IA em conformidade com o RGPD no suporte: o que conta mesmo
Avaliar com segurança os fornecedores de IA para o apoio ao cliente. Assim garantes que o DPA, o alojamento na UE e os prazos de eliminação resistem às exigências do RGPD.
Martin Semmele
Principais conclusões
- Um contrato de subcontratação (DPA) é obrigatório para qualquer ferramenta de IA no suporte.
- O maior risco é o treino despercebido de modelos de IA de terceiros com os teus dados sensíveis de clientes.
- Presta atenção aos critérios centrais: alojamento na UE, exclusão do treino e transparência total sobre os subcontratantes ulteriores.
- Antes de escolheres, esclarece também os prazos de eliminação e o procedimento para os pedidos de acesso.
O DPA: a base jurídica
Quando usas IA no apoio ao cliente, o fornecedor de software que escolheres trata dados pessoais dos teus clientes: nomes, endereços de e-mail, números de encomenda ou o assunto concreto. Juridicamente, o fornecedor de software passa assim a ser subcontratante nos termos do art. 28 RGPD. Sem um contrato de subcontratação (DPA) juridicamente válido, simplesmente não podes operar o sistema na Alemanha. Um DPA em falta ou incompleto constitui uma infração direta da legislação de proteção de dados: para as violações das obrigações dos arts. 25 a 39 RGPD, o art. 83(4) RGPD prevê coimas até 10 000 000 de euros ou, no caso de uma empresa, até 2 % do respetivo volume de negócios anual mundial total do exercício financeiro anterior, consoante o montante que for mais elevado1.
Limitação das finalidades e medidas técnicas
O DPA regula dois mecanismos de proteção essenciais: a limitação estrita das finalidades e as medidas técnicas e organizativas. A limitação das finalidades estabelece que o fornecedor só pode tratar os teus dados para cumprir a tarefa de suporte em causa. Uma reutilização para fins comerciais próprios está juridicamente excluída. As medidas técnicas e organizativas descrevem precauções concretas como a encriptação ponto a ponto, os controlos de acesso e as obrigações de separação. Condições gerais padrão sem um DPA individual não chegam, de forma alguma, para soluções SaaS B2B.
- Vinculação estrita às instruções: o fornecedor só pode tratar dados mediante a tua instrução direta.
- Medidas técnicas e organizativas garantidas: encriptação documentada, restrições de acesso e segurança dos dados contínua.
- Direitos de verificação e auditoria: certificados demonstráveis e possibilidades de controlo para a tua empresa.
Antes de começares, certifica-te de que o DPA pode ser celebrado digitalmente logo no onboarding, sem processos em papel demorados. A documentação do contrato de subcontratação da CITO GmbH dá uma primeira visão de modelos de contrato utilizáveis na prática.
Região de alojamento: onde os dados estão fisicamente
O lugar físico onde os servidores estão e onde os modelos de IA processam os pedidos determina o esforço jurídico do teu apoio ao cliente. Muitas ferramentas norte-americanas estabelecidas alojam a sua infraestrutura na América do Norte. Nos termos do RGPD, porém, as transferências de dados para países terceiros fora do Espaço Económico Europeu (EEE) exigem garantias adicionais e avaliações de risco.
Transferências para países terceiros e segurança jurídica
Desde 10 de julho de 2023, o EU-U.S. Data Privacy Framework (DPF) vale, é certo, como decisão de adequação da Comissão Europeia. Ainda assim, a situação jurídica com servidores norte-americanos continua complexa por causa dos poderes de acesso estrangeiros. Um centro de dados na União Europeia elimina por completo esse risco. Se as conversas, as bases de conhecimento e os armazenamentos vetoriais permanecerem na UE, aplica-se o padrão do direito europeu de proteção de dados sem avaliações de impacto da transferência complicadas.
| Local de alojamento | Classificação nos termos do RGPD | Base jurídica aplicável e provas |
|---|---|---|
| Regiões exclusivamente na UE | Conformidade direta com o RGPD | Apenas DPA nos termos do art. 28(3) RGPD, sem instrumento de transferência |
| EUA com certificação DPF | Decisão de adequação nos termos do art. 45 RGPD | DPA mais verificação da certificação DPF atual do fornecedor |
| País terceiro sem DPF | Transferência apenas com garantias adequadas | DPA mais cláusulas contratuais-tipo e avaliação de impacto da transferência |
Os fornecedores transparentes não ficam por termos abstratos como nuvem, indicam centros de dados concretos. Encontras uma visão geral dos locais de armazenamento e dos percursos de dados estritamente europeus na secção Segurança e privacidade.
Treino de modelos: a linha vermelha para os dados de clientes
No chat de suporte, os clientes escrevem pormenores sensíveis: moradas particulares, números de fatura, reclamações ou dados bancários. O maior risco ao usar inteligência artificial generativa é que estas entradas passem, sem que ninguém o peça, para o treino geral dos modelos de linguagem utilizados.
Nada de opt-out: porque é que os contratos precisam de cláusulas de exclusão claras
Alguns fornecedores de software reservam-se, nas suas condições gerais de utilização, o direito de usar dados de clientes para melhorar os modelos. Muitas vezes só é oferecida uma opção de opt-out escondida. Para um suporte conforme com a proteção de dados, isso não chega. É preciso um acordo contratual que exclua rigorosamente qualquer utilização da tua base de conhecimento e dos chats com clientes para treinar modelos de base próprios ou de terceiros.
- Exclusão rigorosa do treino: as conversas e os documentos permanecem isolados no teu espaço de trabalho.
- Sem transmissão de dados a modelos de terceiros: os pedidos de API aos modelos de linguagem decorrem sem armazenamento de dados pelo operador do modelo.
- Separação de dados por cliente garantida: os embeddings vetoriais da tua empresa permanecem rigorosamente separados de outros sistemas.
Um parceiro fiável deixa claro: os teus dados servem exclusivamente para gerar respostas exatas para os teus clientes. Nada regressa a algoritmos globais.
Subcontratantes ulteriores: quem lê nos bastidores?
Uma ferramenta de suporte com IA raramente consiste num único componente de software. Muitas vezes a plataforma recorre a prestadores de serviços externos para tarefas parciais: alojamento, envio de e-mail, processamento de pagamentos ou pesquisa vetorial. Para a tua empresa, toda a cadeia destes subcontratantes ulteriores é relevante em matéria de proteção de dados.
Interfaces ocultas e dever de transparência
Mesmo que um fornecedor principal tenha sede na Alemanha, podem estar integradas interfaces de IA externas nos bastidores. Nos termos do art. 28(2) RGPD, um subcontratante só pode recorrer a outros subcontratantes com autorização prévia por escrito do responsável pelo tratamento e tem de informar sobre qualquer alteração pretendida, para que te possas opor4. Se um subcontratante ulterior não cumprir os seus deveres de proteção de dados, o fornecedor principal responde perante ti por esses deveres.
| Tarefa no sistema | Requisito para o subcontratante ulterior | Dever de controlo para os clientes |
|---|---|---|
| Geração de IA e LLM | Renúncia contratual ao treino e endpoint na UE | Divulgação do fornecedor no DPA |
| Pesquisa vetorial semântica | Bases de dados encapsuladas na UE | Verificação do local de armazenamento |
| Envio de e-mail e de mensagens | Subcontratação em conformidade com o RGPD | Acesso à lista de subcontratantes ulteriores |
Uma lista transparente de prestadores de serviços evita surpresas desagradáveis nas auditorias. Um levantamento compreensível de todos os subcontratantes ulteriores é condição para qualquer arquitetura em conformidade com o RGPD.
Prazos de eliminação: quando os dados têm de desaparecer
Os registos do apoio ao cliente contêm dados pessoais que não podem ficar indefinidamente em servidores. O princípio da limitação da conservação previsto no art. 5(1)(e) RGPD exige que os dados sejam conservados de forma que permita a identificação apenas durante o tempo necessário para a respetiva finalidade do tratamento5.
Rotinas automáticas e controlo manual
Uma plataforma de suporte profissional tem de suportar duas vias de eliminação: regras de eliminação automáticas após intervalos definidos e eliminações manuais com um clique. Se os clientes exigirem o apagamento dos seus dados pessoais, o ticket tem de ser removido sem resíduos, incluindo todos os históricos de chat e os ficheiros anexos.
- Prazos de conservação configuráveis: anonimização ou eliminação automática de tickets antigos após prazos definidos em meses.
- Eliminação imediata na caixa de entrada: eliminação de conversas individuais com um clique pelos agentes de suporte.
- Limpeza sem resíduos: remoção dos armazenamentos vetoriais e das caches ao eliminar fontes de conhecimento.
Conceitos de eliminação limpos protegem a tua empresa de heranças jurídicas e asseguram que cumpres a tempo os teus deveres de resposta.
Direitos de acesso: transparência para os clientes
Nos termos do art. 15 RGPD, os titulares dos dados têm o direito de saber que dados pessoais uma empresa trata a seu respeito. No suporte assistido por IA, isso abrange não só os dados-mestre guardados, mas também os históricos de conversas de chat automatizadas.
Exportação de dados descomplicada no dia a dia do suporte
Quando chega um pedido de acesso, o software de suporte não pode travar os teus processos. O sistema tem de permitir à tua equipa exportar rapidamente todas as conversas guardadas de um titular dos dados num formato corrente e legível por máquina.
| Requisito nos termos do art. 15 RGPD | Função do software de suporte | Benefício para a tua equipa |
|---|---|---|
| Completude da informação prestada | Recolha de todos os registos de chat e de e-mail | Sem pesquisas manuais em bases de dados |
| Formato de exportação corrente | Exportação como ficheiro estruturado | Disponibilização direta ao requerente |
| Resposta dentro do prazo | Função de pesquisa central por dados de clientes | Poupança de tempo na operação do suporte |
Uma arquitetura de caixa de entrada bem estruturada transforma os pedidos ao abrigo do RGPD, tarefa que devora tempo, num clique de rotina. As perguntas de pormenor sobre a utilização dos dados são respondidas pela Política de privacidade oficial.
A lista de verificação: sete perguntas ao fornecedor
Para teres clareza antes de decidires por um fornecedor de suporte com IA, as promessas de marketing não chegam. Usa na conversa de avaliação este catálogo duro de perguntas:
- 1. Existe um DPA já pronto nos termos do art. 28 RGPD que possamos celebrar diretamente em formato digital?
- 2. Em que regiões concretas da UE são tratadas as nossas conversas e os nossos dados de conhecimento?
- 3. É garantido contratualmente que os nossos dados não serão usados para treinar modelos de IA?
- 4. Estão todos os subcontratantes ulteriores divulgados sem lacunas e onde estão os seus servidores?
- 5. Os prazos de conservação e as rotinas de eliminação automática podem ser definidos com flexibilidade?
- 6. O software oferece uma função de exportação para os pedidos de acesso nos termos do art. 15 RGPD?
- 7. Existem regras de contingência claras para que a IA transfira sem interrupções para agentes de suporte humanos em caso de incerteza?
Um parceiro fiável responde a cada uma destas perguntas sem evasivas. É exatamente sobre esta base que a ComLayer está construída: a plataforma reúne o widget de suporte, o Centro de ajuda e a caixa de entrada partilhada numa única interface. Os dados permanecem em regiões europeias, o treino de modelos com dados de clientes está excluído e existe um DPA adequado disponível.
Seja no plano de entrada flexível Free, no pacote Pro a partir de 49 € por mês ou no nível Scale para volumes mais elevados: estruturas transparentes protegem o teu suporte. Encontras todos os pormenores sobre o âmbito das prestações na visão geral de Preços.
Perguntas frequentes
O uso de IA no apoio ao cliente é sequer permitido nos termos do RGPD?
Sim, o uso é juridicamente admissível. Exige, porém, uma base jurídica clara, muitas vezes o interesse legítimo ou a execução de um contrato. Além disso, tem de ser celebrado um contrato de subcontratação (DPA) válido com o fornecedor de IA.
Qual é o maior risco de proteção de dados com as IA de suporte?
O maior risco está no treino secreto de modelos de IA. Se um fornecedor usar registos de chat para melhorar o seu próprio modelo de linguagem, os dados de clientes escapam sem controlo. O treino com os teus dados tem de ser excluído por contrato.
Os servidores para a IA têm obrigatoriamente de estar na UE?
Uma localização na UE não é imposta por lei, mas reduz enormemente o esforço jurídico. Assim que os dados fluem para países terceiros como os EUA, aplicam-se deveres de verificação rigorosos. Com alojamento europeu contornas estes obstáculos complexos.
A minha empresa responde pelas infrações de proteção de dados do fornecedor de IA?
Perante os seus próprios clientes responde sempre a empresa que encomenda o tratamento. Por isso é importante que o fornecedor de IA indique de forma transparente todos os subcontratantes ulteriores e garanta contratualmente o nível de proteção ao longo de toda a cadeia de prestadores de serviços.
Como lido com informações sensíveis nos registos de chat?
Os clientes escrevem muitas vezes, sem darem por isso, números de conta ou dados de saúde. O teu fornecedor de IA tem de te permitir definir prazos de eliminação claros. Os dados que já não são necessários para o caso de suporte têm de desaparecer de forma automatizada.
Os clientes têm de ser informados de que estão a falar com uma IA?
Sim. A transparência é um princípio fundamental do RGPD. Os clientes têm de saber, pela política de privacidade, que é usada IA para o tratamento. Também o AI Act europeu prescreve que a interação com um sistema de IA esteja claramente assinalada.