Contrato de subcontratação com o fornecedor de IA: o que deve verificar?
Resposta curta
Quando um serviço de IA trata dados pessoais por conta da empresa, é subcontratante e a empresa tem de ter um contrato de subcontratação nos termos do artigo 28.º do RGPD. Os grandes serviços têm contratos-tipo nos seus planos empresariais. Verifique sobretudo: se os dados só são tratados segundo as instruções da empresa (sem treino), onde são tratados e qual o fundamento da transferência, os subcontratantes ulteriores, a eliminação e a segurança. Os planos gratuitos e pessoais não têm, em regra, contrato.
Estado nos grandes serviços
| Serviço | Planos | Treina com os seus dados? | Dados na UE? | Contrato de subcontratação? | Conectores próprios? |
|---|---|---|---|---|---|
| ChatGPT OpenAI, EUA | Business (antes Team) e Enterprise | Não. Por omissão, os dados da empresa não são usados para treino. | Só no Enterprise: os novos workspaces podem ter os dados armazenados e tratados na UE. Não no Business. | Sim. O contrato de subcontratação faz parte do acordo (OpenAI Ireland para clientes da UE). | Sim. Conectores próprios através do modo de programador; um administrador ativa-o. |
| Claude Anthropic, EUA | Team e Enterprise | Não. Os dados não são usados para treino, a menos que a própria empresa diga que sim. | Não. Os dados são armazenados nos EUA; não há armazenamento na UE à escolha. | Sim. O contrato de subcontratação integra automaticamente as condições comerciais. | Sim. Um proprietário adiciona conectores próprios para toda a organização. |
| Microsoft 365 Copilot Microsoft, EUA | Compra adicional para o Microsoft 365 para empresas | Não. Os prompts, as respostas e os dados da empresa não são usados para treino. | Sim, dentro do EU Data Boundary. Mas os novos clientes da UE podem ter pedidos tratados fora da UE em períodos de pico (flex routing), o que pode ser desativado. | Sim. Abrangido pelos termos do produto e pelo contrato de subcontratação da Microsoft. | Sim, através de agentes no Copilot Studio. Requisito de licença não confirmado. |
| Vibe (tidl. Le Chat) Mistral AI, França | Pro, Team e Enterprise | Pro e Team: sim por omissão; um administrador tem de o desativar. Enterprise: não. | Servidores na UE (Suécia). Algumas funções podem enviar dados para fora da UE; só o Enterprise pode desativá-lo. | Sim. Não está confirmado se abrange o Pro e o Team. | Sim. Um administrador pode adicionar conectores próprios. |
| Gemini i Google Workspace Google, EUA | Workspace Business e Enterprise | Não. Os dados do Workspace e os prompts não são usados para treino sem autorização. | Armazenamento e tratamento na UE apenas com o Enterprise Plus ou com a compra adicional de Data Regions. Business: apenas armazenamento. | Sim. Um administrador tem de a aceitar na consola de administração, se ainda não estiver no contrato. | Não confirmado para o Gemini no Workspace. |
Verificado 9 de outubro de 2026. Os planos gratuitos e privados (ChatGPT Free/Plus, Claude Free/Pro, a aplicação Gemini, Vibe Free) não têm contrato de subcontratação e podem treinar com os dados. Não são adequados para os dados pessoais da empresa.
A armadilha: funções de IA noutras ferramentas
Muitas ferramentas ganharam funções de IA – CRM, contabilidade, e-mail. Verifique se o contrato também abrange a função de IA e se esta envia dados para um subcontratante ulterior como a OpenAI ou a Anthropic.
Como fazer
- Instruções.Os dados só podem ser usados para prestar o serviço à empresa – não para treino.
- Localização e transferência.Onde são tratados os dados e com que fundamento?
- Subcontratantes ulteriores.Quem são e como é a empresa informada das alterações?
- Eliminação e conservação.Durante quanto tempo se guardam os pedidos e as respostas?
- Segurança e violações.Que medidas existem e em quanto tempo a empresa é informada de uma violação?
O que diz a lei
- RGPD, artigo 28.º – subcontratantes
- O n.º 3 enumera o que o contrato deve conter.
- Cláusulas contratuais-tipo da Comissão (2021/915) – artigo 28.º
- Cláusulas-tipo que podem servir de contrato de subcontratação.
Perguntas e respostas
O ChatGPT tem contrato de subcontratação?
Sim, nos planos Business e Enterprise. Para clientes da UE, é celebrado com a OpenAI Ireland.
Temos de assinar alguma coisa com a Anthropic?
O contrato de subcontratação faz parte automaticamente dos termos comerciais da Anthropic.
A GoalCube é subcontratante?
Sim, a GoalCube trata os dados pessoais reais por conta da empresa, na UE, e celebra um contrato de subcontratação. O serviço de IA recebe apenas pseudónimos.
Fontes
Escrito por Redação da GoalCube. Última atualização 11 de outubro de 2026. A GoalCube ajuda a sua empresa a cumprir o AI Act e o RGPD. Não é aconselhamento jurídico.
Esteja entre os primeiros.
Esperamos entrar no ar em novembro de 2026. Peça acesso e avisamos quando puder começar.