Envio de bases de clientes para o ChatGPT: o enquadramento legal

Considere este texto como notas práticas partilhadas gratuitamente: mostramos como o processo se desenrola normalmente, não como deve ser exatamente no seu caso. Está num escritório com 50 pessoas. O comercial levanta os olhos do computador e diz que há um mês cola excertos da base de dados de clientes no ChatGPT para redigir propostas mais depressa. Funciona, poupa-lhe 2 horas por dia. A questão é: isto é legal? Numa empresa que seja responsável pelo tratamento de dados pessoais, a resposta depende de um único fator: o tipo de conta desse comercial e a existência de um acordo de subcontratação assinado com o fornecedor. A maioria das PME utiliza contas privadas gratuitas, que é o pior cenário possível.

AIImagem gerada por IA.

A diferença não é cosmética. Nos planos Free e Plus, a OpenAI atua como responsável pelo tratamento: não existe contrato de subcontratação e os conteúdos podem servir para treinar modelos. Nos planos Team, Enterprise e API, a OpenAI atua como subcontratante, assina um Data Processing Addendum e permite desativar o treino com os dados do cliente. Esta é a primeira decisão da qual tudo o resto depende. A base legal corresponde normalmente à alínea b) ou f) do n.º 1 do artigo 6.º do RGPD e, para dados sensíveis, ao artigo 9.º. A transferência para os EUA, após a decisão da Comissão de 10 de julho de 2023, baseia-se no Data Privacy Framework, desde que o fornecedor seja certificado.

O que pode ser implementado esta semana

Passo 1: verificar as contas utilizadas pela equipa. Tempo: 30 minutos, executado pela gerência ou departamento de TI. Basta perguntar às equipas de vendas e marketing quem utiliza o ChatGPT, Claude ou Gemini e se o acesso é feito com e-mail profissional ou pessoal. Passo 2: migrar para uma conta empresarial. Tempo: 1 dia, executado pelo administrador. Para 50 utilizadores, o custo ronda 15 000–30 000 PLN por ano no plano Team (25–30 USD por utilizador por mês). Nos planos Team e Enterprise, assina-se o DPA e desativa-se o treino nas definições. Passo 3: atualizar o registo das atividades de tratamento. Tempo: 2 horas, executado pelo responsável pelo RGPD. O registo deve incluir: designação da atividade (por exemplo, "Preparação de propostas com ChatGPT Team"), finalidade, base jurídica, categorias de titulares e dados, destinatário (OpenAI Ireland Ltd como subcontratante), transferência para os EUA com base no artigo 45.º do RGPD em articulação com o DPF, período de conservação (até 30 dias na API, durante a vigência do contrato no Enterprise) e medidas de segurança. Passo 4: atualizar a política de privacidade e informar os colaboradores. Tempo: 2 horas, executado pelo marketing ou departamento jurídico. Basta acrescentar um parágrafo sobre o novo subcontratante e enviar um e-mail a relembrar que apenas se inserem no modelo os dados estritamente necessários à resposta.

O que não deve fazer de imediato

Não adquira logo o plano Enterprise: para 50 pessoas é normalmente excessivo, o plano Team chega e a diferença de preço pode ser o dobro. Não implemente um modelo open source local apenas para contornar a cloud: é um projeto de meses, enquanto uma conta empresarial resolve o problema numa semana. Não redija uma nova política de privacidade do zero: uma adenda à existente costuma bastar. Não bloqueie totalmente o acesso dos colaboradores à IA, pois regressarão às contas privadas e perderá o controlo. E não assine o DPA sem verificar se o fornecedor consta efetivamente da pesquisa do Data Privacy Framework: o documento por si só não chega se faltar a certificação.

AIImagem gerada por IA.

Como validar os resultados após duas semanas

Um indicador: percentagem de colaboradores a utilizar IA na conta empresarial com o treino desativado. A leitura é simples: no painel de administração da OpenAI, verifique quantas pessoas iniciam sessão com o e-mail profissional e quantas ainda utilizam contas privadas. Se, após duas semanas, mais de 20% dos utilizadores continuarem a trabalhar em contas gratuitas, significa que a formação não funcionou e é necessário retomar a comunicação ou bloquear tecnicamente o acesso às versões gratuitas. Menos de 20% é um estado aceitável para começar; o restante ajusta-se no mês seguinte.

Os custos desta semana representam sobretudo tempo: no total, cerca de 6 horas de trabalho distribuídas por quatro pessoas. As licenças empresariais rondam 15–30 mil PLN por ano, mas compare este valor com o risco: a coima pela ausência de base legal ou de acordo de subcontratação atinge 20 milhões de EUR ou 4% do volume de negócios anual. Na prática, as PME raramente recebem sanções máximas, mas o próprio processo de inquérito da autoridade de proteção de dados pode prolongar-se durante meses. Se preferir não fazer este processo internamente, a HEXART implementa estas configurações nos clientes: desde a escolha do plano e assinatura do DPA até ao registo das atividades de tratamento e formação da equipa. Sem ruturas, numa semana.