RGPD e chatbot de IA: o que as empresas precisam saber

Que dados pessoais trata um chatbot de IA?

Assim que um utilizador interage com um chatbot de IA, são gerados dados. Os mais evidentes são os conteúdos da própria conversa: textos introduzidos, perguntas, reclamações e detalhes de reservas. Em muitos casos, estes dados são pessoais para efeitos do RGPD — quer contenham identificadores diretos como nome ou e-mail, quer possam ser associados a uma pessoa em conjunto com outros dados disponíveis. Também os endereços IP transmitidos tecnicamente no webchat são considerados dados pessoais.

Em chatbots utilizados em processos de contas de clientes surgem outras categorias: números de cliente, históricos de encomendas, informações de pagamento (quando o chatbot está integrado em processos de checkout) ou dados de saúde (em aplicações médicas). Estas categorias especiais segundo o art. 9 RGPD estão sujeitas a um nível de proteção superior e exigem medidas técnicas e jurídicas especiais.

O princípio da minimização de dados (art. 5.º, n.º 1, alínea c) RGPD) exige que sejam tratados apenas os dados realmente necessários para cada finalidade. Para um chatbot puramente FAQ sem autenticação, isso significa: os conteúdos da conversa não devem ser armazenados permanentemente, endereços IP devem ser anonimizados e dados pessoais só devem ser recolhidos quando forem indispensáveis ao processo de serviço. Um chatbot cuidadosamente configurado é, assim, significativamente menos problemático do ponto de vista da privacidade do que um sistema mal planeado.

Requisitos RGPD para operação do chatbot

O RGPD estabelece vários requisitos fundamentais para qualquer tratamento. Primeiro, cada tratamento necessita de base jurídica segundo o art. 6 RGPD: consentimento do utilizador, necessidade para execução de contrato, interesse legítimo da empresa ou outra base prevista na lei. A base jurídica tem de ser definida e documentada antes do tratamento — e, em caso de dúvida, justificável perante a autoridade de controlo.

Segundo, existe uma obrigação abrangente de informação perante os titulares. Os utilizadores têm de saber que dados são tratados e para que finalidade, durante quanto tempo são guardados, quem pode ser destinatário e que direitos têm — incluindo acesso, retificação, apagamento e limitação do tratamento. Estas informações têm de estar acessíveis em linguagem clara e compreensível, normalmente na política de privacidade e através de um aviso na janela de chat.

Terceiro, o RGPD impõe o princípio «Privacy by Design e by Default» (art. 25). Isto significa que configurações favoráveis à privacidade são a predefinição desde o início e não um complemento posterior. Para chatbots de IA, na prática: períodos de retenção mais curtos por defeito, anonimização de dados de logs, permissões de acesso restritivas e possibilidade de os utilizadores eliminarem facilmente os seus dados.

IA cloud vs. on-premises: o que significa para a privacidade?

Num chatbot de IA baseado na cloud, dados de conversas e pedidos são enviados para servidores externos de um fornecedor de modelos de linguagem, processados e — consoante a configuração — eventualmente utilizados para fins de treino. Para a avaliação RGPD, é decisivo saber em que país estão os servidores. Com fornecedores dos EUA, a situação jurídica é complexa desde o acórdão Schrems II. Fornecedores da UE ou com centros de dados na UE são claramente preferíveis sob o direito europeu de proteção de dados. Além disso, é necessário celebrar um acordo de tratamento de dados (AVV).

On-premises significa que toda a infraestrutura — incluindo o modelo de IA — funciona em servidores controlados pela própria empresa. Com execução local de IA, nenhum dado de conversa sai da infraestrutura própria. Assim deixa de ser necessário um AVV com um fornecedor cloud de IA para esse processamento; o tratamento é exclusivamente interno. Para empresas em setores regulados — saúde, advocacia e serviços financeiros — on-premises é muitas vezes a única opção aceitável.

Também é possível uma abordagem híbrida: a infraestrutura do chatbot e a base de conhecimento funcionam em servidores seguros na UE, enquanto para determinados casos menos sensíveis é usado um modelo cloud. A Zentor App suporta ambos os modos — cloud através de fornecedor externo de IA e operação totalmente local — permitindo à empresa decidir que arquitetura se adequa à sua estratégia de privacidade. Idealmente, a decisão deve ser tomada em conjunto com o encarregado de proteção de dados e um advogado especializado.

Acordo de tratamento de dados (AVV): quando é necessário e o que regula

O acordo de tratamento de dados (AVV), nos termos do art. 28 RGPD, é o instrumento central para regular juridicamente as responsabilidades entre uma empresa (responsável) e um prestador externo (subcontratante) que trata dados pessoais por sua conta. Na operação de um chatbot de IA através de uma plataforma SaaS, o AVV é normalmente obrigatório: o fornecedor processa dados das conversas nos seus servidores — um caso clássico de tratamento por conta de terceiros.

Um AVV tem de ser celebrado por escrito ou em formato eletrónico equivalente e abranger conteúdos mínimos: objeto e duração do tratamento, natureza e finalidade, categorias de dados pessoais e titulares, bem como obrigações e direitos do responsável. Além disso, o subcontratante tem de garantir medidas técnicas e organizativas (TOMs) adequadas e não pode recorrer a subcontratantes adicionais sem autorização.

Importante: o AVV tem de ser celebrado antes da entrada em operação do chatbot — não posteriormente. A ausência de AVV apesar de existir tratamento por conta de terceiros constitui uma infração RGPD autónoma sujeita a coima. Por isso, verifique em cada fornecedor de chatbot se e de que forma disponibiliza um AVV, que subcontratantes utiliza (por ex., fornecedor cloud ou fornecedor externo de IA) e como são tratados. Fornecedores sérios como a Zentor App disponibilizam modelos normalizados de AVV e estão preparados para divulgar o conteúdo de forma transparente.

Encarregado de proteção de dados e chatbot: o que considerar?

Empresas com um encarregado de proteção de dados (DSB) interno ou externo devem envolvê-lo na introdução de um chatbot de IA. O DSB tem a tarefa de assegurar a implementação conforme à privacidade, avaliar riscos e supervisionar o cumprimento do RGPD. Não se trata apenas de compliance formal, mas da configuração técnica concreta: que dados são guardados? Durante quanto tempo? Quem tem acesso? Como são tratados pedidos de acesso dos titulares?

Uma das tarefas mais importantes do DSB no contexto do chatbot é verificar se é necessária uma avaliação de impacto sobre a proteção de dados (DSFA) segundo o art. 35 RGPD. Uma DSFA é obrigatória quando o tratamento é suscetível de implicar elevado risco para direitos e liberdades das pessoas singulares. Pode ser o caso quando um chatbot trata sistematicamente dados sensíveis, realiza profiling ou é usado para decisões com efeitos significativos sobre os titulares.

Mesmo quando a lei não exige DSB, recomenda-se uma revisão de privacidade antes do go-live. Sobretudo em pequenas empresas que usam chatbot pela primeira vez, há armadilhas típicas: política de privacidade inexistente ou desatualizada, AVV esquecido, períodos de retenção demasiado longos ou ausência de conceitos de eliminação. Consultoria externa por um especialista em privacidade pode compensar a longo prazo e proteger contra coimas significativas das autoridades.

Medidas técnicas e organizativas (TOMs) para chatbots

O art. 32 RGPD exige medidas técnicas e organizativas (TOMs) adequadas para garantir um nível de proteção proporcional ao risco. Para chatbots de IA, concretamente: todas as transmissões entre o browser do utilizador e o backend do chatbot devem ser encriptadas (TLS/HTTPS). Dados de conversas e conteúdos da base de conhecimento armazenados devem também ser guardados de forma encriptada — tanto na base de dados como nos respetivos suportes.

Do lado dos acessos, o RGPD impõe o princípio de restrição: apenas colaboradores e sistemas que realmente necessitam dos dados podem aceder. A Zentor App implementa este princípio com Role-Based Access Control (RBAC), disponível como módulo livremente selecionável em Individual: funções diferentes recebem direitos diferentes e todos os acessos são registados no Audit Trail. Assim é possível demonstrar, quando necessário, quem acedeu a que dados e quando.

Organizacionalmente, as TOMs incluem processos internos claros: quem é responsável pela base de conhecimento? Como são tratados pedidos de eliminação dos titulares? Como se garante que os dados de conversa não são guardados mais tempo do que o necessário? Como reage a empresa perante um incidente de privacidade — por exemplo se um chatbot revelar inadvertidamente dados pessoais de outro utilizador? Estes processos têm de ser documentados por escrito e revistos regularmente.

Zentor App e RGPD: hosting na UE e on-premises como opções

A Zentor App foi desenvolvida desde o início com o objetivo de permitir operação conforme ao RGPD. A plataforma pode ser alojada em servidores da UE — hosting, bases de dados e lógica da aplicação ficam assim sujeitos ao direito europeu de proteção de dados. Se opcionalmente for ligado um fornecedor externo de IA, qualquer utilização fora da UE ocorre exclusivamente com base em Cláusulas Contratuais-Tipo da UE (art. 46 RGPD), evitando as incertezas jurídicas de uma transferência não controlada para países terceiros. Para empresas que consideram uma solução cloud, hosting na UE é o primeiro e mais importante passo em direção à conformidade.

Para empresas com requisitos máximos de privacidade, a Zentor App oferece instalação completamente on-premises. Neste modelo, toda a plataforma — motor do chatbot, base de conhecimento, Inbox omnicanal e todos os componentes de tratamento — funciona em infraestrutura controlada pela própria empresa. Com execução local de IA, nenhum dado de conversa nem informação pessoal sai do ambiente de TI próprio. É especialmente adequado a hospitais, escritórios de advocacia, consultoras fiscais e outros setores onde a privacidade é crítica.

A Zentor App disponibiliza acordos de tratamento de dados (AVV) para operação cloud e documenta os subcontratantes utilizados com empresa, país, finalidade e base de transferência na secção 13 da política de privacidade. As funções técnicas de privacidade — RBAC, Audit Trail, períodos configuráveis de retenção e controlos de acesso baseados em funções — podem ser configuradas como módulos livremente selecionáveis em Individual. Assim cria as condições técnicas para operação de chatbot conforme ao RGPD — a configuração jurídica concreta de cada caso continua sempre a ser responsabilidade da sua equipa de privacidade e assessores jurídicos.

Perguntas frequentes