A política de utilização de IA que evita sarilhos (e multas)
O que pode e não pode entrar em ferramentas de IA públicas, o essencial do RGPD para PMEs e uma política de cinco regras pronta a adotar esta semana.
A sua equipa já usa IA. Com política ou sem ela, com autorização ou sem ela. A questão não é se dados da empresa estão a entrar em ferramentas públicas, é quais, e o que acontece a seguir. A boa notícia: não precisa de um manual de 40 páginas. Precisa de uma página com cinco regras, comunicada como deve ser.
O que o RGPD tem a ver com o ChatGPT
Dado pessoal é qualquer informação que identifique uma pessoa: nome, email, telefone, NIF, morada, histórico de compras. Quando alguém cola o email de um cliente numa ferramenta de IA pública, esses dados saem da empresa para servidores de terceiros, muitas vezes fora da Europa, sem contrato que o cubra. A empresa continua responsável por eles: é isso que o RGPD estabelece. As coimas podem chegar aos 20 milhões de euros ou 4% da faturação global anual, e em Portugal quem fiscaliza é a CNPD. Para uma PME, o dano reputacional de um incidente costuma chegar antes da coima. Nenhum ganho de produtividade paga esse risco.
Regra 1: dados pessoais nunca entram em ferramentas públicas
Nomes, contactos, NIFs, dados de colaboradores, dados de saúde. Antes de colar, anonimiza-se: “o cliente”, “uma empresa do setor alimentar”. O resultado que a IA devolve é igual. O risco desaparece.
Regra 2: documentos confidenciais só em contas empresariais
Contratos, propostas, preços de custo, dados financeiros. As versões gratuitas de muitas ferramentas podem usar o que lá entra para treinar modelos. Conta empresarial, com treino sobre os vossos dados desativado, é o mínimo para trabalhar com documentos internos.
Regra 3: nada sai da IA diretamente para o cliente
A IA escreve com confiança, incluindo quando está errada. Tudo o que sai da empresa, propostas, emails, conteúdos, passa por revisão humana antes de ser enviado. Sem exceções, sobretudo quando envolve números, prazos ou compromissos.
Regra 4: lista curta de ferramentas aprovadas
Cada aplicação de IA instalada por conta própria é um ponto de fuga de dados que ninguém controla. Define-se uma lista aprovada e um processo simples para propor ferramentas novas. Quem quer experimentar, pede. E a resposta vem em dias, não em meses, senão a regra morre.
Regra 5: na dúvida, pergunta-se antes
Uma pessoa responsável, um canal claro, resposta rápida. Uma pergunta a mais custa dois minutos. Um incidente custa clientes e noites mal dormidas.
De documento a hábito
Uma política que vive num PDF esquecido não protege nada. Funciona quando é apresentada à equipa toda de uma vez, com exemplos reais da vossa operação, e revisitada a cada trimestre, porque as ferramentas mudam depressa. Escreva as cinco regras com as vossas palavras, dê exemplos do vosso dia a dia e nomeie o responsável. Uma página chega.
No programa IA na Prática, a manhã do Dia IA é dedicada exatamente a isto: método e segurança, com estas regras adaptadas à vossa realidade e explicadas à equipa toda no mesmo dia. Se quiser um ponto de partida, peça o relatório gratuito de oportunidades IA na mesma página.