A sua equipa usa ChatGPT, isso é uma fuga de dados?

Neste momento, algures na sua empresa, alguém está a colar um e-mail de cliente no ChatGPT para o transformar numa resposta cuidada. Ou um orçamento. Ou uma lista de nomes e números para ‚organizar depressa‘. Cómodo, rápido, e exatamente o tipo de ação contra a qual a autoridade neerlandesa de proteção de dados avisa. Porque assim que dados pessoais chegam a um chatbot de IA, isso pode ser uma fuga de dados. Uma que tem de comunicar em 72 horas. A sua equipa usa ChatGPT há muito, a questão é se sabe o que lá colocam.

Shadow AI: a sua gente usa IA e não sabe para quê

Há um nome para isto: shadow AI. Os colaboradores usam ferramentas de IA, ChatGPT, Copilot, Gemini, sites de tradução gratuitos, sem que existam acordos. Não por má intenção. Só querem trabalhar mais depressa. Mas como ninguém tem a visão de conjunto, não sabe que informação da empresa sai do edifício.

Essa lacuna entre usar e saber-o-que-se-faz é o problema. Três quartos da sua gente trabalha com IA. Um em cada sete aprendeu a fazê-lo em segurança. O resto adivinha, e, no pior caso, cola dados sensíveis de clientes numa ferramenta sem saber para onde vão esses dados.

Porque ‚só ChatGPT‘ pode ser uma fuga

A autoridade neerlandesa de proteção de dados (AP), o regulador nacional da privacidade, emitiu um aviso claro sobre isto. Recebeu várias comunicações de fugas causadas pelo uso de chatbots de IA. O exemplo mais conhecido: um colaborador de um consultório médico introduziu dados médicos de pacientes num chatbot. A empresa por trás do chatbot pode armazenar e reutilizar o que é introduzido, e aí já perdeu o controlo.

Não é preciso ser médico para correr o mesmo risco. Um nome, um número de telefone, uma morada de cliente, um processo de pessoal, um e-mail com uma reclamação, são todos dados pessoais. Assim que chegam a um chatbot de IA sem que saiba o que lhes acontece, isso pode ser uma fuga ao abrigo do RGPD. E uma fuga com dados pessoais tem de ser comunicada ao regulador em 72 horas. Se não o fizer, só isso já pode dar origem a uma coima.

O que a sua gente provavelmente já está a introduzir

Não pergunte diretamente à sua equipa, quase ninguém diz ‚sim, colo dados de clientes no ChatGPT‘. Mas olhe com honestidade para o que acontece todos os dias:

• E-mails de clientes ‚reescritos à pressa‘, com nome, número de encomenda e por vezes uma reclamação sobre uma pessoa
• Orçamentos e faturas colados como exemplo para gerar um novo
• Listas de nomes, e-mails ou números para ‚organizar ou limpar‘
• Candidaturas e CV resumidos ou avaliados pela IA
• Atas e notas de reuniões com nomes de clientes, fornecedores ou pessoal
• Excertos da sua contabilidade ou do seu sistema de clientes dados como contexto

Cada uma, uma ação lógica e bem-intencionada. E cada uma, uma possível fuga se a ferramenta não estiver configurada em segurança.

O risco duplo: não só o RGPD

Desde 2 de fevereiro de 2025 há mais uma coisa. A lei europeia da IA (o AI Act) obriga toda a empresa que usa IA a garantir que o pessoal é ‚competente em IA‘, precisam de conhecimentos básicos do que a ferramenta pode e não pode fazer em segurança. É o artigo 4. Por isso, um colaborador que cola dados de clientes num chatbot é duas coisas ao mesmo tempo: uma possível fuga RGPD e um sinal de que não cumpre esse requisito de competência em IA.

Portanto não está a diminuir. Onde no ano passado era ‚alguém pergunta algo ao ChatGPT‘, funcionam agora cada vez mais ferramentas que enviam e-mails, marcam compromissos ou processam ficheiros sozinhas. Se não tiver visão disso, o risco cresce de semana para semana.

O ChatGPT é sequer permitido ao abrigo do RGPD?

Sim, o ChatGPT não é proibido. Não se trata da ferramenta, mas do que lá coloca. Pedir ao ChatGPT para escrever um blog ou desenvolver uma ideia sem dados pessoais? Nenhum problema. Colar um ficheiro de clientes ou um e-mail com nomes? É aí que começa o risco. O limite é simples: se entra informação com a qual se pode identificar uma pessoa, não tem lugar numa ferramenta de IA aberta. Essa única regra evita a grande maioria dos problemas.

Proibir não funciona, piora as coisas

O primeiro reflexo de muitos empresários: ‚ChatGPT no trabalho? Proibido.‘ Compreensível, mas sai o tiro pela culatra. A sua gente usa-o porque lhes facilita o trabalho. Se o proibir, não param, apenas o fazem às escondidas, no próprio telemóvel, fora de toda a vista. Assim torna o problema invisível em vez de menor. A solução não é menos IA, mas uma IA em que possa confiar.

O que funciona, em 4 passos

• Torne-o conversável. Pergunte, sem censura, que ferramentas a sua equipa usa e para quê. Vai assustar-se com quanto já funciona. Este é também o primeiro passo da competência em IA exigida pela lei.
• Combine o que nunca pode entrar numa ferramenta de IA aberta. Uma regra simples que todos percebem: nem nomes, nem dados de clientes, nem processos de pessoal no ChatGPT ou num site de tradução gratuito. Ponha numa página.
• Ofereça uma alternativa segura. É o cerne: enquanto não houver uma ferramenta boa e segura, as pessoas continuam a usar a insegura. Garanta uma versão de onde os dados da empresa não saiam.
• Mantenha-o vivo. Atribua a responsabilidade a uma pessoa, reveja-o brevemente uma vez por trimestre e ajuste os acordos quando surgirem novas ferramentas.

A solução real: a sua própria versão segura

Uma lista de regras não trava ninguém sob pressão. O que funciona é uma ferramenta de IA tão fácil como o ChatGPT, mas configurada para a sua empresa, ligada aos seus próprios sistemas de modo a que os dados de clientes fiquem em casa. A sua gente tem a rapidez que pede e você mantém o controlo de para onde vão os dados.

Não tem de ser um projeto grande e caro. Muitas vezes começa com as duas ou três ações para que a sua equipa mais recorre à IA, responder a e-mails, fazer orçamentos, limpar listas, e constrói uma versão segura para isso. O resto vem por si assim que as pessoas veem que funciona e que é permitido.

Como a Socialo aborda isto

Não começamos com uma ferramenta, mas com uma pergunta: que IA a sua gente usa agora e o que lá colocam? Mapeamos isso no scan de IA (gratuito), uma radiografia de onde está o seu tempo e o seu risco. Depois construímos a substituição segura: uma IA que assume o trabalho para o qual a sua equipa a usa às escondidas, mas ligada aos seus próprios sistemas e sem que os dados de clientes saiam da sua empresa. Sem curso de teoria de conformidade, apenas algo que funciona em segurança.

O shadow AI não é um problema do futuro. A sua equipa usa IA agora, todos os dias, muitas vezes com dados que não deviam sair do edifício. A boa notícia: não tem de o proibir nem de contratar um advogado. Só tem de o tornar visível e oferecer uma alternativa segura. Resolva isso agora e estará à frente, em vez de correr atrás dos factos com uma comunicação de fuga na mão.