Podemos usar o ChatGPT, o Claude ou o Copilot com dados pessoais?
Resposta curta
Sim, pode ser lícito, mas só se existir uma base de licitude, se usar apenas os dados necessários, se tiver um contrato de subcontratação com o fornecedor de IA e controlo das transferências para fora da UE. O caminho mais seguro é deixar a IA trabalhar sem os nomes reais: pseudonimize os dados antes de os enviar e mantenha a chave na sua empresa, na UE. Os dados pseudonimizados continuam a ser dados pessoais para a sua empresa.
O que diz o RGPD?
O RGPD não proíbe a IA. Mas aplicam-se as mesmas regras de qualquer outra utilização de dados pessoais:
- É preciso uma base de licitude e uma finalidade clara.
- Só pode usar as informações necessárias para a tarefa (minimização dos dados).
- Se o fornecedor de IA tratar dados por conta da sua empresa, é preciso um contrato de subcontratação.
- Se os dados forem enviados para um país fora da UE, a transferência precisa de um fundamento especial.
O mais difícil é a minimização. Se pedir à IA que faça a triagem dos pedidos de clientes, ela precisa do que o cliente escreve, não do nome, do e-mail, do telefone e do número de conta do cliente.
Deixe a IA trabalhar sem os nomes reais
A pseudonimização significa que nomes, e-mails, números de identificação e outras informações são substituídos por códigos fixos, por exemplo [PERSON_1], antes de os dados serem enviados à IA. A chave fica na sua empresa. Quando a resposta volta, os nomes reais são repostos, mas só na sua empresa.
É assim no pacote GoalCube Dados pessoais. À esquerda estão os nomes reais, que ficam na UE. À direita está o que a IA vê.
Pedidos de clientes setembro de 20265 linhas
| Cliente | Localidade | Assunto | |
|---|---|---|---|
| Inês Carvalho | ines.carvalho@example.com | Tomar | Reembolso |
| Tiago Pereira | tiago.pereira@example.com | Barcelos | Entrega |
| Marta Ferreira | marta.ferreira@example.com | Covilhã | Reclamação |
| Rui Teixeira | rui.teixeira@example.com | Bragança | Entrega |
| Carolina Mendes | carolina.mendes@example.com | Tavira | Reembolso |
Pedido Bom dia, chamo-me Inês Carvalho. Devolvi a encomenda 7012345678 há duas semanas e ainda não recebi o dinheiro. Peço que o transfiram para PT50 0035 0123 0000 1234 5673 4. Cumprimentos, Inês
| Cliente | Localidade | Assunto | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | Centro | Reembolso |
| [PERSON_2] | [EMAIL_2] | Norte | Entrega |
| [PERSON_3] | [EMAIL_3] | Centro | Reclamação |
| [PERSON_4] | [EMAIL_4] | Norte | Entrega |
| [PERSON_5] | [EMAIL_5] | Algarve | Reembolso |
Pedido Bom dia, chamo-me [PERSON_1]. Devolvi a encomenda [ID_1] há duas semanas e ainda não recebi o dinheiro. Peço que o transfiram para [IBAN_1]. Cumprimentos, [PERSON_1]
Inês Carvalho e Carolina Mendes aguardam um reembolso e devem receber resposta hoje. Rui Teixeira espera há 10 dias por uma encomenda. Proposta de resposta a Inês Carvalho: "Bom dia Inês Carvalho, obrigado pela sua paciência. O dinheiro está a caminho e chega à sua conta em 5 dias úteis."
[PERSON_1] e [PERSON_5] aguardam um reembolso e devem receber resposta hoje. [PERSON_4] espera há 10 dias por uma encomenda. Proposta de resposta a [PERSON_1]: "Bom dia [PERSON_1], obrigado pela sua paciência. O dinheiro está a caminho e chega à sua conta em 5 dias úteis."
Recrutamento primavera 20274 linhas
| Candidato | Nascimento | NIF | Empregador | Experiência |
|---|---|---|---|---|
| Margarida Nogueira | 1985-03-12 | 245173800 | Serra Madeiras S.A. | 12 |
| Duarte Lopes | 1992-11-02 | 198334600 | Tejo Logística S.A. | 4 |
| Sofia Barbosa | 1988-06-21 | 271649250 | Vouga Metal S.A. | 9 |
| Pedro Moreira | 1979-01-30 | 238901560 | Sado Farma S.A. | 18 |
Currículo Margarida Nogueira trabalha na Serra Madeiras S.A. há 12 anos em planeamento orçamental e relatórios mensais. Implementou um novo sistema ERP e lidera uma equipa de três pessoas. Contacto: margarida.nogueira@example.com.
| Candidato | Nascimento | NIF | Empregador | Experiência |
|---|---|---|---|---|
| [PERSON_1] | 40–49 anos | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 anos | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 anos | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 anos | [ID_4] | [VIRKSOMHED_4] | 18 |
Currículo [PERSON_1] trabalha na [VIRKSOMHED_1] há 12 anos em planeamento orçamental e relatórios mensais. Implementou um novo sistema ERP e lidera uma equipa de três pessoas. Contacto: [EMAIL_1].
Margarida Nogueira e Sofia Barbosa têm mais de 5 anos de experiência e merecem uma entrevista; pergunte a Sofia Barbosa pela experiência com sistemas ERP. Duarte Lopes tem 4 anos de experiência; são exigidos 5. A decisão é tomada por um ser humano.
[PERSON_1] e [PERSON_3] têm mais de 5 anos de experiência e merecem uma entrevista; pergunte a [PERSON_3] pela experiência com sistemas ERP. [PERSON_2] tem 4 anos de experiência; são exigidos 5. A decisão é tomada por um ser humano.
Contratos de fornecedores 20264 linhas
| Fornecedor | Pessoa de contacto | Conta | Termina em |
|---|---|---|---|
| Douro Componentes S.A. | Ricardo Tavares | PT50 0018 0240 0000 8812 3401 2 | 2027-01-31 |
| Alentejo Cloud S.A. | Beatriz Cardoso | PT50 0035 0587 0001 2056 7891 5 | 2026-12-31 |
| Mondego Precisão S.A. | André Ribeiro | PT50 0010 0000 4521 3300 1670 7 | 2028-06-30 |
| Minho Embalagens S.A. | Carla Pinto | PT50 0035 0314 0002 9087 6540 3 | 2027-03-31 |
Condições A Douro Componentes S.A. fornece componentes especiais para o Projeto Atlântico. O preço é ajustado anualmente de acordo com o índice de preços no consumidor mais 3 %. A responsabilidade está limitada a 10 % do valor anual do contrato. Para alterações, contacte Ricardo Tavares.
| Fornecedor | Pessoa de contacto | Conta | Termina em |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Condições A [VIRKSOMHED_1] fornece componentes especiais para o [PROJEKT_1]. O preço é ajustado anualmente de acordo com o índice de preços no consumidor mais 3 %. A responsabilidade está limitada a 10 % do valor anual do contrato. Para alterações, contacte [PERSON_1].
O contrato com Douro Componentes S.A. renova-se automaticamente se não for denunciado até 31 de outubro. É importante para um projeto interno, por isso é melhor renegociar o preço do que denunciar. O contrato com Minho Embalagens S.A. também se renova automaticamente; o prazo é 31 de dezembro.
O contrato com [VIRKSOMHED_1] renova-se automaticamente se não for denunciado até 31 de outubro. É importante para um projeto interno, por isso é melhor renegociar o preço do que denunciar. O contrato com [VIRKSOMHED_4] também se renova automaticamente; o prazo é 31 de dezembro.
Dados fictícios. Aponte para um nome ou um pseudónimo para ver o que está ligado.
O género raramente é relevante para a tarefa e não deve poder influenciar uma avaliação. Em português, a GoalCube não reescreve pronomes como «ela» e «ele», e o texto pode continuar a revelar o género (por exemplo, «a candidata»). Retire essas palavras quando não forem necessárias.
Experimente
Escreva ou cole um texto. Junte os seus próprios termos secretos, por exemplo, o nome de um projeto ou de um cliente importante, e veja o que a IA receberia.
O que a pseudonimização não resolve
A pseudonimização é uma ferramenta poderosa, mas não resolve tudo:
- Os dados continuam a ser dados pessoais para a sua empresa. Continua a precisar de base de licitude, de contratos e de controlo da eliminação.
- O texto livre pode identificar uma pessoa. «A nossa única engenheira em Bragança» é reconhecível sem nome. Por isso, a GoalCube mostra um risco de identificação para cada registo.
- A IA pode continuar a errar. As decisões sobre pessoas têm de ser tomadas por uma pessoa. Veja o artigo sobre a decisão humana nos termos do artigo 22.º do RGPD.
Como fazer
- Anote a utilização.Em que deve a IA ajudar e que dados vai usar? É o primeiro passo, tanto para o RGPD como para o AI Act.
- Verifique a base de licitude e a finalidade.É preciso uma base de licitude para tratar as informações, e a nova finalidade tem de ser compatível com aquela para que foram recolhidas.
- Verifique o fornecedor de IA.Existe um contrato de subcontratação? O fornecedor usa os seus dados para treinar os modelos? Onde são tratados os dados?
- Retire o que a IA não precisa.Nomes, e-mails, números de identificação, números de conta e moradas raramente são necessários para fazer a tarefa. Substitua-os por pseudónimos antes de enviar os dados.
- Mantenha a chave na UE.Mostre os nomes reais apenas na sua empresa, por exemplo, quando a resposta da IA volta.
- Pondere uma avaliação de impacto.Se a IA avaliar, por exemplo, candidatos ou trabalhadores de forma sistemática, pode ser exigida uma avaliação de impacto sobre a proteção de dados (AIPD).
O que diz a lei
- RGPD, artigo 5.º – princípios
- Entre outros, a limitação das finalidades e a minimização dos dados: use apenas as informações necessárias para a finalidade.
- RGPD, artigo 4.º, ponto 5, e considerando 26 – pseudonimização
- Dados que não podem ser atribuídos a uma pessoa sem uma chave guardada em separado. Quem tem a chave continua a tratar dados pessoais.
- RGPD, artigos 25.º e 32.º – proteção de dados desde a conceção e segurança
- A pseudonimização é referida expressamente como uma medida que pode proteger os titulares dos dados.
- RGPD, artigo 28.º – subcontratantes
- Se um fornecedor trata dados pessoais por conta da sua empresa, tem de existir um contrato de subcontratação.
- RGPD, artigo 35.º – avaliação de impacto
- É exigida quando um tratamento é suscetível de implicar um elevado risco, por exemplo, a avaliação sistemática de pessoas.
- RGPD, artigo 44.º – transferências para fora da UE
- Os dados pessoais só podem ser enviados para países fora da UE/EEE com um fundamento especial, por exemplo, uma decisão de adequação ou cláusulas contratuais-tipo.
Perguntas e respostas
Os dados pseudonimizados são anónimos?
Não. Enquanto alguém, por exemplo a sua empresa, tiver a chave para encontrar os nomes reais, os dados continuam a ser dados pessoais nos termos do RGPD. A pseudonimização reduz o risco, mas não dispensa as regras.
Podemos colar um CV diretamente no ChatGPT?
Pode ser lícito, com uma base de licitude e um contrato com o fornecedor, mas um CV contém muito que a IA não precisa: nome, morada, idade e, muitas vezes, género. São precisamente as informações que podem influenciar uma avaliação. Retire-as ou substitua-as por pseudónimos primeiro.
A IA treina com os nossos dados?
Depende do serviço e do contrato. Muitas versões para empresas não usam, por defeito, os dados dos clientes para treino, mas confirme-o no seu próprio contrato e nas suas definições.
E se o fornecedor estiver fora da UE?
Então a transferência precisa de um fundamento especial. Com a pseudonimização na UE, os nomes reais nunca saem da UE: a IA só recebe pseudónimos.
Isto também se aplica a dados comerciais confidenciais?
O RGPD só se aplica a dados pessoais, mas o mesmo método protege também nomes de clientes, contratos, preços e nomes de projetos internos. Na GoalCube pode escrever os seus próprios termos secretos, que são sempre ocultados.
Fontes
Escrito por Redação da GoalCube. Última atualização 11 de outubro de 2026. A GoalCube ajuda a sua empresa a cumprir o AI Act e o RGPD. Não é aconselhamento jurídico.
Esteja entre os primeiros.
Esperamos entrar no ar em novembro de 2026. Peça acesso e avisamos quando puder começar.