O RGPD também se aplica quando sua empresa usa ChatGPT ou outras ferramentas de IA?
Sim, mas não porque você usa uma ferramenta de IA em si. A RGPD aplica-se assim que você processa dados pessoais, e isso pode ocorrer tanto num processador de texto como num chatbot. Portanto, não se trata de qual ferramenta você usa, mas do que você coloca nela e o que a ferramenta faz com isso.
Se você usar IA apenas para textos gerais, resumos de informações públicas ou ajuda com programação sem nomes, endereços de e-mail ou outros dados identificáveis, a RGPD não afeta essa ação específica. Se você inserir dados de clientes, candidatos ou funcionários, por exemplo, para redigir um e-mail com base num dossiê de cliente, estará processando dados pessoais e as regras normais aplicar-se-ão.
Qual é exatamente a diferença
A distinção gira em torno do conteúdo do que você insere, não do rótulo "IA". Uma empresa de instalação que faz reescrever uma descrição de orçamento sem o nome do cliente funciona de forma diferente de um gestor de RH que resume uma carta de candidatura com nome, endereço e notas de conversa. No primeiro caso, não há nada identificável para uma pessoa. No segundo caso, há, e a entrada conta como um processamento.
O mesmo se aplica ao resultado. Uma ferramenta de IA que gera um perfil ou conselho com base em dados de cliente inseridos processa esses dados ainda mais. Isso é relevante porque a RGPD não apenas analisa o armazenamento de dados, mas cada ação: recolha, entrada, processamento por terceiros e uso do resultado.
Quem é o processador então
A maioria das ferramentas de IA que as empresas usam funciona em servidores de um fornecedor externo. Se você inserir dados pessoais lá, esse fornecedor é frequentemente um processador na prática: uma parte que processa dados em seu nome. É a mesma figura que num pacote de contabilidade ou num sistema CRM, apenas é menos visível em ferramentas de IA porque a entrada parece ser texto solto em vez de um arquivo de dados estruturado.
A EDPB e a Autoridade Portuguesa de Proteção de Dados dedicam atenção a isso porque muitas vezes não é claro para os utilizadores se e por quanto tempo os dados inseridos são retidos e se são utilizados para treinar o modelo subjacente. Estas são questões que encontrará nos termos do fornecedor e que determinam se é necessário um contrato de processamento de dados. Se duvidar que um contrato que já assinou cobre este tipo de utilização, pode testá-lo na base de conhecimento de acordo com o texto da RGPD.
Quando não o afeta
Se sua empresa usar IA exclusivamente para tarefas sem dados identificáveis, como gerar textos de marketing gerais, traduzir informações públicas de produtos ou resumir processos internos próprios sem nomes, não há processamento de dados pessoais para essa aplicação específica e, portanto, nenhuma obrigação adicional sob a RGPD. Isso não significa que o uso de IA em geral fica isento; significa que você deve verificar por aplicação o que está sendo efetivamente inserido.
O que isso significa na prática para seu registo
Assim que uma ferramenta de IA processa dados pessoais, esse processamento deve constar no registo de atividades de processamento como qualquer outro: qual é o objetivo, que dados, qual é o prazo de retenção e qual fornecedor fornece a ferramenta. Muitas empresas esquecem isso porque o uso de IA muitas vezes surge ad hoc, através de uma conta isolada de um funcionário, sem ser visto como um "sistema". No entanto, conta tanto quanto um CRM ou um sistema salarial.
Se a sua empresa tem concretamente a ver com isto depende de como a IA é utilizada dentro da sua organização e por quem. Um diretor que ocasionalmente faz verificar um texto sem dados de clientes está numa posição diferente do que um departamento de RH que resume dados de candidaturas. Se tiver dúvidas, não é uma medida supérflua discuti-lo com um jurista ou com a Autoridade de Proteção de Dados, especialmente quando dados sensíveis como informações de saúde ou financeiras estão envolvidas.
Quer ficar rapidamente a par se a utilização de IA dentro da sua empresa se enquadra no RGPD e o que isso implica? Faça a verificação rápida gratuita com algumas perguntas e uma indicação direta verificação rápida com algumas perguntas e uma indicação diretaveja como as fontes subjacentes foram estruturadas através de uma explicação sobre de onde vem a informaçãoou leia as perguntas frequentes se primeiro quer ver como outros empresários lidam com isto.