa; quem autoriza tem os dados retidos por até 5 anos.
• Copilot de consumidor: usuários no Brasil excluídos do treinamento, mas retenção de 18 meses e revisão humana obrigatória, sem recusa, na apuração de suspeita de abuso.
• Planos corporativos e APIs: vedação de treinamento e contrato de tratamento disponíveis, mas nenhum produto de consumidor processa no Brasil, e nos corporativos a residência de armazenamento não se confunde com residência de inferência.

Conta pessoal, assinatura corporativa e contratação formal: o rótulo do plano não define o regime

A LGPD aplica-se integralmente ao Poder Público, e o art. 26, § 1º, veda ao ente transferir a entidades privadas dados pessoais de bases a que tenha acesso, ressalvada, entre poucas hipóteses, a transferência respaldada em contrato, convênio ou instrumento congênere. A distinção técnica que decide o problema é a posição do fornecedor: operador é quem trata dados em nome do controlador e segundo suas instruções; quem define finalidades próprias para o conteúdo recebido, como treinar modelos, é controlador.

O uso de conta pessoal não é a contratação de um prestador. É a transferência de dados do Poder Público a uma entidade privada que os tratará para fins próprios, exatamente a operação que a lei proíbe. E há dois obstáculos autônomos: a transferência internacional sem cláusulas-padrão da ANPD, já que não existe decisão de adequação para os Estados Unidos, e o Marco Civil da Internet, que impõe o respeito à lei brasileira mesmo ao provedor sediado no exterior.

A assinatura corporativa oferece, em regra, o regime técnico adequado, sem treinamento por padrão e com adendo de tratamento de dados disponível. Esse regime, porém, não produz efeito jurídico automático. Se o ente adquire assinaturas por adesão eletrônica, com cartão corporativo ou nota de empenho, sem processo de contratação, sem adendo firmado em seu nome e sem comunicação à ANPD, o vício permanece: o instrumento exigido pela lei não se presume do pagamento. A assinatura corporativa é condição necessária, mas não suficiente.

Vale desfazer um equívoco comum: a LGPD não exige que os dados sejam processados em território brasileiro. A localização no Brasil não é requisito legal, mas é diferencial de mitigação de risco que o Município pode exigir na contratação. E, mesmo com dado anonimizado quanto às pessoas naturais, a informação da pessoa jurídica permanece sob o art. 198 do CTN; para análises e testes, o caminho seguro é o dado sintético, não o dado real mascarado.

Seis cenários de uso e uma matriz de licitude

O uso de IA na rotina de uma Secretaria de Finanças não é uma situação única, e sim um conjunto de situações juridicamente distintas, cuja licitude varia caso a caso. O artigo organiza a prática em seis cenários, do mais frequente ao mais seguro.

• Cenário A, conta pessoal (gratuita ou paga) com dado fiscal identificado: vedado. Viola o art. 198 do CTN, o art. 26, § 1º, da LGPD e, quando o dado vem da NFS-e do padrão nacional, a cláusula nona do convênio, que proíbe a transferência a terceiros a título oneroso ou gratuito. Não se regulariza por termo de responsabilidade individual, configuração de privacidade ou exclusão posterior da conversa.
• Cenário B, assinatura (inclusive corporativa) sem contratação formal de tratamento: irregular. O pagamento não supre o instrumento exigido pela LGPD, e a aquisição sem processo contraria a Lei nº 14.133/2021. A correção natural é migrar para o cenário C.
• Cenário C, solução corporativa contratada, com adendo de tratamento de dados, cláusulas-padrão da ANPD, vedação de treinamento, retenção controlada e trilhas de auditoria: admissível sob condições cumulativas. Para a NFS-e nacional, a literalidade do convênio alcança até o cenário contratado, e a via adequada é a consulta formal à Receita Federal.
• Cenário D, dados anonimizados, sintéticos ou agregados: admissível, desde que a anonimização seja verificada, não presumida. Em bases municipais, mascarar o identificador e manter valor, atividade e localização normalmente não anonimiza.
• Cenário E, uso sem qualquer dado protegido (redação, pesquisa de legislação, fórmulas, roteiros de auditoria): livre e recomendável. Deve constar expressamente da norma interna como permitido.
• Cenário F, solução interna ou em infraestrutura sob controle público: arquitetura preferencial. Para municípios de pequeno e médio porte, consórcio público e adesão a soluções compartilhadas são o caminho realista.

As orientações oficiais já convergem, mesmo sem lei geral de IA

Não há, em agosto de 2026, lei geral de inteligência artificial em vigor no Brasil: o PL nº 2.338/2023 aguarda parecer na Câmara dos Deputados. A ausência de marco específico não cria vazio normativo; cria o contrário, pois na falta de norma especial aplicam-se integralmente o CTN, a LGPD, a Lei de Acesso à Informação, o Código Penal e as cláusulas dos convênios.

As orientações já editadas convergem sem exceção relevante. O Guia de IA Generativa da Secretaria de Governo Digital orienta a não inserir dados pessoais de cidadãos nem informações internas em ferramentas que não sejam solução aprovada e a não usar credenciais institucionais para criar contas em plataformas externas. O Tribunal de Contas da União define ChatGPT e Gemini nominalmente como plataformas externas não aprovadas e sujeita o descumprimento a medidas disciplinares. A Controladoria-Geral da União adota orientação equivalente.

A Resolução CNJ nº 615/2025 veda o uso de modelos de linguagem privados para processar dados sigilosos, salvo anonimização na origem, e exige que o fornecedor não trate os dados para treinamento. A Receita Federal editou a Portaria RFB nº 647/2026, estruturada em supervisão humana, rastreabilidade e responsabilidade. E o precedente diretamente municipal é a Portaria SF nº 22/2026, da Secretaria Municipal da Fazenda de São Paulo, que restringe dados pessoais e fiscais a sistemas sob controle da Secretaria ou formalmente contratados e veda a decisão administrativa final tomada de forma autônoma por sistema de IA.

Responsabilidades do servidor e do Município

A exposição pessoal do servidor é maior do que a percepção corrente sugere. No plano penal, o art. 325 do Código Penal tipifica a violação de sigilo funcional e o art. 153, § 1º-A, a divulgação de informações sigilosas contidas nos sistemas da Administração. No plano disciplinar, os estatutos classificam a revelação de segredo do cargo entre as infrações mais graves, e a Lei de Acesso à Informação qualifica como ilícita a divulgação de informação sigilosa ou pessoal. No plano civil, o Município responde ao contribuinte lesado e exerce regresso contra o servidor.

O Município sujeita-se às sanções da LGPD aplicáveis ao Poder Público: advertência, publicização da infração, bloqueio e eliminação de dados e suspensão do tratamento. Seria um erro medir esse risco pela inaplicabilidade da multa: o bloqueio de uma base fiscal paralisa lançamento, cobrança e fiscalização. E, conhecida a inserção de base protegida em ferramenta não homologada, incide o dever de comunicar o incidente à ANPD e aos titulares em três dias úteis.

Uma palavra sobre cursos e capacitações: o problema não está na técnica ensinada, mas no ambiente em que se pratica. O curso que ensina a construir análises fiscais com dados sintéticos ou em solução homologada é irrepreensível; o que instrui o servidor a exportar a base real e colá-la em ferramenta de consumidor está ensinando a praticar o cenário A, e o certificado não funciona como excludente de responsabilidade.

Uma rota de governança em três fases

A adaptação deve ocorrer em fases, porque as providências têm graus distintos de urgência e complexidade. A primeira fase, de contenção e esclarecimento, é executável de imediato e sem custo relevante: comunicação interna dizendo com igual clareza o que é vedado e o que permanece permitido, levantamento sem caráter punitivo do uso já ocorrido, vedação do uso de e-mail e credenciais institucionais em plataformas externas e condicionamento das capacitações a dados fictícios ou ambiente homologado.

A segunda fase, de normatização e alternativa, compreende ato normativo local (a Portaria SF nº 22/2026 e a Resolução CNJ nº 615/2025 oferecem modelos maduros), envolvimento formal do encarregado de proteção de dados e da Procuradoria, relatório de impacto antes da contratação e, sobretudo, uma alternativa homologada, ainda que de escopo modesto: proibição sem alternativa não elimina o uso, apenas o torna invisível e inauditável.

A terceira fase é estrutural: avaliar as três arquiteturas viáveis, em ordem crescente de proteção (solução corporativa contratada de fornecedor global, nuvem com processamento em região brasileira e infraestrutura sob controle público), instituir capacitação obrigatória sobre sigilo fiscal e proteção de dados e revisar periodicamente o ato normativo, porque os termos dos fornecedores mudam e a agenda regulatória da ANPD avança.

O ponto de partida do planejamento não é a escolha da ferramenta, que é decisão de mercado e muda com ele. É um inventário jurídico: levantar quais instrumentos o Município possui, hoje, capazes de vincular ao dever de sigilo cada destinatário de seus dados fiscais. Enquanto esse inventário estiver vazio, a única posição compatível com o art. 198 do CTN é não entregar o dado.

Por onde começar na sua prefeitura

Perguntas frequentes

Fontes consultadas