Onde ficam os teus dados quando usas IA?

Deixas um assistente de IA ler a tua caixa de entrada, ou colas um orçamento no ChatGPT para ser revisto. Nesse momento, algo teu sai porta fora. Onde ficam os teus dados quando usas IA e quem lhes consegue aceder? Quase ninguém faz esta pergunta antes. E quase todos os empresários acabam por recebê-la meio ano depois, de um cliente, do contabilista ou de um funcionário que se pergunta se aquilo é permitido. Aqui vai a resposta honesta: sem alarmismo e sem fingir que precisas de um departamento de informática.

O que acontece quando a IA lê um único e-mail de cliente

Imagina: um cliente escreve uma pergunta sobre uma entrega e o teu assistente de IA propõe a resposta. Esse e-mail passa por três sítios. Vale a pena separá-los, porque são três escolhas independentes que nada têm a ver umas com as outras.

• O sítio onde os teus ficheiros e mensagens já estavam, o programa de e-mail, a pasta de documentos, o sistema de clientes.
• O sítio onde se pensa, os computadores da empresa que faz correr o modelo de IA. É para lá que vai o texto do e-mail e é de lá que vem a resposta.
• O sítio onde corre a peça intermédia, o pedaço que vai buscar o e-mail, o entrega e devolve a resposta. Normalmente é a parte que alguém constrói para ti.

Cada um destes três sítios pode estar nos Países Baixos, noutro ponto da Europa ou nos Estados Unidos. E podes escolhê-los separadamente. É exatamente aí que estas conversas se estragam: alguém diz «os nossos dados estão na Europa» referindo-se apenas ao primeiro ponto, enquanto o pensamento acontece tranquilamente na América. Ou ao contrário.

«Servidores europeus» e «empresa europeia» não são a mesma coisa

Esta é a parte que a maioria dos empresários nunca ouve. A CLOUD Act norte-americana de 2018 obriga as empresas dos EUA a entregar dados às autoridades americanas quando existe uma ordem válida, mesmo que esses dados estejam em servidores na Europa. A lei olha para quem é o fornecedor, não para onde está o armário. Um centro de dados em Amesterdão de uma empresa americana é, portanto, outra coisa que um centro de dados em Amesterdão de uma empresa neerlandesa.

Por outro lado, existe um acordo europeu que permite precisamente a circulação de dados com entidades americanas. Esse acordo foi confirmado em primeira instância pelo tribunal europeu em 2025, mas há um recurso pendente no Tribunal de Justiça. Traduzido para a tua situação: hoje é permitido, e não é certo que as regras sejam as mesmas daqui a dois anos.

O que podes mesmo escolher, sítio a sítio

A boa notícia: tens mais escolha do que pensas e normalmente não custa nada a mais. A má: tens de escolher antes, porque mudar depois custa mesmo dinheiro.

Para o pensamento, o modelo que escreve o texto, os grandes fornecedores já oferecem processamento europeu, mas não em todas as subscrições. A OpenAI faz isso desde fevereiro de 2025 para as versões empresariais (ChatGPT Enterprise e Edu) e para os projetos na sua plataforma para programadores, em que o texto é processado na Europa e nada fica guardado. Uma subscrição Plus ou Business normal não está incluída. Essa diferença é enorme e não consta de nenhuma página de preços. Há ainda criadores de modelos europeus, como a francesa Mistral, em que a pergunta simplesmente não se coloca.

Para a peça intermédia, a parte que nós e outras agências construímos para ti, a escolha é a mais simples. Pode perfeitamente correr num servidor num centro de dados neerlandês. Num fornecedor neerlandês como a TransIP, um servidor desses começa, no momento em que escrevemos, à volta de cinco euros por mês. Raramente é aí que está a razão para não o fazer.

• Pensamento: pergunta que modelo é usado, em que país corre e se fica guardado alguma coisa.
• Armazenamento: pergunta onde ficam os ficheiros, as conversas e os registos, e durante quanto tempo.
• Peça intermédia: pergunta em que centro de dados corre e em nome de quem está o contrato.
• Tudo o que combinares aqui pertence ao contrato de tratamento de dados, não a uma mensagem de telemóvel.

Quanto custa fazer bem desde o início

Na maioria das automatizações de pequenas empresas que encontramos, a resposta é: nada a mais. A escolha está na montagem, não no preço. Escolhes processamento europeu e um servidor neerlandês quando é construído, e está feito. O que custa dinheiro é mudar depois: aí reconstróis uma parte e tens de mover os dados existentes.

E às vezes simplesmente não dá. Para certas funções, voz, imagem, um modelo muito específico, ainda não há caminho europeu. Aí a conversa honesta é: não uses essa parte para dados sensíveis, ou regista uma vez por que motivo, neste caso, o consideras aceitável. Fingir que o problema não existe é a única opção errada.

A partir de 15 de agosto de 2026 o teu cliente vai perguntar

Até agora isto era sobretudo assunto teu. Isso muda este mês. A lei neerlandesa de cibersegurança, a aplicação nacional das regras europeias NIS2, entra em vigor a 15 de agosto de 2026, depois de o Senado a ter aprovado a 7 de julho. Aplica-se a organizações de dezoito setores acima de cerca de cinquenta colaboradores ou dez milhões de euros de faturação. O número de organizações abrangidas passa de cerca de mil para cerca de oito mil.

Não és abrangido? Continua a tocar-te, porque essas oito mil organizações são obrigadas a controlar os riscos da sua cadeia de fornecimento. E fazem-no interrogando os seus fornecedores diretos, incluindo os que não estão sujeitos à lei. Na prática: um questionário. E nessas listas está sempre a pergunta sobre onde são tratados e guardados os dados. Para as obrigações principais não há período de transição, por isso essas conversas começam já.

Um «na verdade não sei» custa-te pontos junto de um comprador que está ele próprio sob supervisão. Um «o nosso sistema de clientes corre nos Países Baixos, os textos são processados na Europa e nada fica guardado» fecha a conversa em trinta segundos. Essa diferença não se constrói numa semana, constrói-se no momento em que mandas fazer a automatização.

Três perguntas para qualquer fornecedor de IA

Não precisas de perceber de tecnologia. Estas três perguntas mostram em cinco minutos quem tem a casa em ordem. Faz-nos também a nós.

• Onde é processado o meu texto e onde fica? Uma boa resposta indica um país e diz se fica guardado alguma coisa. Uma resposta vaga só indica uma marca.
• Os meus dados são usados para melhorar o modelo? A resposta deve ser não, e deve constar do contrato de tratamento de dados, não apenas de um e-mail.
• O que acontece se eu parar ou se vocês pararem? Queres ouvir que levas os teus dados contigo, que o contrato pode estar em teu nome e que não ficas preso a uma só parte.

Se alguém der voltas ao assunto, já tens a tua resposta. Não porque esteja necessariamente mal, mas porque um fornecedor que nem ele sabe também não te vai ajudar a responder ao questionário do teu cliente.

Quando isto importa mesmo, e quando não

Não vendemos pânico. Para grande parte do que as pequenas empresas fazem com IA, isto não é um assunto pesado. Ninguém leva uma multa porque um texto publicitário foi escrito na América. A distinção que tens de fazer uma vez:

• Importa: dados de clientes e colaboradores, processos, orçamentos com preços e desenhos, tudo o que esteja abrangido por um acordo de confidencialidade com um cliente e tudo o que entregas a uma empresa maior.
• Importa menos: textos públicos, ideias de marketing, resumos de coisas que já estão no teu site, perguntas gerais sem nomes nem valores.
• Sempre errado: colar dados sensíveis numa ferramenta gratuita sem qualquer acordo, esteja essa ferramenta onde estiver.

Este último ponto é o maior risco na prática. Não é o mapa, é o funcionário que cola rapidamente um processo de cliente num chatbot gratuito porque é prático. Contra isso não há servidor europeu que valha, só vale uma regra que as pessoas percebam e uma ferramenta segura que funcione e seja igualmente fácil.

O que podes fazer esta semana

• Escreve que ferramentas de IA circulam na tua empresa. Basta perguntares; vais ficar surpreendido.
• Em cada ferramenta, vê nas definições se podes ligar o processamento europeu e desligar a gravação das conversas.
• Escreve uma linha por ferramenta: o que pode entrar e o que não pode. Não precisas de mais para falar com a tua equipa.
• Vais mandar construir alguma coisa? Põe as três perguntas acima no teu pedido, antes de se construir seja o que for.

Assim a pergunta do título deixa de ser um problema e passa a ser simplesmente uma resposta que tens à mão. Para ti, para os teus clientes e para o questionário que chega este mês.