O RGPD aplica-se à IA sempre que um sistema de IA trata dados pessoais, quer treine um modelo, o ajuste (fine-tuning) ou simplesmente deixe a sua equipa colar registos de clientes num assistente. É necessário ter uma finalidade documentada, um fundamento de licitude para cada fase, uma avaliação de impacto sobre a proteção de dados sempre que o risco seja elevado e uma forma de as pessoas obterem uma decisão humana quando uma decisão automatizada as afeta. O Regulamento da IA da UE assenta sobre este quadro e acrescenta as suas próprias obrigações, incluindo a transparência. Este guia explica como os dois se articulam numa empresa B2B SaaS e o que fazer primeiro.

Trata-se de informação geral, não de aconselhamento jurídico. O seu encarregado de proteção de dados ou o seu advogado devem confirmar como cada ponto se aplica à sua empresa.

Em resumo

Índice

Como o RGPD se aplica à IA

O RGPD regula os dados pessoais, não a tecnologia. Uma análise da lei refere que a IA não é mencionada expressamente e que o artigo 22.º sobre decisões individuais automatizadas funciona como um controlo indireto da IA. Tudo o resto decorre dos princípios gerais: licitude, lealdade, transparência, limitação das finalidades, minimização dos dados, exatidão, limitação da conservação, segurança e responsabilidade.

Para uma empresa SaaS, a questão prática é simples. A IA tem acesso a nomes, e-mails, registos de utilização associados a um utilizador, tickets de suporte, faturas ou qualquer outro dado que identifique uma pessoa? Se sim, o RGPD aplica-se, mesmo que a IA seja uma ferramenta que comprou e não construiu.

Finalidade e fundamento de licitude, fase a fase

As orientações da autoridade de proteção de dados do Reino Unido indicam que, para cada operação de tratamento distinta no desenvolvimento e na implementação de IA, deve identificar e documentar a sua finalidade e um fundamento de licitude adequado antes de tratar quaisquer dados. Indicam também que os dados de categorias especiais exigem uma condição separada. Essas orientações dizem respeito ao RGPD do Reino Unido, que reflete de perto as regras da UE, e são uma referência útil quanto à lógica.

As mesmas orientações afirmam que o treino e a implementação são fases diferentes e podem assentar em fundamentos de licitude distintos. Um fundamento que serve para construir um modelo não cobre automaticamente a sua utilização com dados reais de clientes.

Na prática, escreva uma linha por cada caso de utilização de IA:

  1. Qual é a finalidade (por exemplo, resumir tickets de suporte)?
  2. Que dados pessoais lê?
  3. Qual é o fundamento de licitude (contrato, interesse legítimo, consentimento, obrigação legal)?
  4. Quem é o responsável pelo tratamento e quem é o subcontratante?
  5. Onde são armazenados e tratados os dados?

Se quiser uma explicação em linguagem simples sobre como escolher e documentar um fundamento de licitude e aplicar os princípios essenciais, este artigo sobre princípios essenciais de proteção de dados do RGPD mostra o mesmo raciocínio aplicado a um sistema de reservas, e a lógica transpõe-se para projetos de IA.

Limitação das finalidades, minimização e exatidão

A autoridade neerlandesa de proteção de dados enumera a limitação das finalidades, a minimização dos dados e a exatidão como requisitos essenciais do RGPD para a IA. Cada um tem um efeito direto na forma como constrói.

As mesmas orientações neerlandesas remetem para o artigo 32.º: são necessárias medidas técnicas e organizativas adequadas, tendo em conta o estado da técnica, o contexto do tratamento e os riscos para as pessoas.

O que o CEPD disse sobre os modelos de IA

Em dezembro de 2024, o Comité Europeu para a Proteção de Dados emitiu o Parecer 28/2024 sobre modelos de IA. Uma síntese académica do parecer explica que os modelos treinados com dados pessoais podem reter ou inferir informações sobre pessoas identificáveis, pelo que não se pode presumir simplesmente que são anónimos. Aborda também como o interesse legítimo pode ser justificado depois de concluído o treino. A conclusão para os compradores: não aceite de um fornecedor a afirmação «o modelo é anónimo» sem perguntar como isso foi avaliado.

Onde o Regulamento da IA da UE acrescenta ao RGPD

As duas leis têm raízes diferentes. Segundo um estudo do Parlamento Europeu, o Regulamento da IA baseia-se num modelo de segurança dos produtos, enquanto o RGPD protege os dados pessoais através de direitos e princípios. O mesmo estudo observa que as obrigações podem sobrepor-se: uma avaliação de impacto sobre os direitos fundamentais (FRIA) e uma avaliação de impacto sobre a proteção de dados (AIPD) podem duplicar-se, e os deveres de transparência e de registo podem ser redundantes.

Os papéis também diferem. O RGPD fala em responsáveis pelo tratamento e subcontratantes. O Regulamento da IA fala em fornecedor, importador, distribuidor e responsável pela implantação. Uma empresa SaaS pode ser fornecedora das suas próprias funcionalidades de IA e, ao mesmo tempo, responsável pela implantação do modelo de outra entidade, bem como responsável pelo tratamento ou subcontratante dos dados pessoais envolvidos. Mapeie cada papel por caso de utilização.

GDPR Regulamento da IA da UE
Ponto de partida Dados pessoais e direitos das pessoas O sistema de IA e o seu nível de risco
Papéis principais Responsável pelo tratamento, subcontratante Fornecedor, responsável pela implantação, importador, distribuidor
Documentos habituais Registos das atividades de tratamento, AIPD Documentação técnica, registos (logs), avaliação de impacto sobre os direitos fundamentais (FRIA) para alguns usos de risco elevado
Intervenção humana Direito de não ficar sujeito a decisões tomadas exclusivamente com base no tratamento automatizado que produzam efeitos jurídicos Supervisão humana para sistemas de risco elevado

Algumas autoridades nacionais salientaram que um sistema pode cumprir uma lei e, ainda assim, violar a outra, razão pela qual é necessária uma abordagem caso a caso. A autoridade belga acrescenta que o Regulamento da IA assenta na responsabilidade prevista no RGPD, com comunicação formal de incidentes e governação com intervenção humana (human-in-the-loop).

A NIS2 é uma terceira peça, e diz respeito à cibersegurança e à gestão de risco das entidades abrangidas, não à IA em concreto. Se a sua empresa estiver abrangida, as medidas de segurança que implementar em torno dos sistemas de IA devem integrar o mesmo processo de gestão de risco. Saber se está abrangido é uma questão para o seu advogado.

Obrigações de transparência quando a IA interage com pessoas

A transparência surge em ambas as leis, e as pessoas confundem-nas com frequência.

O calendário é importante. O Serviço de Apoio ao Regulamento da IA da Comissão indica que as obrigações do artigo 50.º passaram a ser aplicáveis em 2 de agosto de 2026 e que os fornecedores de sistemas colocados no mercado antes dessa data têm até 2 de dezembro de 2026 para cumprir determinados requisitos de marcação e deteção.

Para uma empresa de SaaS, os casos mais comuns são um chatbot no produto ou no widget de apoio e os textos ou imagens gerados que publica. Identifique o chatbot como IA e verifique como as suas ferramentas marcam o conteúdo gerado. Para uma análise mais aprofundada dos artigos 4.º e 50.º, consulte o nosso guia sobre os artigos 4.º e 50.º do Regulamento da IA da UE para SaaS.

Especialista de apoio a testar um chatbot de produto

AIPD, supervisão humana e decisões automatizadas

Há três salvaguardas que surgem com mais frequência.

AIPD. A autoridade belga explica que uma AIPD é exigida em alguns casos, incluindo o tratamento de risco elevado e o uso de novas tecnologias. A autoridade neerlandesa afirma de forma semelhante que é necessária quando sistemas algorítmicos tratam dados pessoais e os riscos para a privacidade são elevados. Em caso de dúvida, realize uma. Sai mais barato do que explicar depois porque não o fez.

Supervisão humana. O Regulamento da IA exige supervisão humana para sistemas de risco elevado ao longo do desenvolvimento, da implantação e da utilização, e a mesma fonte belga di-lo a par do requisito da FRIA.

Decisões automatizadas. Ao abrigo do RGPD, as pessoas têm o direito de não ficar sujeitas a decisões tomadas exclusivamente com base no tratamento automatizado que produzam efeitos jurídicos na sua esfera. Se um agente de IA puder decidir quem obtém um contrato, um limite de crédito ou o acesso a um serviço, preveja no processo uma etapa de aprovação humana.

Uma lista de verificação do Regulamento da IA para equipas SaaS

A síntese da Comissão sobre o Regulamento da IA indica que os sistemas de risco elevado têm de abranger avaliação e mitigação de riscos, qualidade dos conjuntos de dados, registo de atividade, documentação técnica, informação para os responsáveis pela implantação, supervisão humana, robustez, cibersegurança e exatidão. A maioria dos produtos SaaS não é de risco elevado, mas a lista é um bom padrão para qualquer IA que toque nos dados das pessoas.

Os prazos para os sistemas de risco elevado são mais tardios do que muitos esperam. As perguntas frequentes do Serviço de Apoio indicam que os sistemas em áreas sensíveis, como o emprego (Anexo III), têm de estar em conformidade até 2 de dezembro de 2027, e os integrados em produtos regulados (Anexo I) até 2 de agosto de 2028. Consulte a página oficial para saber a situação atual, uma vez que os prazos podem mudar.

Uma lista de verificação prática:

  1. Inventarie todas as utilizações de IA. Inclua as ferramentas que cada pessoa adotou por iniciativa própria.
  2. Classifique cada uma. É um chatbot, um assistente interno, um modelo de pontuação ou algo que toma decisões sobre pessoas? Pergunte ao seu advogado se alguma utilização é de risco elevado.
  3. Mapeie os papéis. Fornecedor, responsável pela implantação, responsável pelo tratamento, subcontratante.
  4. Documente a finalidade e o fundamento jurídico de cada fase.
  5. Realize uma AIPD quando o risco for elevado.
  6. Defina permissões. A IA deve ler e alterar apenas o que o utilizador poderia.
  7. Acrescente etapas de aprovação para ações com consequências reais.
  8. Mantenha registos (logs) do que a IA leu, escreveu e desencadeou.
  9. Identifique as interações com IA e os conteúdos gerados.
  10. Forme as pessoas. O artigo 4.º exige literacia em matéria de IA.
  11. Verifique os fornecedores. Onde são tratados os dados e são usados para treinar os seus modelos?
  12. Atribua um responsável. Uma pessoa identificada deve responder pelo tema.

O nosso quadro de governação de IA para empresas SaaS B2B transforma isto numa estrutura funcional.

Onde a IA não deve ser usada

Uma boa conformidade inclui decidir o que a IA não deve fazer. Manteríamos a IA fora destes domínios:

Construa primeiro a base de dados

A maior parte dos problemas de RGPD com IA começa nos dados, não no modelo. Se não souber dizer onde estão os dados de um cliente, que sistema está correto e quem os pode ler, não consegue dar resposta a pedidos de acesso ou de apagamento, nem controlar o que uma IA lê.

É por isso que trabalhamos numa ordem fixa:

  1. Base de dados. Os seus dados de CRM e de finanças tornam-se a fonte de verdade, com os sistemas à volta reconciliados numa única versão acordada.
  2. Camada de IA. O assistente que a sua equipa já utiliza é ligado a esses dados através de MCP, dentro das permissões definidas.
  3. Agentes por departamento. Agentes concebidos para Finanças, Vendas e Customer Success, para que as pessoas possam perguntar, reportar e consultar informação entre sistemas, e atualizar registos ou acionar processos com aprovação, quando necessário, e com registo de auditoria.

A construção, o piloto e os testes decorrem em infraestrutura europeia autoalojada na Alemanha, e o RGPD, a NIS2 e o EU AI Act são tratados como requisitos de conceção desde o início. Nenhum desenho garante a conformidade, e esse juízo permanece convosco e com o vosso consultor jurídico. Mas um sistema com permissões, aprovações e registos implementados torna muito mais fácil responder às perguntas que os reguladores colocam. Pode ver como isto funciona na prática na nossa página sobre agentes de IA para Finanças, Vendas e Customer Success, e o Admin Portal mostra como o acesso e as aprovações são geridos num único local.

A nossa perspetiva

Vemos o mesmo padrão em empresas SaaS em crescimento. As pessoas já usam IA, no CRM, no suporte, nas finanças, e ninguém é responsável por ela. Ninguém decidiu que dados pode ler, ninguém mantém um registo do que fez, e a política de privacidade foi escrita antes de nada disto existir.

A nossa opinião é que a conformidade é, sobretudo, um problema de operações. Uma política de privacidade não impede um assistente de ler um registo que não deveria. Permissões, aprovações e registos impedem. É por isso que começamos pela base de dados, depois ligamos a camada de IA, depois construímos agentes por departamento, e é por isso que adotamos a IA um processo de cada vez, começando pelo mais dispendioso.

Também ajuda ter uma pessoa que decide onde a IA compensa e a constrói, para que a estratégia e o sistema em funcionamento não se afastem. Essa é a ideia por trás de um Chief AI Officer fracionado, apoiado em 25 anos de gestão de operações. Concebemos de acordo com o RGPD, a NIS2 e o EU AI Act desde o primeiro dia, e no momento da entrega fica com o código-fonte, a documentação e a infraestrutura.

Não prestamos aconselhamento jurídico, e nada do que construímos garante a conformidade. Tornamos os sistemas mais fáceis de governar e trabalhamos em conjunto com o seu consultor jurídico.

Claus Nielsen

Por onde começar

Se a IA já está em uso e ninguém é responsável por ela, o primeiro passo é ter uma imagem honesta do que existe. O nosso AI Readiness Assessment começa em €4,500 e analisa os seus dados, os seus processos e a sua exposição regulatória, para que saiba onde a IA compensa e onde não. Para uma responsabilidade contínua, o contrato de Chief AI Officer fracionado tem três níveis: Advisor a partir de €3,000 por mês, Operating a partir de €6,500 por mês e Embedded a partir de €11,000 por mês.

As construções são cobradas a 30% da poupança do primeiro ano, depois de medida e comprovada, ou a um preço fixo acordado antes de o trabalho começar. Pode também marcar uma chamada de descoberta gratuita de 30 minutos através do nosso site principal.

FAQ

O RGPD aplica-se se utilizarmos apenas uma ferramenta de IA de terceiros?

Sim, se forem introduzidos dados pessoais. Normalmente, a sua empresa é o responsável pelo tratamento e o fornecedor da ferramenta é um subcontratante, pelo que é necessário um contrato, uma finalidade e um fundamento de licitude, e deve saber onde os dados são tratados. Verifique se o fornecedor utiliza os seus dados de entrada para treinar os seus modelos.

O EU AI Act substitui o RGPD?

Não. Aplicam-se em paralelo. O RGPD protege os dados pessoais, enquanto o AI Act regula os sistemas de IA consoante o nível de risco. Um único caso de utilização de IA pode gerar obrigações ao abrigo de ambos, e alguns documentos, como as avaliações de impacto, podem sobrepor-se.

Precisamos de uma AIPD para cada projeto de IA?

Não necessariamente. Uma AIPD é exigida em certos casos, incluindo tratamento de risco elevado e novas tecnologias, segundo a autoridade belga. Se um sistema de IA tratar dados pessoais de uma forma que possa afetar gravemente as pessoas, realize uma. Consulte o seu encarregado de proteção de dados quando houver dúvidas.

O que temos de dizer aos utilizadores sobre a IA?

Ao abrigo do RGPD, explique que dados pessoais trata e porquê. Nos termos do artigo 50.º do AI Act, que é exigível desde 2 August 2026, as pessoas devem ser informadas quando interagem diretamente com um sistema de IA, e os conteúdos gerados por IA devem ser marcados em formato legível por máquina. O seu consultor jurídico pode confirmar que partes se aplicam aos seus produtos.

Um agente de IA pode tomar decisões sobre clientes por si só?

Para tarefas de rotina e de baixo impacto, sim, dentro das permissões e com registos. Para decisões com efeitos jurídicos ou igualmente significativos sobre uma pessoa, o RGPD confere às pessoas o direito de não ficarem sujeitas a decisões tomadas exclusivamente com base em tratamento automatizado. Preveja revisão humana nesses casos.

Fontes