Auditor fiscal pode usar ChatGPT com dados de contribuintes?

Usar a ferramenta não é entregar o dado

No dia a dia da fiscalização, uma coisa é abrir o ChatGPT para escrever um ofício, entender um dispositivo da LC 214/2025 ou montar a fórmula que resolve uma planilha. Outra, bem diferente, é colar ali dentro o extrato da DIMP, a declaração do PGDAS-D, a listagem da NFS-e do padrão nacional ou o cadastro imobiliário com nome, documento e valor. Na primeira situação nenhuma informação protegida saiu do lugar. Na segunda houve entrega: o conteúdo colado passou a ser processado por uma empresa privada, quase sempre sediada nos Estados Unidos, que decide sozinha o que fazer com ele.

Três destinatários mantêm a informação dentro do círculo protegido: os sistemas do próprio município, o fornecedor contratado com cláusulas de sigilo e vedação de uso próprio, e a outra administração tributária que recebe por processo formal, na forma dos arts. 198, § 2º, e 199 do CTN. O que existe em comum entre os três é um instrumento que a prefeitura consegue exibir e fazer valer contra quem recebeu o dado. Daí sai a regra prática: a conta que o servidor abriu com o e-mail dele fica de fora não por ser inteligência artificial, e sim porque ninguém do outro lado deve satisfação ao município. Uma exceção precisa ficar registrada: na NFS-e do padrão nacional a vedação convencional alcança até o fornecedor contratado, e a saída é consulta formal à Receita Federal, não interpretação do próprio município.

Não existe proibição de usar inteligência artificial na fiscalização, e a secretaria que veta tudo perde produtividade real e empurra o uso para fora da vista de qualquer controle. Existe, sim, uma linha nítida: enquanto não houver dado de contribuinte na tela, o servidor está livre, e a norma interna deveria dizer isso com todas as letras, no mesmo documento em que descreve o que é vedado.

O que o art. 198 chama de divulgação

O art. 198 do CTN proíbe a Fazenda Pública e cada um dos seus servidores de divulgar, na letra do dispositivo, “informação obtida em razão do ofício sobre a situação econômica ou financeira do sujeito passivo”. Duas leituras costumam faltar. A primeira: o dever alcança o servidor em nome próprio, e não apenas o órgão. A segunda: o que a norma protege é largo, porque abrange faturamento declarado, movimentação por meios de pagamento, tomadores de serviço, valor venal do imóvel e a própria lista de inscritos no cadastro. Apagar o CPF das pessoas físicas não libera a informação da empresa, que continua protegida do mesmo jeito.

Divulgar, nesse contexto, não significa fazer o dado passar por equipamento de terceiro. Se fosse isso, estariam proibidos o e-mail institucional em nuvem, o sistema tributário hospedado em datacenter privado e praticamente toda a informática contratada por prefeitura. O que a norma alcança é a saída do dado do círculo protegido, e essa saída acontece quando quem recebe não deve nada a ninguém e usa o conteúdo para os próprios fins. Na ADI 7.276 o Supremo manteve a sistemática da DIMP justamente porque o dado chega ao município já carregando o dever de guardá-lo, mesma leitura que valeu para o acesso do Fisco a dados bancários (Tema 225) e para o repasse de informação a órgãos de persecução penal (Tema 990). O município guarda informação alheia, não patrimônio próprio.

Some-se a isso o art. 26, § 1º, da LGPD, que veda ao Poder Público repassar a entidade privada dados pessoais das bases a que tem acesso, salvo, entre pouquíssimas hipóteses, quando existe contrato ou instrumento equivalente. E, se a informação veio da NFS-e do padrão nacional, há ainda a cláusula nona do convênio de 2022, cujo parágrafo único proíbe transferir esses dados a terceiros a título oneroso ou gratuito. Subir um arquivo dessa base numa ferramenta de consumidor é exatamente uma transferência gratuita a terceiro, e o acesso do município à base depende da adesão a esse convênio. Repare no desenho da lei: o CTN exige processo instaurado e instrumento formal até para entregar dado a outro órgão público brasileiro; é insustentável imaginar que o mesmo dado possa seguir sem instrumento algum para uma empresa no exterior.

Conta paga e plano corporativo não mudam o regime

O que muda a situação jurídica é a existência de um instrumento assinado, não o valor da mensalidade. Nas contas de consumidor, os próprios termos dizem o tamanho do problema, nas versões verificadas em agosto de 2026: o ChatGPT Free, Plus e Pro treina com o conteúdo por padrão, não oferece contrato de tratamento e elege foro na Califórnia; o Gemini em conta pessoal, com a atividade ligada, usa o conteúdo para treinar, submete parte das conversas a revisores humanos, inclusive prestadores, retém por dezoito meses e guarda por até três anos o que foi revisado, sem que a assinatura paga altere nada disso; no Claude de consumidor o treinamento passou a ser padrão em agosto de 2025, com retenção de até cinco anos para quem autoriza; no Copilot de consumidor o usuário brasileiro está fora do treinamento, mas a retenção é de dezoito meses e a leitura por pessoas na apuração de abuso não pode ser recusada. A página de suporte do Google chega a avisar, com todas as letras, para não digitar ali o que não se quer ver revisado. Nenhum desses produtos processa em território brasileiro, e vale ser exato quanto ao peso disso: a LGPD não obriga a manter o dado no país, ela admite a transferência internacional desde que amparada em uma das garantias do art. 33, que para fornecedor sediado nos Estados Unidos significa, na prática, as cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024. Processar fora não é vício em si; é fator de risco, porque aproxima o dado de ordens de autoridade estrangeira, e é critério que o município pode exigir de quem contrata.

Apagar a conversa depois também não encerra o assunto. No Gemini pessoal, o que foi separado para revisão humana permanece guardado mesmo depois de o usuário excluir a atividade: some o histórico visível, não a cópia retida. E o prazo prometido em termos de uso é política interna, não garantia. No processo do The New York Times contra a OpenAI, a Justiça americana mandou preservar registros que seriam apagados e, em novembro de 2025, alcançou uma amostra de vinte milhões de conversas de contas comuns, do período entre dezembro de 2022 e novembro de 2024, entregue desidentificada e sob ordem de proteção. O que interessa à prefeitura continua de pé: a promessa de apagar em trinta dias ficou suspensa por meses, por decisão de um juízo estrangeiro, sem aviso ao titular e sem que houvesse o que fazer a respeito.

Já o plano corporativo entrega o arranjo técnico correto, sem treinamento por padrão e com contrato de tratamento disponível, mas nada disso vale automaticamente para a Administração. Comprar no cartão da secretaria e empenhar a nota não cria contratação: falta o processo, falta o instrumento firmado em nome do município, falta a comunicação do art. 26, § 2º, à autoridade e faltam as cláusulas-padrão contratuais que sustentam o envio ao exterior. Nenhum desses quatro itens vem junto com a licença, e o servidor que clica em “aceito” não obriga o ente a coisa alguma. Some-se o atrito com a Lei 14.133/2021, cujo art. 92, § 1º, pede foro na sede da Administração, enquanto o termo de consumidor aponta para tribunal estrangeiro. O plano corporativo resolve a engenharia; o processo quem resolve é a prefeitura.

O que já dá para fazer, e o que o servidor arrisca

Há bastante coisa liberada desde hoje, sem pedir autorização a ninguém: redigir e revisar textos administrativos, pesquisar e comparar legislação, construir fórmulas e consultas, desenhar roteiro de auditoria, confrontar a redação de duas leis municipais de ITBI antes de propor a alteração da sua. Para testar cruzamento e análise, monte uma amostra fictícia com a mesma estrutura da base real. Mascarar identificador de base municipal raramente anonimiza de verdade, porque poucos contribuintes dividem o mesmo porte, a mesma atividade e a mesma localização, e a reidentificação fica trivial. Evite também criar conta em plataforma externa com e-mail ou credencial da prefeitura, ponto em que o Guia da Secretaria de Governo Digital é direto. Se a ferramenta faz falta no trabalho com dado real, o pedido certo é por escrito, à chefia, ao encarregado de dados e à Procuradoria, para que exista alternativa homologada e norma local dizendo o que pode.

A exposição pessoal é maior do que a percepção corrente na repartição sugere. O caminho costuma ser este: alguém denuncia, a trilha de acesso ao sistema é auditada ou o próprio contribuinte descobre para onde foram seus números, e abre-se a sindicância. Dali em diante o fato é lido por dois tipos penais. O art. 325 do Código Penal, violação de sigilo funcional, prevê detenção de seis meses a dois anos, ou multa, e alcança também quem se vale indevidamente do acesso restrito. O art. 153, § 1º-A, que pune a divulgação, sem justa causa, de informação sigilosa, esteja ela ou não nos sistemas da Administração, prevê detenção de um a quatro anos, além de multa, e a planilha já exportada da base está dentro do tipo. O enquadramento depende do elemento subjetivo e do desvio de finalidade do acesso, e há bom argumento para quem só queria trabalhar mais rápido, mas esse debate só se trava com o procedimento já instaurado, e a tese de que ninguém pretendia revelar nada convive mal com o aviso que o próprio fornecedor exibe na tela. O mesmo processo apura a revelação de segredo do cargo, que os estatutos colocam entre as infrações mais graves, e o que o art. 32, IV, da Lei de Acesso à Informação trata como conduta ilícita. Havendo dano, quem indeniza o contribuinte é o município, que depois cobra do servidor em regresso; e a improbidade, que exige dolo específico de obter proveito, fica longe de quem buscava eficiência e perto de quem insiste após advertência formal.

A chefia que descobre o uso também passa a ter obrigação própria. Base protegida inserida em ferramenta não homologada é evento a ser avaliado como incidente pelo art. 48 da LGPD, com o prazo de três dias úteis fixado pela Resolução CD/ANPD nº 15/2024 para comunicar a autoridade e os titulares quando o caso exigir, e ficar parado diante do que já se sabe vira descumprimento autônomo. Contra o município, a LGPD prevê bloqueio da base, suspensão do tratamento e publicização da infração, medidas que doem mais do que multa: base fiscal bloqueada é lançamento, cobrança e fiscalização parados. Por isso o levantamento do uso já ocorrido precisa ser feito sem clima de punição, ou ninguém conta o que fez.

Checklist prático

Fontes oficiais consultadas