Um gestor disse-nos isto há umas semanas, e provavelmente já te passou pela cabeça: "Os meus colaboradores já colam informação interna no ChatGPT grátis e ninguém sabe o que acontece a esses dados." Ninguém deu ordem para isso. Simplesmente aconteceu — alguém tinha um email chato para responder, colou a conversa toda com o cliente, pediu ajuda a redigir, e pronto. Multiplica isso por dez pessoas e vários meses e tens uma fuga de dados silenciosa que não aparece em nenhum relatório.
Não é um problema de gente descuidada. É falta de regras. Quase todos os portugueses já usam ferramentas de IA no dia a dia — estamos, aliás, acima da média da União Europeia nesse uso pessoal — mas a maioria não faz ideia dos riscos. E enquanto em casa isso é indiferente, no trabalho passa a ser matéria de RGPD. A CNPD pode aplicar coimas até 20 milhões de euros ou 4% do volume de negócios anual, o valor que for mais alto. Não é para assustar; é o enquadramento real com que trabalhas.
Primeiro, o que acontece ao que escreves
Quando colas texto numa ferramenta de IA pública na versão gratuita, duas coisas podem acontecer, e convém saberes ambas. Uma: esse conteúdo pode ser usado para treinar o modelo, ou seja, sai do teu controlo. Duas: fica alojado em servidores, muitas vezes fora da União Europeia, sem que tenhas um contrato que defina onde, por quanto tempo e com que garantias. Em RGPD, isto tem um nome — é uma transferência de dados pessoais para um subcontratante sem base legal nem contrato de tratamento. É exatamente o tipo de coisa que uma fiscalização repara.
O detalhe que muita gente ignora: não precisas de colar uma base de dados inteira para haver problema. Um único email com o nome, o NIF e a morada de um cliente já são dados pessoais. Uma conversa de reclamação com o histórico clínico de um utente já são dados sensíveis, de categoria especial, com proteção reforçada.
O que NUNCA deves meter numa IA pública
Regra simples para dares à tua equipa amanhã de manhã. Nunca coles numa ferramenta gratuita e sem contrato:
- Dados que identificam pessoas — nomes com contactos, NIF, morada, matrículas, IBAN, números de cartão.
- Dados sensíveis — saúde, dados de menores, situação financeira de clientes, orientação, filiação sindical.
- Segredos do negócio — tabelas de preços por cliente, margens, código-fonte, contratos, propostas ainda por fechar.
- Credenciais — passwords, tokens, chaves de API, acessos a sistemas.
E o outro lado, porque literacia de IA também é saber onde ela ajuda sem risco. Podes usar à vontade para: reescrever um texto genérico sem dados de ninguém, resumir um artigo público, gerar ideias para uma campanha, corrigir um email depois de tirares os nomes, traduzir conteúdo que não é confidencial. A fronteira é esta pergunta: "se isto aparecesse amanhã num site público, alguém ficava exposto ou prejudicado?" Se sim, não vai para lá.
"Então tenho de proibir a IA?" Não — tens de a pôr no sítio certo
Aqui está o erro que vemos: a reação a este risco é ou proibir tudo (e perder a produtividade) ou fingir que não existe (e arriscar a coima). Há um terceiro caminho, e é o que faz sentido para uma PME.
A diferença está entre uma IA pública e genérica, que adivinha a partir de tudo o que leu na internet e leva o teu texto para fora, e uma IA grounded e read-only — que responde apenas a partir dos teus próprios dados, sem os copiar para lado nenhum e sem inventar. Vale a pena explicar estas duas palavras sem jargão:
- Grounded ("assente nos teus dados"): em vez de responder de cor, a IA vai buscar a resposta ao teu ERP, à tua faturação, ao teu stock. Se a informação não estiver lá, diz que não sabe — não inventa um número para agradar.
- Read-only ("só de leitura"): a IA consulta, mas não altera nada nem exporta nada para fora. Cada pergunta e cada resposta ficam registadas, auditáveis. Sabes quem perguntou o quê e quando.
Na prática, é a diferença entre um colaborador colar a lista de faturas em atraso no ChatGPT para "fazer umas contas" — e, em vez disso, perguntar no WhatsApp "quais os clientes com faturas vencidas há mais de 60 dias?" a um assistente ligado ao ERP, que responde a partir dos dados reais, sem que esses dados saiam de casa. É isto que construímos com o Nemea: perguntar ao ERP em linguagem natural, read-only e auditado, integrado no sistema que já tens — incluindo ERPs como o PHC. O ganho de tempo é o mesmo que as pessoas procuram no ChatGPT; o risco de RGPD deixa de existir porque os dados nunca atravessam a porta.
Onde a IA NÃO compensa (e os custos que ninguém te conta)
Literacia é também honestidade sobre limites. Uma IA grounded sobre os teus dados não é grátis: exige integração com os teus sistemas, algum trabalho de configuração e um custo mensal de utilização. Se tens cinco faturas por mês e um cliente, não vale a pena — resolve-se com uma folha de cálculo. O retorno aparece quando há volume e repetição: muitas perguntas iguais ao ERP, muito tempo perdido a exportar Excel, muitas respostas a clientes que podiam ser automáticas.
E há um custo que não é financeiro: a governação. Ter uma IA read-only e auditada só compensa se definires quem pode perguntar o quê. Uma ferramenta bem montada com regras más continua a ser um risco. O AI Act, aliás, tornou isto explícito — desde 2 de agosto de 2026, o Artigo 4.º obriga as empresas a garantir literacia de IA a quem usa estas ferramentas. Ter uma política escrita de "o que pode e o que não pode ir para uma IA" deixou de ser boa prática e passou a ser obrigação.
Por onde começar, esta semana
Não precisas de um projeto de seis meses. Começa pequeno:
- Escreve uma regra de uma página — a lista de "nunca metas isto" acima, mais os casos em que a IA pública é segura. Envia à equipa. Custo: uma tarde.
- Identifica as três perguntas mais repetidas que hoje obrigam alguém a mexer em dados de clientes fora do sistema. São essas que uma IA grounded resolve com retorno claro.
- Faz um piloto de 30 dias com um único caso — atendimento, faturação ou consulta ao ERP — e mede o tempo poupado antes de alargar.
O objetivo não é ter medo da IA. É deixar de ser refém da versão gratuita onde os teus dados desaparecem, e passar a usar IA de forma que consegues explicar a um fiscal com a consciência tranquila.
Se quiseres perceber como seria isto sobre o teu ERP — sem trocar de sistema — fala connosco em hello@leiritech.com ou em leiritech.pt. Sem pitch, começamos por olhar para os teus dados e dizer-te honestamente onde a IA compensa e onde não vale a pena.
