Um comercial mostra-te um diapositivo com a palavra «Enterprise» em maiúsculas, um cadeado e três logótipos de certificações. Concluis que os teus dados estão cobertos e assinas. É o momento exato em que a maioria das empresas europeias assume um risco legal que não avaliou. Porque «enterprise» é uma etiqueta de marketing, não uma cláusula de contrato —e o RGPD não se cumpre com um selo, cumpre-se com uma arquitetura.
IA generativa e RGPD: porque o selo «enterprise» não te protege
O RGPD aplica-se-te desde o primeiro minuto, e aplica-se a ti, não ao teu fornecedor. És tu o responsável pelo tratamento: se metes dados pessoais dos teus clientes ou da tua equipa numa ferramenta de IA generativa, a lei espera que saibas onde acabam esses dados, quem os trata e com que garantias. O fornecedor é, na melhor das hipóteses, o teu subcontratante —e só o é de verdade se houver um contrato que o diga. A etiqueta «enterprise» descreve um plano de preços; não descreve o que acontece ao teu dado assim que sai da tua organização.
A distinção importa porque as coimas não são teóricas. O artigo 83.º do RGPD prevê sanções até 20 milhões de euros ou 4% do volume de negócios anual global, consoante o valor mais elevado, para as infrações mais graves. Ninguém te multa por usares IA; podem multar-te por tratares dados pessoais sem base legal, sem contrato de subcontratação, ou por os transferires para fora do Espaço Económico Europeu sem garantias. Um cadeado num diapositivo não cobre esse risco.
O que o teu fornecedor não te conta (e tu também não perguntas)
Não é que mintam. É que as perguntas incómodas não saem na demo, e tu também não as fazes porque a palavra «enterprise» já te tranquilizou. Estas são as que ficam sem resposta:
- Onde são armazenados e tratados fisicamente os meus dados? Na UE, ou nos Estados Unidos com «medidas equivalentes»?
- O fornecedor treina os seus modelos com o que lhe envio? Em que plano exatamente deixa de o fazer, e como o verifico?
- Quanto tempo retém os meus dados, e quem os pode ler durante esse tempo (incluindo revisores humanos por «abuso»)?
- Que subcontratantes há por baixo? Um fornecedor de IA raramente trata sozinho: há alojamento, logging, monitorização, e cada um é outra empresa que toca no teu dado.
- Há um contrato de subcontratação (DPA) assinado, ou só termos de serviço que aceito com um clique?
Onde vive o teu dado importa mais do que o modelo que usa
A conversa pública sobre IA gira à volta do modelo: qual é o mais esperto, qual alucina menos. Para o RGPD, o modelo é quase irrelevante. O que importa é a geografia e a cadeia de custódia do dado. Se o teu fornecedor trata em servidores norte-americanos, entras no terreno das transferências internacionais: precisas de uma base de legitimidade (uma decisão de adequação, cláusulas contratuais-tipo) e, depois de anos de solavancos jurídicos precisamente com este tema, mais vale que essa base esteja documentada e não dada como garantida.
É aqui que a arquitetura ganha à etiqueta. Duas ferramentas com o mesmo modelo por baixo podem ter perfis de risco opostos consoante onde alojam o dado, se o cifram em trânsito e em repouso, e se te deixam escolher a região. A pergunta não é «o teu produto é seguro?» —a isso dizem-te sempre que sim. A pergunta é «onde, exatamente, é tratado este dado concreto, e pões-mo por escrito?».
«Não treinamos com os teus dados»: lê as letras miudinhas
É a frase estrela de toda a demo. E costuma ser verdade —com condições—. Muitos fornecedores não treinam com os teus dados nos planos pagos para empresa, mas fazem-no nos planos gratuitos ou individuais que a tua equipa usa por conta própria sem que tu saibas. A fuga de dados raramente vem do contrato empresarial; vem do comercial que cola a lista de clientes na versão gratuita para «escrever um email mais depressa». O «não treinamos com os teus dados» do contrato não cobre a conta pessoal que alguém abriu na terça-feira.
RGPD não é o AI Act (e os dois aplicam-se-te)
Convém não os misturar. O RGPD regula dados pessoais e aplica-se-te hoje, sem período de graça, uses IA ou não. O AI Act regula sistemas de IA pelo seu nível de risco e chega por fases: as obrigações de transparência (avisar que o utilizador fala com uma IA, etiquetar conteúdo gerado) começam a aplicar-se em agosto de 2026, enquanto boa parte das obrigações para sistemas de alto risco por uso foi adiada —segundo o acordo provisório de maio de 2026— para dezembro de 2027. Tradução prática: não esperes pelo AI Act para pores os teus dados em ordem. O RGPD já te obriga, e é ele que traz as coimas grandes.
A segurança é decidida pela tua arquitetura, não pelo teu fornecedor
Este é o fundo da questão. Podes contratar a ferramenta mais «enterprise» do mercado e continuar em incumprimento, porque o cumprimento não está só no produto que compras: está em como o montas. Que dados deixas entrar, que campos anonimizas antes, quem tem acesso, o que se regista, o que se retém, onde pões o limite entre o que o sistema faz sozinho e o que passa por uma pessoa. Isso é arquitetura, e é tua. O fornecedor vende-te um motor; o carro montas-lo tu, e respondes tu se sair da estrada.
Por isso a parte aborrecida —o governo do dado— é a que de verdade te protege. Saber que informação sensível tens, onde vive, quem lhe toca e com que contrato não é papelada: é a diferença entre usar IA com rede e usá-la às cegas. Se não tens esse mapa, montá-lo é o primeiro trabalho, antes de escolher modelo. Nós tratamo-lo como o que é —infraestrutura— no serviço de governo do dado: saber que dados tens, onde vivem e quem lhes toca, e blindamo-lo com segurança pensada para sistemas de IA, não só para a rede clássica.
O que perguntar antes de assinar
Não é preciso ser advogado para não assinar às cegas. Antes de meter dados pessoais em qualquer ferramenta de IA generativa, exige respostas por escrito a isto:
- Região de tratamento e armazenamento: UE sim ou não, e deixas-me escolhê-la?
- Um DPA assinado conforme o artigo 28.º, com lista de subcontratantes incluída.
- Política de treino e retenção: o que fazes com o meu dado, quanto tempo o guardas, como o apago.
- Transferências internacionais: se sai do EEE, com que base legal e que garantias documentadas.
- Acesso humano: quem, do teu lado, pode ler as minhas conversas e em que circunstâncias.
E em paralelo, põe o teu lado em ordem: uma política de uso clara para que a tua equipa saiba o que pode e o que não pode colar num chat. Desenvolvemo-lo em detalhe no guia sobre como montar a política de uso do ChatGPT na tua empresa, dentro do guia mãe sobre usar o ChatGPT na empresa sem teatro e sem sustos. A ferramenta mais cara não te salva de uma política que não existe.