Um colaborador colou dados pessoais no ChatGPT. O que fazemos agora?
Resposta curta
Mantenha a calma e atue depressa. Descubra que dados foram enviados, para que serviço e com que plano. Apague a conversa e desative o treino. Avalie se há uma violação de dados pessoais: se for provável que resulte num risco para as pessoas, tem de ser notificada à CNPD no prazo de 72 horas. Se o risco for elevado, as pessoas também têm de ser informadas. Documente sempre o incidente – mesmo quando não tem de ser notificado – e aprenda com ele.
O que conta na avaliação?
| Aumenta o risco | Diminui o risco |
|---|---|
| Dados sensíveis, números de identificação, números de conta | Apenas nomes e e-mails profissionais |
| Muitas pessoas | Poucas pessoas |
| Plano gratuito com treino | Plano empresarial sem treino e com contrato |
| Os dados não podem ser apagados | A conversa foi apagada |
Prevenir em vez de remediar
Com a GoalCube, os colaboradores podem usar IA sobre dados reais, porque a IA só vê códigos. E se um nome acabar por aparecer na resposta da IA, a verificação de fugas da GoalCube deteta-o.
Como fazer
- Pare a partilha de mais dados.Peça ao colaborador que pare e guarde uma captura de ecrã.
- Apure a extensão.Que dados, quantas pessoas, que serviço e que plano.
- Limite os danos.Apague a conversa, desative o treino e, se for possível, contacte o fornecedor.
- Avalie o risco.Dados sensíveis, números de identificação ou muitas pessoas aumentam o risco.
- Notifique, se houver risco.À CNPD, no prazo de 72 horas após ter tido conhecimento da violação.
- Documente e aprenda.Todas as violações têm de ser documentadas internamente. Atualize a política e a formação.
O que diz a lei
- RGPD, artigo 33.º – notificação à autoridade de controlo
- No prazo de 72 horas, a menos que seja improvável que a violação resulte num risco.
- RGPD, artigo 34.º – comunicação aos titulares dos dados
- Quando a violação for suscetível de implicar um risco elevado para os direitos das pessoas.
Perguntas e respostas
É sempre uma violação?
Nem sempre. Se os dados foram para um plano empresarial com contrato de subcontratação, pode tratar-se de um erro quanto à finalidade e não de uma violação. Avalie cada caso.
Como evitamos que volte a acontecer?
Uma boa alternativa: uma ferramenta aprovada em que a IA só vê pseudónimos, para que não tenha importância o colaborador usar dados reais.
Fontes
Escrito por Redação da GoalCube. Última atualização 11 de outubro de 2026. A GoalCube ajuda a sua empresa a cumprir o AI Act e o RGPD. Não é aconselhamento jurídico.
Esteja entre os primeiros.
Esperamos entrar no ar em novembro de 2026. Peça acesso e avisamos quando puder começar.