Posso usar o ChatGPT ou o Claude com dados de clientes?
Pode, mas não de qualquer maneira. Com contas pessoais (planos gratuitos ou individuais), as conversas podem ser usadas para treinar modelos, conforme as definições da conta, e não há contrato de tratamento de dados com a empresa. Para dados de clientes, isso é um problema de RGPD.
Com planos empresariais ou via API (ChatGPT Business ou Enterprise, Claude Team ou Enterprise, API da OpenAI ou da Anthropic), os fornecedores não usam os dados para treino por defeito, assinam um contrato de tratamento de dados (DPA) e, em alguns casos, permitem guardar os dados na Europa. Mesmo assim, a empresa continua responsável: base legal, informação aos clientes, minimização e cuidados extra com dados sensíveis. Este artigo é informativo e não substitui aconselhamento jurídico.
Conta pessoal ou plano empresarial: a diferença que importa
| Contas pessoais (gratuito, individual) | Planos empresariais e API | |
|---|---|---|
| Treino com as suas conversas | Possível, conforme as definições da conta | Não, por defeito |
| Contrato de tratamento de dados (DPA) | Não existe com a empresa | Sim |
| Dados guardados na Europa | Não garantido | Possível em alguns planos (por exemplo, ChatGPT Enterprise e API) |
| Controlo pela empresa | Nenhum: a conta é da pessoa | Administração, permissões, registos, saída de colaboradores |
| Uso com dados de clientes | Desaconselhado | Possível, com as regras certas |
Dois exemplos concretos. A OpenAI afirma que não treina modelos com dados dos planos empresariais do ChatGPT nem da API, salvo se o cliente aceitar, e oferece desde 2025 armazenamento de dados na Europa para o ChatGPT Enterprise, Edu e API. A Anthropic mudou em 2025 as regras das contas pessoais do Claude (Free, Pro e Max): cada utilizador escolhe se as conversas podem ser usadas para treino, com conservação até cinco anos se aceitar. Os planos Team, Enterprise e a API ficam fora dessa mudança e não são usados para treino.
O que o RGPD exige, mesmo com o plano certo
- Contrato de tratamento de dados
O fornecedor de IA atua como subcontratante. O RGPD exige um contrato que defina o que pode fazer com os dados (artigo 28.º). Os planos empresariais incluem um DPA: tem de estar aceite e guardado.
- Base legal e finalidade
Usar dados de clientes com IA tem de caber numa finalidade legítima já existente (por exemplo, responder a um pedido do cliente) ou ter base própria. Usar os dados para outra coisa exige nova análise.
- Informação aos titulares
A política de privacidade deve referir que usa fornecedores de IA e, quando aplicável, transferências para fora da UE.
- Transferências internacionais
Se os dados saem do Espaço Económico Europeu, é preciso um mecanismo válido, como o Data Privacy Framework ou cláusulas contratuais-tipo. Escolher armazenamento na Europa reduz este problema.
- Minimização
Só o necessário: muitas tarefas funcionam com dados anonimizados ou sem nomes, NIF e contactos.
- Avaliação de impacto quando o risco é elevado
Grandes volumes, dados sensíveis ou decisões automáticas sobre pessoas podem exigir uma avaliação de impacto sobre a proteção de dados (AIPD).
Dados que exigem cuidado redobrado
- Saúde, incluindo psicologia e bem-estar (veja IA para clínicas).
- Dados financeiros e de crédito.
- Recursos humanos: avaliações, salários, candidaturas, saúde dos trabalhadores.
- Menores.
- Segredo profissional: advogados, contabilistas, médicos.
Nestes casos, a regra prática é: plano empresarial com DPA, dados na Europa sempre que possível, minimização máxima, acesso restrito e, muitas vezes, avaliação de impacto. Em alguns usos, como recrutamento, entram também as regras de risco elevado do AI Act.
O maior risco: a IA "às escondidas"
O risco real raramente é a empresa que escolheu mal o fornecedor. É a empresa que não escolheu nada e deixou cada pessoa usar a sua conta pessoal. Sem política, sem plano empresarial e sem formação:
- Dados de clientes ficam em contas que a empresa não controla, nem quando o colaborador sai.
- Ninguém sabe que dados foram partilhados, com quem, nem onde estão.
- A empresa não consegue responder a um pedido de acesso ou apagamento de um cliente.
Checklist RGPD para usar IA na empresa
- Inventário: que ferramentas de IA se usam, por quem e com que dados.
- Plano empresarial ou API para tudo o que envolva dados de clientes ou colaboradores.
- DPA aceite e guardado, com lista de subcontratantes do fornecedor.
- Dados na Europa sempre que o plano permita.
- Política de uso de IA de uma página: o que se pode e não se pode colocar.
- Política de privacidade atualizada com os fornecedores de IA.
- Formação curta da equipa, registada.
- Avaliação de impacto nos usos com dados sensíveis ou decisões sobre pessoas.
Como a Wisebot ajuda
Implementamos IA nas empresas com as regras incluídas desde o primeiro dia: escolha do plano e do fornecedor certos para cada uso, configuração com armazenamento na Europa quando possível, ligação segura aos sistemas da empresa através de RAG e MCP, política de uso e formação da equipa. Para a parte jurídica, trabalhamos em articulação com o seu encarregado de proteção de dados ou advogado.
Perguntas frequentes
Posso colocar dados de clientes no ChatGPT?
Com uma conta pessoal, é desaconselhado: as conversas podem ser usadas para treino, conforme as definições, e não há contrato de tratamento de dados com a empresa. Com o ChatGPT Business ou Enterprise, ou com a API, a OpenAI não treina com os dados por defeito e oferece um contrato de tratamento de dados, o que permite usar dados de clientes com as regras certas.
O Claude usa as minhas conversas para treino?
Nas contas pessoais (Free, Pro e Max), desde 2025 cada utilizador escolhe se as conversas podem ser usadas para treino. Nos planos Team e Enterprise e na API, a Anthropic não usa os dados para treino, ao abrigo dos termos comerciais.
O ChatGPT cumpre o RGPD?
O cumprimento depende sobretudo de como a empresa usa a ferramenta. Os planos empresariais e a API oferecem contrato de tratamento de dados, não treinam com os dados por defeito e permitem, em alguns casos, guardar os dados na Europa. A empresa continua responsável pela base legal, informação aos clientes e minimização.
Preciso de um contrato com o fornecedor de IA?
Sim, se tratar dados pessoais. O fornecedor atua como subcontratante e o RGPD exige um contrato de tratamento de dados (artigo 28.º). Os planos empresariais incluem um DPA que deve ser aceite e guardado.
Os dados ficam guardados na Europa?
Depende do plano. A OpenAI oferece desde 2025 armazenamento de dados na Europa para o ChatGPT Enterprise, Edu e API, em projetos configurados para isso. Noutros casos, os dados podem sair do Espaço Económico Europeu, o que exige um mecanismo de transferência válido.
Posso proibir os colaboradores de usar ChatGPT?
Pode, mas raramente resulta: as pessoas continuam a usar contas pessoais. É mais eficaz dar uma ferramenta aprovada em plano empresarial, com uma política de uso clara e formação.
Fontes
- OpenAI, Introducing data residency in Europe (5 de fevereiro de 2025).
- Anthropic, Updates to our consumer terms (28 de agosto de 2025).
- Regulamento Geral sobre a Proteção de Dados (UE) 2016/679, EUR-Lex.
- CNPD, Comissão Nacional de Proteção de Dados.
