A minha equipa usa o ChatGPT gratuito: que riscos corre a empresa?

Em muitas empresas, a equipa já usa IA todos os dias, por iniciativa própria e quase sempre com contas gratuitas ou pessoais. O problema não é usar IA: é usá-la sem regras, com dados de clientes que a empresa tem o dever de proteger.

O que acontece aos dados numa conta gratuita

Nas versões gratuitas e nas contas pessoais de várias ferramentas de IA, as conversas podem ser guardadas e usadas para melhorar os modelos, a menos que o utilizador desative essa opção nas definições. Além disso:

• a empresa não tem contrato com o fornecedor da ferramenta;
• não controla quem acede aos dados nem durante quanto tempo são guardados;
• os dados são muitas vezes tratados fora da União Europeia;
• quando a pessoa sai da empresa, a conta (e o histórico) vai com ela.

Os quatro riscos para a empresa

1. Proteção de dados (RGPD)

Introduzir dados pessoais de clientes ou de trabalhadores numa ferramenta sem contrato de tratamento de dados (artigo 28.º do RGPD) e sem garantias para transferências para fora da UE (capítulo V) deixa a empresa sem base para demonstrar que cumpre. Se esses dados forem expostos, pode ter de avaliar se existe uma violação de dados que tenha de ser notificada à CNPD no prazo de 72 horas (artigo 33.º).

2. Sigilo e segredos de negócio

Propostas, contratos, preços e dados financeiros copiados para uma ferramenta externa deixam de estar sob o controlo da empresa, o que pode violar deveres de confidencialidade assumidos perante clientes e parceiros.

3. AI Act

Desde 2 de fevereiro de 2025, quem usa sistemas de IA tem de tomar medidas para apoiar a literacia em IA da equipa (artigo 4.º, na redação dada pelo Regulamento (UE) 2026/1744). Sem formação nem regras, é difícil demonstrar que o fez.

4. Qualidade e reputação

A IA pode produzir respostas plausíveis mas erradas. Sem revisão humana, esses erros chegam a clientes, propostas e documentos oficiais.

Proibir não resolve

Proibir a IA costuma empurrar o uso para o telemóvel pessoal, onde a empresa deixa de ver o que acontece. O caminho mais seguro é dar à equipa ferramentas aprovadas e regras claras.

Plano em 5 passos

1. Inventário. Pergunte à equipa que ferramentas de IA usa e para quê. Sem julgamentos: o objetivo é saber.
2. Ferramentas aprovadas. Escolha versões empresariais com acordo de tratamento de dados e sem uso das conversas para treino dos modelos.
3. Regras numa página. O que nunca pode ser introduzido (dados identificáveis de clientes, dados de saúde, documentos de identificação, informação confidencial), o que pode, e a regra de revisão humana antes de enviar seja o que for.
4. Formação curta e registada. Uma sessão prática chega para mudar hábitos. Guarde o registo de presenças: é a sua prova de literacia em IA.
5. Revisão a cada 6 meses. As ferramentas mudam depressa; as regras também devem mudar.

Base legal

• Regulamento (UE) 2016/679 (RGPD), artigos 28.º e 33.º e capítulo V.
• Regulamento (UE) 2024/1689 (AI Act), artigo 4.º, alterado pelo Regulamento (UE) 2026/1744.

Este guia tem caráter informativo e reflete a legislação em vigor à data da última atualização. Não constitui aconselhamento jurídico.