Pode inserir dados de clientes no ChatGPT sem violar o RGPD?

Não pode inserir dados de clientes identificáveis no ChatGPT gratuito ou Plus sem violar o RGPD, porque esses planos podem usar o conteúdo para treinar modelos e envolvem transferência de dados para fora da União Europeia sem contrato de subcontratação. Consegue fazê-lo de forma legal se usar um plano empresarial (Team, Enterprise ou API) com o Data Processing Addendum assinado e o treino de modelo desativado, ou se anonimizar os dados antes de os colar. A regra prática: se o dado identifica uma pessoa, trate-o como perigoso até provar o contrário.

Que dados contam como dados de clientes, para efeitos legais

O RGPD considera dado pessoal qualquer informação que identifique ou torne identificável uma pessoa. Isto inclui o óbvio, nome, email, morada, NIF, número de telefone, mas também combinações menos óbvias, como “o cliente da Rua X que comprou o produto Y em março”. Se colar um email de um cliente no ChatGPT para pedir ajuda a escrever uma resposta, já está a tratar dados pessoais fora do seu controlo direto. Não interessa se a intenção é boa ou se o pedido parece inofensivo, o que interessa é onde o dado vai parar.

O que acontece aos dados quando os cola no ChatGPT?

Depende do plano. Na versão gratuita e na Plus individual, por defeito, as conversas podem ser revistas por humanos e usadas para melhorar os modelos, a menos que desative essa opção em Definições, Controlo de Dados. Mesmo com essa opção desligada, os dados continuam a ser processados em servidores da OpenAI, maioritariamente nos Estados Unidos. A empresa aderiu ao EU-US Data Privacy Framework, o que cobre parte da exigência legal de transferência internacional, mas isso não substitui a necessidade de ter uma base legal e um contrato de subcontratação para tratar dados de clientes de terceiros, o que a conta individual não oferece.

Como pode usar o ChatGPT sem correr esse risco?

Há três caminhos, e não se excluem. Primeiro, mudar para um plano empresarial (ChatGPT Team custa a partir de cerca de 25 euros por utilizador por mês, faturado anualmente), que por defeito não usa os dados para treino e permite assinar o DPA da OpenAI. Segundo, anonimizar sempre antes de introduzir qualquer texto, trocando identidades reais por referências genéricas. Terceiro, usar a API da OpenAI integrada num sistema interno, onde controla exatamente que dados saem e como são registados, em vez da interface pública de chat.

Que erros vemos mais nas PME?

O mais comum é colar diretamente uma lista de clientes numa folha de cálculo para pedir ao ChatGPT que “organize” ou “resuma” os dados. O segundo é colar o conteúdo de um email de reclamação, com nome e morada do cliente, para pedir ajuda a redigir uma resposta. O terceiro, menos óbvio, é usar ChatGPT para analisar transcrições de chamadas de apoio ao cliente sem remover primeiro a identificação de quem ligou. Nenhum destes casos exige má-fé, resultam de pressa e de não perceber que a ferramenta trata os dados fora da empresa.

Quanto custa fazer isto mal feito?

O RGPD prevê coimas até 20 milhões de euros ou 4% do volume de negócios anual mundial, o que for mais elevado, para as infrações mais graves. Na prática, para uma PME, o risco mais imediato não é uma multa desse calibre, é uma reclamação de um cliente à Comissão Nacional de Proteção de Dados que obriga a explicar processos, guardar registos e, nalguns casos, notificar uma violação de dados. Isso consome tempo e reputação, mesmo sem chegar a coima.

Ajudamos PME a desenhar fluxos de trabalho com IA que não colocam dados de clientes em risco, desde escolher o plano certo até construir integrações internas que mantêm os dados dentro de casa: veja como trabalhamos IA na SO-MA.