"Gostava de experimentar, mas e o RGPD? Não quero ter a CNPD à porta por causa de um chatbot."
Se já disseste isto, ou pensaste nisto, não estás sozinho. Entre as empresas portuguesas que ainda não usam IA, 57,3% apontam a incerteza legal como travão, segundo os dados do Eurostat que o INE trabalhou para 2025. Fica atrás da falta de conhecimento (74,4%) e do custo (60,4%), mas é a única das três que se resolve com uma decisão, sem curso e sem orçamento.
A decisão é esta: o teu primeiro caso de IA não precisa de tocar em dados pessoais. Se não lhes tocar, a pergunta "e o RGPD?" deixa de ser o tema da reunião. Não fica proibida. Simplesmente deixa de se aplicar à maior parte do que estás a fazer.
Estar no início é normal. Ficar parado por medo é que não precisa de ser
Em 2025, só 11,5% das empresas portuguesas usavam IA, contra quase 20% na média da UE. Nas pequenas, entre 10 e 49 pessoas, eram 9,4%. Se estás nesse grupo, estás com a maioria. Não estás atrasado.
O que custa é o padrão que vemos muitas vezes: alguém sugere "vamos pôr IA a responder aos clientes" ou "a analisar os currículos". Na reunião seguinte aparece a palavra RGPD, ninguém sabe responder com segurança e o assunto volta para a gaveta durante seis meses. O problema estava no caso escolhido. A IA em si não tinha culpa.
Clientes particulares, funcionários e candidatos estão entre os casos com mais dados pessoais que uma PME tem. E o mais comum é serem esses os primeiros a ser propostos.
O que é, afinal, um dado pessoal (versão curta e honesta)
O RGPD protege informação sobre uma pessoa singular identificada ou identificável. Um nome, um email pessoal, um NIF de particular, um número de telemóvel ou um registo de horas de um funcionário são dados pessoais.
Há muita coisa no teu ERP que não é:
- Artigos: referências, famílias, preços de custo, margens.
- Stock: quantidades por armazém, rotação, artigos parados.
- Documentos agregados: quantas faturas, guias e encomendas por tipo e por mês.
- Vendas e compras por família de artigo ou por armazém, sem descer ao cliente.
Há duas zonas cinzentas que convém conhecer. Primeiro, um cliente empresa (uma Lda.) não é uma pessoa singular, mas um empresário em nome individual é. O nome do contacto dentro da empresa cliente também é. Segundo, um relatório "vendas por vendedor" tem dados pessoais: o vendedor é uma pessoa.
Por isso a regra prática é simples. No primeiro caso, a IA vê artigos, stock e totais. Não vê a tabela de clientes, nem a de funcionários, nem a de vendedores.
Um exemplo concreto: distribuidora de materiais, 18 pessoas, PHC
Pensa numa distribuidora de materiais de construção na zona de Leiria. Tem 18 pessoas, PHC há dez anos e um armazém com perto de 4.000 referências ativas. O dono quer saber três coisas e hoje depende do Excel do responsável administrativo para todas:
- Quanto dinheiro tenho em stock parado há mais de 180 dias, por família?
- Que artigos estão abaixo do stock mínimo e vão faltar antes do fim do mês?
- Como está a margem por família neste trimestre, comparada com o mesmo trimestre de 2025?
Nenhuma destas perguntas precisa de um único nome de pessoa. Todas as respostas estão no ERP. E todas valem dinheiro. Imagina que a primeira resposta diz "38.000 € em stock parado, 60% em duas famílias". Isso é uma decisão de compras para novembro, não uma curiosidade.
Como se garante que a IA não vê o resto
Não basta prometer. O limite tem de estar na arquitetura, e há três camadas:
- Um utilizador só de leitura na base de dados. A IA não consegue alterar, apagar nem lançar nada. Não é uma questão de confiança: o sistema não lhe dá essa permissão.
- Vistas restritas. Esse utilizador só tem acesso a um conjunto definido de tabelas ou vistas: artigos, stock, movimentos agregados. As tabelas de clientes, de funcionários e de contactos ficam simplesmente fora do alcance.
- Registo de cada pergunta. Fica escrito quem perguntou o quê, quando, e que consulta foi feita para responder. Se um número parecer estranho, vê-se de onde veio.
Se o medo é mexer na base de produção, o piloto pode correr numa cópia da base de dados atualizada todas as noites. Perdes o "ao minuto", mas ganhas a tranquilidade de saber que nada toca no PHC real.
"Mas a IA não inventa números?"
A IA genérica inventa, sim. Um assistente de chat público não conhece o teu stock. Se lhe perguntares, constrói uma resposta que soa certa a partir do que já leu algures. É isso que se chama alucinar.
Uma IA ligada aos teus dados funciona de outra maneira. Traduz a tua pergunta numa consulta ao ERP, corre essa consulta e responde com o resultado. Se o dado não existir, diz que não existe. É a diferença entre perguntar a um desconhecido e perguntar ao teu sistema. Na Leiritech, a camada que traduz as perguntas para a estrutura do PHC, do Sage, do Primavera e do Artsoft já vem construída. Por isso, um piloto destes arranca em horas, não em meses.
As objeções que vais ouvir (e as respostas)
"Mas os dados vão para fora, para o fornecedor do modelo." Vão perguntas e resultados agregados, sem dados pessoais. Pode haver uma questão de confidencialidade comercial, porque a tua margem por família é sensível. Mas isso trata-se com contrato e configuração, não com o RGPD. Pergunta sempre ao fornecedor se os dados são usados para treino. A resposta deve ser não, e por escrito.
"Então o RGPD não se aplica de todo?" Aplica-se pouco, mas aplica-se. O registo de auditoria guarda quem fez cada pergunta, e isso é um dado do teu colaborador. É mínimo e justificado, mas diz à equipa que existe. Sê transparente desde o primeiro dia, porque custa zero.
"Isto é demasiado pequeno para valer a pena." É pequeno de propósito. Os projetos de IA que morrem nas PME morrem quase sempre por serem grandes: dados espalhados, meses de preparação e nenhum resultado visível. Um número de stock parado na primeira semana paga a atenção que lhe deste.
Como medir se funcionou
Antes de começar, anota três coisas:
- Quantos relatórios destes se pedem por mês ao administrativo ou à contabilidade, e quanto tempo demora cada um.
- Quanto tempo passa entre a pergunta e a resposta. Hoje, provavelmente um ou dois dias.
- Que decisão foi tomada com a resposta. Uma encomenda cancelada, uma promoção a artigos parados, uma família de artigos repensada.
Ao fim de duas semanas, compara. Se os pedidos de Excel baixaram e as respostas passaram a chegar na hora, tens o teu primeiro resultado. E tens-no sem uma linha de dados pessoais.
Exemplos por função, todos fora do RGPD
- Dono: "Qual é o valor do stock parado há mais de 180 dias, por família?"
- Comercial: "Que artigos da família de impermeabilizantes têm stock para entrega esta semana?"
- Armazém: "Que referências estão abaixo do mínimo no armazém 2?"
- Técnico: "Quantas unidades da peça X saíram em assistência este ano?"
Tudo isto se pergunta pelo WhatsApp, em português normal, com resposta tirada do teu ERP, só de leitura e auditada.
Depois do primeiro caso
Quando a equipa confiar nas respostas, aí sim faz sentido passar para casos com dados de clientes, com avaliação de impacto, minimização e a supervisão humana que a CNPD pede nos cenários de risco médio e alto. Nessa altura já não vais estar a discutir a IA e o RGPD ao mesmo tempo. Vais estar a alargar algo que já funciona.
Começa pequeno e começa onde não há pessoas nos dados. Se quiseres ver como fica com o teu PHC, Sage, Primavera ou Artsoft, fala connosco em leiritech.pt.
