Funcionário saiu da empresa: o que fazer com a conta de IA, o histórico e as chaves de API (e o que a LGPD exige)

Resposta rápida

Quando um funcionário é desligado, a conta de IA dele precisa de três decisões no mesmo dia: cortar o acesso (assento, login único e chaves de API), exportar o que pertence à empresa (projetos, arquivos e conversas de trabalho) e definir por quanto tempo o resto do histórico fica guardado. Remover o assento não apaga nada: nas ferramentas que conferi, os dados continuam existindo e o administrador ainda consegue exportá-los. Pela LGPD (art. 16), o que não tiver uma obrigação legal ou uma finalidade clara para ficar deve ser eliminado ou anonimizado. A regra prática que eu uso é a seguinte: acesso cai na hora, o que é trabalho vai para a empresa em até uma semana, e o histórico tem prazo de guarda escrito numa tabela que o jurídico aprovou.

Sou o Danilo Gato, fundador da CPDF (Comunidade Profissionais do Futuro - por Danilo Gato), e ajudo empresas a colocar IA para funcionar no dia a dia. A parte do desligamento quase sempre fica de fora do projeto, e é ali que o risco aparece. Este texto é o par do onboarding com IA: lá a gente entrega a conta, aqui a gente recolhe.

Por que a conta de IA de quem saiu é um risco diferente da de outros sistemas

Uma conta de e-mail desligada deixa de receber mensagens. Uma conta de IA de trabalho guarda o que a pessoa colou lá dentro durante meses: trechos de contrato, planilhas de cliente, código, ata de reunião. Além disso, ela costuma ter conectores (Google Drive, Slack, CRM) e, em alguns casos, chaves de API criadas pela própria pessoa.

Os números ajudam a dimensionar o problema. Segundo o relatório Cost of a Data Breach 2025, da IBM em parceria com o Ponemon Institute, 97% das organizações que reportaram um incidente ligado a IA não tinham controles de acesso adequados para essas ferramentas. O acesso esquecido de quem saiu é o exemplo mais comum desse furo.

O que cai no mesmo dia: a lista de acessos

Faça esta lista no dia do desligamento, na ordem em que o risco é maior:

Item	O que fazer	Quem faz
Login único (SSO) ou provedor de identidade	Desativar o usuário no provedor primeiro. Se a empresa usa SCIM, é aqui que a remoção nasce	TI
Assento da ferramenta de IA	Remover o membro do plano (Claude Team ou Enterprise, ChatGPT Business ou Enterprise, Copilot)	Admin da ferramenta
Chaves de API	Revogar as chaves criadas pela pessoa e trocar as que ela conhecia	TI ou desenvolvimento
Conectores e integrações	Desconectar Drive, e-mail, CRM e repositórios autorizados pela conta dela	Admin da ferramenta
Conversas e projetos compartilhados	Transferir a propriedade antes de remover (veja a próxima seção)	Gestor da pessoa
Contas pessoais usadas para trabalho	Pedir por escrito a eliminação do que for da empresa e registrar a resposta	RH e jurídico

A ordem importa por um motivo simples. Se você remove o assento antes de desativar o usuário no provedor de identidade, a ferramenta pode provisionar a pessoa de novo. A própria Anthropic avisa isso na página de ajuda do Claude: com SCIM, remova o usuário no provedor de identidade primeiro.

O que acontece com as conversas e os projetos quando o assento é removido

Conferi as páginas oficiais de ajuda em 17/10/2026. Os comportamentos mudam de ferramenta para ferramenta, e mudam de plano para plano.

Claude (Team e Enterprise). Remover o membro não apaga a conta nem os dados. Os outros membros perdem o acesso às conversas dele, inclusive aos links compartilhados dentro da organização. Projetos privados também somem para os demais. O Primary Owner continua conseguindo exportar os dados da pessoa removida, e se ela voltar com o mesmo e-mail o histórico reaparece. No Enterprise, as regras de retenção que a empresa configurou continuam valendo. Para apagar de verdade, o Owner precisa pedir ao suporte da Anthropic, e a exclusão é permanente. Por isso, exporte antes.

ChatGPT (Enterprise e Edu). O acesso ao workspace é cortado na hora. Os projetos e os GPTs criados pela pessoa passam para um dono do workspace e não são marcados para exclusão. As conversas e os arquivos dela, por outro lado, não são transferidos nem ficam visíveis para o dono, e o destino deles segue a política de retenção do workspace. A página que li trata de Enterprise e Edu, então para o plano Business confirme com a documentação da OpenAI antes de assumir o mesmo comportamento.

O que isso significa na prática: o que fica com a empresa é o que estava em projeto compartilhado ou foi transferido antes da saída. Conversa solta numa conta individual pode ficar inacessível para a empresa, ou pode continuar existindo sem que ninguém a gerencie. Por isso o passo de transferência vem antes da remoção, e não depois.

O que a empresa pode guardar e por quanto tempo

Aqui entra a LGPD. O artigo 16 diz que os dados pessoais devem ser eliminados quando o tratamento termina. A conservação é a exceção, e uma das hipóteses permitidas é o cumprimento de obrigação legal ou regulatória pelo controlador (inciso I).

Para ex-funcionário, isso se desdobra em três grupos:

1. Dados com guarda obrigatória. Documentos de contrato, rescisão e folha seguem os prazos da legislação trabalhista, previdenciária e fiscal. Não dependem da conta de IA.
2. Material de trabalho da empresa. Projetos, minutas, análises e arquivos produzidos para o negócio. Pertencem à empresa e entram na base de conhecimento (veja o artigo sobre base de conhecimento da empresa para IA).
3. Conversas com dado pessoal do ex-funcionário. Perguntas pessoais, rascunhos de currículo, assunto de saúde ou família que ele tenha digitado numa conta corporativa. A empresa não tem finalidade para manter isso, e a regra é eliminar ou não acessar.

Um ponto que costuma gerar dúvida: o prazo de prescrição trabalhista é de cinco anos durante o contrato e de dois anos depois da extinção, conforme o art. 7º, XXIX, da Constituição. Algumas empresas usam esse prazo para justificar a guarda de registros de acesso e de atividade ligados ao trabalho. A conta é: se existe um motivo jurídico concreto para guardar, o prazo fica escrito e o acesso fica restrito a quem precisa. Se não existe motivo, a guarda indefinida do histórico inteiro vira passivo. A definição do prazo exato é uma decisão com o jurídico da empresa, e não substitui orientação de advogado trabalhista.

Como montar o procedimento em uma página

Este é o modelo que eu passo para as empresas que atendo:

1. Antes da saída (RH avisa a TI): o gestor lista os projetos e as conversas de trabalho que precisam ficar, e a pessoa transfere a propriedade enquanto ainda tem acesso.
2. Dia da saída: desativar no provedor de identidade, remover o assento, revogar chaves e conectores. Registrar quem fez e a hora.
3. Até 7 dias: exportar o que a política manda guardar, com acesso restrito a duas ou três pessoas.
4. Até 30 dias: eliminar ou anonimizar o histórico que não tem finalidade, e anotar a data na tabela de retenção.
5. Conta pessoal usada para trabalho: pedir a eliminação do material da empresa, por escrito, e guardar a resposta. Se algo sensível foi colado lá, siga o roteiro das primeiras 24 horas em funcionário colou dado da empresa numa IA pessoal.

Quem ainda não tem política de uso de IA vai sentir falta dela neste momento. O modelo está em política de uso de IA na empresa, e o checklist que a TI costuma pedir está em checklist de segurança para liberar IA na empresa.

Perguntas frequentes

Posso ler as conversas de IA de um funcionário desligado?

Tecnicamente, em alguns planos o dono da organização consegue exportar os dados. Juridicamente, a leitura precisa de uma finalidade (investigar um incidente, recuperar um trabalho) e de um responsável definido. Leitura por curiosidade, ou por qualquer pessoa da equipe, é o caminho para um problema com a LGPD e com o próprio ex-funcionário. Se o objetivo é recuperar trabalho, procure em projetos e arquivos antes de abrir conversas.

Remover o assento apaga as conversas?

Nas ferramentas que conferi, não. No Claude, a remoção não apaga conta nem dados, e o Owner ainda exporta. No ChatGPT Enterprise, o destino das conversas segue a política de retenção do workspace. Para apagar de fato é preciso um pedido de exclusão ou uma política de retenção configurada.

E se o funcionário usava a conta pessoal para trabalhar?

A empresa não tem como fechar uma conta pessoal. O que ela pode fazer é pedir por escrito que o material da empresa seja eliminado, registrar a resposta e revisar a regra de uso de IA para que isso não se repita. A prevenção é liberar uma conta corporativa antes que a pessoa precise de uma por fora.

E as chaves de API que ele criou?

Revogue todas no dia, e troque qualquer chave que ele conhecia, mesmo as que não foram criadas por ele. Chave de API não aparece na lista de assentos, então ela só entra no procedimento se alguém a colocar lá. Faça um inventário das chaves ao menos a cada trimestre.

Quanto tempo a empresa pode guardar o histórico?

Depende da finalidade e de cada tipo de dado. Documentos trabalhistas têm prazos próprios na lei. Para o histórico de conversas, a regra segura é guardar apenas o que tem um motivo escrito, pelo menor prazo possível, e eliminar o resto. Defina isso com o jurídico e registre numa tabela de temporalidade.

Preciso avisar o ex-funcionário sobre o que foi feito com os dados?

Ele tem direitos de titular previstos na LGPD, como pedir informação sobre o tratamento e a eliminação de dados desnecessários. Se você tem o procedimento documentado, responder fica simples. Sem documento, a resposta vira improviso.

O que levar daqui

O desligamento é o teste real da sua governança de IA. Se o acesso cai no mesmo dia, o que é trabalho já está em projeto compartilhado e o prazo de guarda está escrito, a empresa passa por uma saída de funcionário sem susto. Para o contexto mais amplo, vale ler também IA e LGPD: como usar inteligência artificial na empresa sem riscos.

Nota de transparência: o autor, Danilo Gato, é fundador da CPDF. Este texto traz informações de documentação pública das ferramentas citadas, conferida em 17/10/2026, e não substitui orientação jurídica.