IA generativa no escritório: regras para usar sem riscos
Atualizado em 30 de outubro de 2026 · Pietro Cravero, EPD certificado
O problema mais frequente
Um trabalhador cola num assistente gratuito o e-mail de um cliente, um relatório clínico ou uma lista de salários para «resumir». Esses dados saem da empresa para um fornecedor com que não existe contrato e podem ser usados para treinar o modelo.
A solução não é proibir tudo: é escolher as ferramentas, contratar as versões profissionais adequadas e dizer claramente que dados não se introduzem.
Uma regra interna de uma página
Ferramentas autorizadas e com que tipo de conta (empresarial ou pessoal); dados que nunca se introduzem (saúde, dados de clientes identificados, palavras-passe, informação confidencial); revisão humana obrigatória antes de enviar ou publicar; a quem perguntar em caso de dúvida.
Com o Regulamento (UE) 2026/1744, aplicável desde 27 de julho de 2026, o art. 4.º passou a exigir a adoção de medidas de literacia, e não a garantia de um determinado nível: a regra interna e uma formação curta documentada são as medidas mais comuns.
Contrato e transferências
Para usos com dados pessoais, o fornecedor atua normalmente como subcontratante: é preciso um contrato com as cláusulas do art. 28.º do RGPD e, se os dados saírem da UE, um fundamento para a transferência (art. 44.º e seguintes).
Convém verificar se o fornecedor usa os dados introduzidos para treinar os seus modelos e como se desativa essa opção.
Transparência
Quem interage com um chatbot deve saber que fala com uma máquina; essa obrigação é do fornecedor do sistema (art. 50.º, n.º 1); uma empresa que disponibilize um chatbot próprio, em seu nome, pode ser ela própria fornecedora.
O responsável pela implantação que gere ou manipule imagens, áudio ou vídeo que constituam deepfakes deve divulgar que são artificiais; para textos publicados para informar o público sobre questões de interesse público, a obrigação não se aplica se houver revisão humana e responsabilidade editorial (art. 50.º, n.º 4).
Perguntas frequentes
Podemos simplesmente proibir a IA generativa?
Pode ser uma medida temporária, mas na prática os trabalhadores continuam a usá-la nos telemóveis pessoais. Uma regra clara com ferramentas autorizadas costuma proteger melhor.
Usar a versão gratuita com dados de clientes é uma violação de dados?
Pode ser, se os dados forem comunicados a terceiros sem fundamento. Deve ser avaliado caso a caso, registado internamente (art. 33.º, n.º 5, RGPD) e, salvo se for improvável que resulte num risco, notificado à CNPD no prazo de 72 horas (art. 33.º, n.º 1).
A formação de literacia tem de ser certificada?
Não: o art. 4.º não exige certificação. Exige medidas adequadas ao contexto, que convém documentar.
Informação geral, não constitui aconselhamento jurídico para um caso concreto. Atualizado em 30 de outubro de 2026.
Quer aplicar isto à sua organização?
Envie-nos a sua situação: respondemos por escrito, em português, com uma primeira avaliação gratuita.