RGPD
IA e RGPD: os dados dos meus clientes vão para os EUA?
Por Hugo Ribeiro · Atualizado a · 7 min de leitura
Os assistentes de IA mais usados nos gabinetes são de empresas dos Estados Unidos. Quem trata dados pessoais de clientes tem de saber para onde vão esses dados e com que base. Este guia resume o essencial, sem substituir a leitura do contrato do seu fornecedor.
Quando há transferência
O RGPD (capítulo V, artigos 44.º a 49.º) só permite enviar dados pessoais para fora do Espaço Económico Europeu se o destino oferecer proteção adequada ou se houver garantias apropriadas. Há transferência quando os dados são guardados ou tratados fora do EEE e também quando ficam acessíveis a partir de lá.
As duas bases mais usadas
1. Data Privacy Framework
A Decisão de Execução (UE) 2023/1795, de 10 de julho de 2023, considera adequada a proteção dada pelas empresas americanas certificadas no EU-US Data Privacy Framework. Pode confirmar se o seu fornecedor está certificado na lista oficial. O Tribunal Geral confirmou a decisão em setembro de 2025; há um recurso pendente no Tribunal de Justiça. Os dois regimes anteriores (Safe Harbor e Privacy Shield) foram anulados pelo Tribunal, o segundo no acórdão Schrems II, de 2020.
2. Cláusulas contratuais-tipo
Se o fornecedor não estiver certificado, ou como segunda rede, usam-se as cláusulas contratuais-tipo aprovadas pela Comissão (artigo 46.º). Vêm normalmente incluídas no acordo de tratamento de dados dos planos empresariais. Depois do Schrems II, quem exporta os dados deve avaliar se precisa de medidas suplementares; o Comité Europeu para a Proteção de Dados dá a pseudonimização como exemplo de medida eficaz, desde que a chave fique com o exportador.
O que verificar no seu fornecedor
- Plano. As versões gratuitas e pessoais não têm, em regra, acordo de tratamento de dados. Use um plano empresarial.
- Acordo de tratamento de dados (artigo 28.º): existe, e o que diz sobre transferências?
- Treino. Os seus dados são usados para treinar modelos? Nos planos empresariais, por omissão, não costumam ser.
- Localização e subcontratantes. Onde ficam os dados e quem mais lhes acede.
- Retenção. Durante quanto tempo ficam guardadas as conversas e os ficheiros.
Porque isto não chega para o sigilo
O RGPD pergunta se o tratamento é lícito e seguro. O sigilo profissional pergunta outra coisa: se pode revelar aquele facto àquele terceiro. Um fornecedor certificado, com contrato e servidores na Europa, continua a ser um terceiro. Veja o que diz o sigilo, profissão a profissão.
A solução prática: enviar sem identificar
Se o documento sai do gabinete com códigos no lugar dos NIF, nomes, IBAN e moradas, e a tabela de correspondência fica no seu computador, o fornecedor recebe dados que não consegue ligar a ninguém. A transferência continua a precisar de base legal, mas o que está em risco é muito menos, e a questão do sigilo deixa de se colocar da mesma forma. É a diferença entre pseudonimização e anonimização posta a trabalhar a seu favor.
O Velado faz esse passo no seu computador e repõe os dados na resposta. Pode experimentar no navegador; e, para pôr a regra por escrito, use o modelo de política de IA.
Perguntas frequentes
O Data Privacy Framework está em vigor?
Sim. A Comissão Europeia adotou a decisão de adequação em 10 de julho de 2023 e o Tribunal Geral da UE confirmou-a em 3 de setembro de 2025 (processo Latombe/Comissão). Foi interposto recurso para o Tribunal de Justiça; à data deste guia, não tínhamos confirmação de uma decisão final. Convém acompanhar.
Se o fornecedor guardar os dados na Europa, já não há transferência?
Guardar na UE reduz a questão, mas não a elimina sempre: pode haver acesso remoto a partir de fora da UE para suporte ou segurança, e alguns subcontratantes estão noutros países. Leia o acordo de tratamento de dados e a lista de subcontratantes do plano que contratou.
A pseudonimização dispensa o contrato com o fornecedor?
Não. Dados pseudonimizados continuam a ser dados pessoais para quem tem a chave, que é o gabinete. Continua a precisar de um fornecedor com contrato de subcontratação. O que muda é o risco: o fornecedor recebe códigos e valores, sem saber de quem são.
E o sigilo profissional?
É uma obrigação à parte do RGPD. Uma transferência pode ser perfeitamente legal e, mesmo assim, enviar o documento identificado ser revelar factos do cliente a um terceiro. Por isso a regra prática é tirar os identificadores antes de enviar.
Experimente com um documento seu
O Velado corre no navegador, no seu computador: nada é enviado para nenhum servidor.