IA na tua PME: pede a lista de subcontratantes (art. 28)

"Está tudo alojado na Europa, pode ficar descansado." Já ouviste esta frase numa demonstração de um assistente de IA. Talvez tenha sido mesmo a frase que te convenceu. O problema é que ela responde a uma pergunta que ninguém fez. A pergunta que conta é outra: quem é que toca nos meus dados quando faço uma pergunta ao ERP?

Quando o teu diretor comercial escreve "Quanto faturámos à Metalúrgica Silva este trimestre e quanto está por receber?", a pergunta não vai para uma única caixa. Passa por um servidor que corre o modelo, por uma base de dados que guarda pedaços de documentos, por um sistema de registos, às vezes por um serviço de email que envia o resumo semanal e, se for pelo WhatsApp, pela Meta. Cada uma destas peças pode ser de uma empresa diferente. E cada uma delas é, à luz do RGPD, um subcontratante do teu fornecedor.

O que diz, afinal, o artigo 28 do RGPD?

Sem juridiquês: quando uma empresa trata dados pessoais por tua conta (os teus clientes, os teus colaboradores, os contactos dos teus fornecedores), é um subcontratante. O artigo 28 diz três coisas que interessam a uma PME que está a contratar um assistente de IA:

O teu fornecedor não pode meter outro subcontratante na cadeia sem a tua autorização prévia por escrito. A autorização pode ser específica ou geral, mas, se for geral, ele tem de te avisar de cada entrada ou troca e tens de ter a possibilidade de te opor.
O subcontratante de segunda linha fica sujeito às mesmas obrigações de proteção de dados que o teu fornecedor assumiu contigo. E, se falhar, quem responde perante ti continua a ser o teu fornecedor.
Tem de haver um contrato que diga que dados são tratados, para quê, durante quanto tempo, o que acontece no fim (apagar ou devolver) e que te permita verificar que as regras são cumpridas.

Repara no primeiro ponto: não é uma boa prática, é uma condição. Se não sabes quem são os subcontratantes, não os podes ter autorizado. E o responsável pelo tratamento perante os teus clientes és tu, não o fornecedor de IA.

Porque é que "está na UE" não chega?

Porque a localização é só um dos atributos. Um assistente de IA sério sobre o teu ERP tem, tipicamente, estas camadas. Vê o exemplo de uma pergunta sobre cobranças a atravessá-las:

Inferência (GPU). O servidor onde o modelo de linguagem corre. Pode ser do próprio fornecedor, de um alojamento europeu ou de uma API de um grande fornecedor de modelos. É aqui que a pergunta e os dados que a sustentam são processados.
Base vetorial. Se o assistente também responde sobre documentos (contratos, fichas técnicas, procedimentos), esses documentos são partidos em pedaços e guardados numa base de dados própria. Pode ser um serviço gerido de terceiros.
Registos e observabilidade. Qualquer sistema bem feito guarda o que se perguntou e o que respondeu. Ótimo para a auditoria, mas se esses registos forem enviados para uma ferramenta de monitorização alojada fora, a pergunta "Quanto deve a Metalúrgica Silva?" viaja com eles.
Email transacional. O relatório semanal, o alerta de stock, a recuperação de palavra-passe. Normalmente um serviço externo.
Mensagens. Se usas o WhatsApp, a Meta entra na cadeia, quer queiras quer não.
Cópias de segurança e alojamento base. O disco onde tudo fica e as cópias noutro sítio.

Seis camadas. Um fornecedor que diz "está na Europa" pode estar a falar só da primeira. Pode ter a GPU em Frankfurt e os registos numa ferramenta de monitorização com servidores nos EUA, que é o tipo de detalhe que ninguém mostra no diapositivo.

E isto não é teoria jurídica de café. O acordo que hoje permite transferências para os EUA, o Data Privacy Framework, foi mantido pelo Tribunal Geral da UE em setembro de 2025, mas está em recurso no Tribunal de Justiça desde 31 de outubro de 2025. Os dois acordos anteriores caíram. Não precisas de entrar em pânico, precisas de saber que camadas da tua cadeia dependem disso.

E o WhatsApp, fica de fora?

Não fica, e aqui convém ser honesto, porque quase ninguém é. Desde outubro de 2025, a única forma de integrar o WhatsApp numa empresa é através da Cloud API da Meta. Existe uma opção de armazenamento local que guarda as mensagens em repouso num país escolhido (na Europa, a Alemanha, por exemplo). Mas a própria documentação da Meta diz que o conteúdo em processamento pode estar fora desse país até 60 minutos, e que os números de telefone ficam nos centros de dados da Meta independentemente da configuração.

O que isto quer dizer na prática: "perguntar ao ERP no WhatsApp" é útil e defensável, mas a Meta tem de constar da lista de subcontratantes, e a arquitetura deve minimizar o que passa por ali. Exemplo: a resposta "A Metalúrgica Silva tem 3 faturas vencidas, total 12 480 €" (número ilustrativo) é diferente de colar no chat o extrato completo com moradas e NIF. O ERP continua na UE; o que sai pela mensagem é o mínimo para a pessoa decidir. Quem te disser que no WhatsApp "nada sai da UE" ou não leu a documentação ou espera que tu não leias.

O que deve estar na lista que pedes?

Não te contentes com uma frase no contrato. Pede uma tabela com uma linha por subcontratante e estas colunas:

Depois faz duas perguntas de seguimento. Primeira: como me avisas quando esta lista muda? Se a resposta for "atualizamos a página do site", pede que seja por email, com prazo para te opores. Segunda: o que acontece aos dados quando terminamos o contrato? O artigo 28 exige que esteja escrito.

"Mas isto é burocracia para uma empresa de 30 pessoas"

É a objeção mais comum, e percebe-se. Só 9,4% das pequenas empresas portuguesas usavam IA em 2025, segundo o INE, e a principal barreira era a falta de conhecimentos. Ninguém quer acrescentar um parecer jurídico a um projeto que ainda nem começou.

Mas repara no que estás a ligar ao assistente: faturação, contas correntes, dados de clientes, eventualmente salários. Se um cliente teu, ou a CNPD, perguntar para onde foram os dados dele, a resposta "o fornecedor disse que era na Europa" não te protege. A lista protege. E custa ao fornecedor uma tarde de trabalho, porque ele, se sabe o que construiu, já a tem. Um fornecedor que demora semanas a produzir esta tabela não tem a cadeia sob controlo. Isso diz-te mais sobre ele do que qualquer demonstração.

Há ainda um efeito lateral útil: a lista obriga a uma conversa sobre arquitetura. Precisas mesmo de uma base vetorial gerida por terceiros para responder a perguntas sobre vendas e stock? Muitas vezes não. Uma consulta só de leitura ao ERP resolve, e é uma camada a menos na cadeia.

Como desenhamos isto na Leiritech?

O princípio é encurtar a cadeia em vez de a documentar depois. A ligação ao ERP que já tens (PHC ou outro) é só de leitura. As perguntas são traduzidas em consultas aos teus dados e cada resposta indica de onde veio o número. O acesso é por perfil: quem é do armazém não vê margens. Cada pergunta e resposta fica num registo de auditoria que guardamos nós, na UE, com hora em UTC e o fuso, para não haver horas repetidas na mudança para a hora de inverno, a 25 de outubro.

A arquitetura é agnóstica ao modelo: pode correr um modelo pensado para o português europeu ou outro modelo aberto alojado na UE, conforme o caso e o volume. Seja qual for, entra na tabela com nome, local e retenção. O WhatsApp é opcional e, quando existe, aparece na lista com o limite de 60 minutos escrito, não escondido.

E como somos uma equipa pequena de Leiria, a lista não vem de um departamento jurídico de outro país: vem de quem escreveu o código e sabe exatamente para onde vai cada byte.

Por onde começar?

Antes de assinar com qualquer fornecedor, nós incluídos, manda um email com uma frase: "Envia-me a lista completa de subcontratantes que vão tratar dados da minha empresa, com função, país e retenção." Mede o tempo de resposta e conta as linhas. Se vier com GPU, base vetorial (se existir), registos, email e mensagens, estás a falar com alguém que sabe o que montou.

Queres perguntar ao teu ERP em português, sem os dados saírem da UE? Fala connosco: hello@leiritech.com · +351 914 572 595, ou vê o nosso trabalho em leiritech.pt.