IA própria na UE ou IA generativa externa: o que muda em documentos com dados pessoais

O que estamos a comparar, exatamente

Opção A, IA própria ou alojada na UE: o modelo que lê o documento (por exemplo, para detetar dados pessoais) corre em servidores da organização ou de um fornecedor na União Europeia e não reencaminha o conteúdo a terceiros. O fornecedor atua como subcontratante, com contrato e lista conhecida de subcontratantes ulteriores.

Opção B, IA generativa externa: o texto completo segue para um serviço de terceiros, seja um chatbot de consumo, uma versão empresarial ou uma API. O que acontece depois depende das condições do fornecedor: local de tratamento, prazo de conservação, eventual revisão humana e utilização para melhorar modelos.

Cuidado com os atalhos: nuvem não é sinónimo de risco. Um SaaS europeu também é nuvem. O que interessa é quem trata os dados, onde, com que contrato e para que finalidades.

Transferências internacionais: o capítulo V do RGPD

O RGPD só permite transferir dados pessoais para fora do EEE com base numa decisão de adequação (art. 45.º), em garantias adequadas como as cláusulas contratuais-tipo (art. 46.º) ou, de forma excecional e restritiva, nas derrogações do art. 49.º. Enviar um documento para um serviço tratado ou assistido a partir de outro país pode ser uma transferência, mesmo que o utilizador não a sinta como tal.

Para os Estados Unidos vigora desde 10 de julho de 2023 a Decisão de Execução (UE) 2023/1795, que considera adequado o Quadro de Privacidade de Dados UE-EUA (Data Privacy Framework). Abrange as transferências para organizações norte-americanas autocertificadas que constem da lista oficial do Departamento do Comércio. Se a entidade que recebe os dados não estiver certificada, é preciso outro instrumento, normalmente cláusulas contratuais-tipo com avaliação do impacto da transferência. O quadro foi impugnado junto dos tribunais da União, pelo que convém acompanhar a sua evolução.

Um fornecedor que garante tratamento na UE começa bem, mas pergunte também de onde vêm os acessos de suporte e que subcontratantes ulteriores intervêm.

Subcontratação, conservação e reutilização dos dados

Quando uma organização recorre a um serviço externo para tratar dados pessoais por sua conta, esse fornecedor é subcontratante e o art. 28.º do RGPD exige um contrato: instruções documentadas, confidencialidade do pessoal, segurança nos termos do art. 32.º, regras para subcontratantes ulteriores e apagamento ou devolução no fim.

As versões de consumo de muitos chatbots regem-se por condições pensadas para particulares, e o fornecedor pode reservar para si usos próprios do que é introduzido. As versões empresariais e as API costumam oferecer um acordo de tratamento, mas não o dê por adquirido: verifique as condições do fornecedor antes de enviar seja o que for.

• Os pedidos e ficheiros são usados para treinar ou melhorar modelos? É possível desativar, e a que nível?
• Durante quanto tempo se conservam conversas, ficheiros e registos, incluindo para deteção de abusos?
• Em que países se faz o tratamento e de onde pode aceder o suporte?
• Existe acordo de tratamento assinado e lista atualizada de subcontratantes ulteriores?
• Quem tem conta na sua organização, com que configurações, e quem as controla?

Confidencialidade e sigilo profissional

Advogados, médicos e trabalhadores da Administração Pública estão sujeitos a deveres de sigilo próprios, além das regras de proteção de dados. Colar uma peça processual com dados de um cliente num chatbot de consumo é comunicar essa informação a um terceiro, mesmo que nunca chegue a haver fuga. E nem tudo o que é sensível é dado pessoal: estratégia processual, propostas ou segredos comerciais também merecem proteção.

Em Portugal, a Lei n.º 58/2019 assegura a execução do RGPD e a CNPD é a autoridade de controlo. A CNPD integra o Comité Europeu para a Proteção de Dados, que em 2024 publicou o relatório da sua task force sobre o ChatGPT, criada para coordenar as autoridades nacionais perante este tipo de serviços. A mensagem comum é que as regras do RGPD se aplicam por inteiro a quem utiliza estas ferramentas com dados pessoais.

O Regulamento da IA, na medida certa

O Regulamento (UE) 2024/1689 entrou em vigor a 1 de agosto de 2024 e aplica-se de forma faseada: práticas proibidas e obrigação de literacia no domínio da IA (art. 4.º) desde 2 de fevereiro de 2025, obrigações dos modelos de finalidade geral desde 2 de agosto de 2025 e o resto mais tarde. Não substitui o RGPD. Usar um chatbot para resumir documentos não torna uma organização fornecedora de um sistema de risco elevado, mas obriga a formar quem o utiliza e a definir para que é permitido.

Tabela comparativa

Quando faz sentido cada opção

• IA própria ou alojada na UE: documentos com dados de clientes, utentes, trabalhadores ou cidadãos; processos sujeitos a sigilo profissional; grandes volumes repetitivos; necessidade de rastreabilidade e registo de auditoria.
• IA generativa externa: textos sem dados pessoais nem informação confidencial, rascunhos genéricos, minutas, traduções de material público ou documentos já anonimizados.
• As duas em conjunto: anonimizar ou pseudonimizar primeiro com uma ferramenta que mantém os dados na UE e só depois usar o chatbot com a versão limpa.

A terceira via é a mais prática para muitas equipas; explicamo-la em anonimizar documentos antes de usar o ChatGPT. Lembre-se de que um dado pseudonimizado continua a ser pessoal para quem guarda a tabela de correspondência (considerando 26 do RGPD): avalie se basta a pseudonimização ou se precisa de anonimização irreversível.

O Anonimatum segue o modelo A: deteta dados pessoais com IA própria executada em servidores na União Europeia, sem enviar o texto para API externas de modelos de linguagem, combina IA com padrões e permite rever cada proposta antes de a aplicar. Onde são tratados os documentos e o que se conserva está explicado na página de segurança e proteção de dados; para comparar abordagens, veja anonimização manual ou automática.