IA e RGPD: o que uma empresa portuguesa tem de garantir
Pôr uma IA a atender clientes é pôr uma IA a tratar dados pessoais. Estas são as perguntas a que tem de saber responder antes de a ligar.
No momento em que um agente atende um cliente, passa a tratar dados pessoais: o nome, o número de telefone, o que a pessoa contou. O RGPD aplica-se exatamente como se aplicaria a um funcionário a fazer o mesmo. A diferença é que o agente escala, e portanto os erros também escalam.
1. Saber onde ficam os dados
É a primeira pergunta a fazer a qualquer fornecedor, e a resposta tem de ser concreta. Transferir dados pessoais para fora do Espaço Económico Europeu não é proibido, mas exige garantias específicas — e muitas empresas descobrem tarde que a ferramenta que escolheram os envia para outro continente sem nada disso tratado.
Peça por escrito: em que país estão os servidores, que subcontratantes têm acesso, e o que acontece aos dados quando o contrato acabar.
2. Ter contrato de subcontratação
Quem trata dados pessoais por sua conta é, na linguagem do RGPD, um subcontratante — e isso exige um contrato escrito entre as partes. Não é burocracia decorativa: é o documento que define o que o fornecedor pode e não pode fazer com os dados dos seus clientes, e o que lhe acontece se falhar.
Se um fornecedor estranhar o pedido de um contrato destes, considere isso um sinal. É documentação normal para quem trabalha com dados a sério.
3. Não alimentar modelos de terceiros
Esta é específica da IA e é das mais importantes. Algumas ferramentas usam as conversas dos clientes para treinar os modelos que servem toda a gente. Se as conversas dos seus clientes forem por esse caminho, deixou de controlar para onde vai aquela informação.
Exija por escrito que as conversas não são usadas para treinar modelos de terceiros. Nos nossos projetos isto é um requisito, não uma opção que se negoceia.
4. Recolher só o que é preciso
O princípio da minimização diz que só se devem recolher os dados necessários para a finalidade em causa. Um agente que marca consultas precisa de nome, contacto e motivo da marcação. Não precisa do número de contribuinte, nem da morada, nem do histórico clínico completo — por muito que fosse conveniente ter tudo à mão.
Na prática: percorra as perguntas que o agente faz, uma a uma, e para cada uma pergunte para que serve. As que não tiverem resposta clara, retire.
5. Definir quanto tempo guarda
Dados pessoais não se guardam «para sempre por precaução». Tem de haver um prazo, justificado pela finalidade ou por obrigação legal, e um processo que apague o que passou do prazo. Vale a pena decidir isto antes de arrancar: é muito mais fácil configurar a retenção no início do que ir limpar três anos de conversas depois.
6. Ter cuidado redobrado com dados sensíveis
Dados de saúde, convicções, dados biométricos e alguns outros têm proteção reforçada. Uma clínica cujo agente receba «tenho dores no peito» está a tratar dados de saúde, mesmo que ninguém tenha planeado isso.
É uma das razões pelas quais os nossos agentes em clínicas não fazem triagem clínica: além de ser má prática do ponto de vista de saúde, cada pergunta clínica traria mais dados sensíveis para dentro do sistema. Menos dados sensíveis recolhidos é menos risco para toda a gente.
7. Conseguir responder aos titulares
Qualquer pessoa pode pedir-lhe acesso aos seus dados, correção ou apagamento. Se um cliente pedir para apagarem tudo o que têm sobre ele, tem de conseguir fazê-lo — incluindo as conversas com o agente. Isto tem de ser possível tecnicamente, e alguém tem de saber como se faz.
8. Dizer às pessoas o que se passa
As pessoas têm direito a saber que estão a falar com um sistema automático e o que é feito com o que escrevem. Não precisa de um texto legal a abrir a conversa: basta o agente identificar-se e a política de privacidade estar acessível e escrita em português que se perceba.
Ver a nossa política de privacidade
Lista de verificação
- Sei em que país estão os servidores e tenho isso por escrito
- Tenho contrato de subcontratação assinado com o fornecedor
- Está garantido que as conversas não treinam modelos de terceiros
- O agente só pergunta o que é preciso para o que faz
- Há prazo de retenção definido e um processo que o cumpre
- Dados sensíveis estão identificados e tratados com cuidado reforçado
- Consigo apagar os dados de alguém que o peça
- O agente identifica-se e a política de privacidade está acessível
Perguntas frequentes
- Posso usar IA no atendimento de uma clínica?
- Pode, com cuidados acrescidos por causa dos dados de saúde. A abordagem mais segura é limitar o agente à parte administrativa — marcações, confirmações, documentação, informações gerais — e deixar tudo o que seja clínico para os profissionais. Assim resolve o problema real da receção sem trazer dados sensíveis para onde não precisam de estar.
- Preciso de um encarregado de proteção de dados?
- Depende da natureza e da escala do tratamento que faz, não de usar ou não usar IA. Há situações em que é obrigatório e outras em que não. Se trata dados sensíveis com regularidade, vale a pena confirmar com um jurista — a resposta muda conforme o caso.
- E se o fornecedor for de fora da Europa?
- Não está impedido de o usar, mas passa a ter de garantir as condições que o RGPD exige para transferências internacionais, com a documentação correspondente. É trabalho a mais e risco a mais. Quando existe alternativa dentro da União Europeia, costuma ser o caminho mais simples.
Ver aplicado ao seu setor