{"id":375,"date":"2026-10-02T09:00:00","date_gmt":"2026-10-02T09:00:00","guid":{"rendered":"https:\/\/leiritech.pt\/blog\/fuga-dados-fornecedor-ia-72-horas"},"modified":"2026-10-02T09:00:00","modified_gmt":"2026-10-02T09:00:00","slug":"fuga-dados-fornecedor-ia-72-horas","status":"publish","type":"post","link":"https:\/\/leiritech.pt\/blog\/fuga-dados-fornecedor-ia-72-horas","title":{"rendered":"Fuga de dados no fornecedor de IA: tens 72 horas"},"content":{"rendered":"<h1>Fuga de dados no fornecedor de IA: tens 72 horas. E ele, avisa-te em quantas?<\/h1>\n<p>Quinta-feira, 18h40. Chega um email em ingl\u00eas, com o assunto &quot;Security incident notification&quot;, de um servi\u00e7o de IA que a tua equipa usa h\u00e1 meses. Diz que &quot;um n\u00famero limitado de conversas pode ter sido acedido por terceiros&quot; e que o incidente foi detetado &quot;na semana passada&quot;. Ficas a olhar para o ecr\u00e3 e fazes as tr\u00eas perguntas que interessam: que conversas? O que \u00e9 que a minha equipa l\u00e1 meteu? E quanto tempo tenho para fazer alguma coisa?<\/p>\n<p>A terceira pergunta tem resposta. O artigo 33.\u00ba do RGPD obriga-te, enquanto respons\u00e1vel pelo tratamento, a notificar a CNPD sem demora injustificada e, sempre que poss\u00edvel, at\u00e9 72 horas depois de teres conhecimento da viola\u00e7\u00e3o. As outras duas, na maioria das PME, n\u00e3o t\u00eam resposta nenhuma. E \u00e9 a\u00ed que est\u00e1 o problema.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/leiritech.pt\/blog\/wp-content\/uploads\/2026\/10\/blog-fuga-dados-fornecedor-ia-72-horas-1.png\" alt=\"Dono de uma PME metalomec\u00e2nica ao fim do dia, ao computador, com o ERP aberto num monitor e um email de incidente no outro\" \/><\/p>\n<h2>Porque \u00e9 que as 72 horas n\u00e3o s\u00e3o do fornecedor, s\u00e3o tuas?<\/h2>\n<p>Quando a tua equipa cola numa ferramenta de IA a lista de devedores, uma folha de margens por cliente ou o nome e o NIF de algu\u00e9m, o fornecedor dessa ferramenta passa a tratar dados pessoais por tua conta. No RGPD, ele \u00e9 o subcontratante e tu \u00e9s o respons\u00e1vel. A obriga\u00e7\u00e3o de avisar a CNPD \u00e9 tua, n\u00e3o dele.<\/p>\n<p>O artigo 33.\u00ba, n.\u00ba 2, obriga o subcontratante a avisar-te &quot;sem demora injustificada&quot; depois de saber da viola\u00e7\u00e3o. Repara que n\u00e3o diz 24 horas nem 48 horas. &quot;Sem demora injustificada&quot; \u00e9 exatamente o tipo de express\u00e3o que, sem um n\u00famero no contrato, se estica at\u00e9 \u00e0 semana seguinte. O artigo 28.\u00ba exige que exista um contrato com o subcontratante e que este te ajude a cumprir as obriga\u00e7\u00f5es de notifica\u00e7\u00e3o. Na pr\u00e1tica, a PME que aceitou os termos de uso de um plano gr\u00e1tis ou de um plano &quot;Business&quot; com um clique raramente leu o que esse contrato diz sobre prazos.<\/p>\n<p>Um esclarecimento, porque anda muita gente a citar mal: a proposta europeia do chamado Digital Omnibus quer passar o prazo para 96 horas e limitar a notifica\u00e7\u00e3o aos casos de risco elevado. <strong>Ainda n\u00e3o \u00e9 lei.<\/strong> Em meados de setembro de 2026 n\u00e3o havia posi\u00e7\u00e3o fechada do Conselho nem do Parlamento. Hoje, o artigo 33.\u00ba continua nas 72 horas. Planeia com o que est\u00e1 em vigor.<\/p>\n<h2>O que precisas de saber nas primeiras 72 horas?<\/h2>\n<p>A notifica\u00e7\u00e3o \u00e0 CNPD n\u00e3o \u00e9 um email a dizer &quot;tivemos um problema&quot;. Tens de descrever a natureza da viola\u00e7\u00e3o, as categorias e o n\u00famero aproximado de titulares e de registos afetados, as consequ\u00eancias prov\u00e1veis e as medidas que tomaste. Se o risco para as pessoas for elevado, o artigo 34.\u00ba obriga-te tamb\u00e9m a comunicar diretamente aos titulares. E, mesmo que concluas que n\u00e3o \u00e9 preciso notificar, o artigo 33.\u00ba, n.\u00ba 5, obriga-te a documentar a viola\u00e7\u00e3o.<\/p>\n<p>Agora volta ao email de quinta-feira. Para preencher esse formul\u00e1rio precisavas de saber:<\/p>\n<ul>\n<li><strong>quem<\/strong> da tua equipa usou a ferramenta, e com que conta;<\/li>\n<li><strong>o que<\/strong> foi enviado: texto colado, ficheiros anexados, exporta\u00e7\u00f5es do ERP;<\/li>\n<li><strong>quando<\/strong> e <strong>onde<\/strong> esses dados foram processados e guardados;<\/li>\n<li><strong>se<\/strong> essas conversas ficaram guardadas no hist\u00f3rico ou foram apagadas.<\/li>\n<\/ul>\n<p>Com uma ferramenta p\u00fablica usada \u00e0 margem da empresa, a resposta honesta a quase tudo isto \u00e9 &quot;n\u00e3o sei&quot;. E &quot;n\u00e3o sei&quot; multiplicado por 72 horas \u00e9 o pior cen\u00e1rio poss\u00edvel: ou notificas por excesso, a assumir que tudo foi exposto, ou notificas tarde.<\/p>\n<h2>O que muda quando o assistente \u00e9 teu e l\u00ea o ERP?<\/h2>\n<p>Um assistente privado montado sobre o ERP muda a quest\u00e3o. A pergunta deixa de ser &quot;o que \u00e9 que a equipa colou l\u00e1 dentro?&quot; e passa a ser &quot;o que \u00e9 que o sistema podia ver, e o que \u00e9 que viu?&quot;. E essa pergunta tem resposta, porque est\u00e1 desenhada \u00e0 partida:<\/p>\n<ul>\n<li><strong>S\u00f3 leitura.<\/strong> O conector ao ERP (PHC ou outro) n\u00e3o escreve, n\u00e3o apaga e n\u00e3o altera. Uma fuga n\u00e3o te deixa com faturas adulteradas.<\/li>\n<li><strong>Acesso por perfil (RBAC).<\/strong> O comercial v\u00ea vendas e encomendas, mas n\u00e3o v\u00ea sal\u00e1rios. O armaz\u00e9m v\u00ea stock, mas n\u00e3o v\u00ea margens. Assim, o per\u00edmetro de uma fuga fica limitado ao que cada perfil podia consultar.<\/li>\n<li><strong>Registo de auditoria de cada pergunta e resposta.<\/strong> Quem perguntou, quando, que tabelas foram consultadas e que n\u00fameros sa\u00edram. Se precisares de dizer \u00e0 CNPD &quot;foram afetados registos de fatura\u00e7\u00e3o de 37 clientes entre tal e tal data&quot;, essa lista sai de uma consulta e n\u00e3o de uma investiga\u00e7\u00e3o.<\/li>\n<li><strong>Alojamento na UE<\/strong>, com a localiza\u00e7\u00e3o da infer\u00eancia e dos registos definida por escrito, e n\u00e3o apenas &quot;dados em repouso na Europa&quot;.<\/li>\n<li><strong>Arquitetura agn\u00f3stica ao modelo.<\/strong> Pode usar um modelo nacional pensado para o portugu\u00eas europeu, como o AMALIA, ou um modelo alojado na UE, conforme o caso. O que interessa para as 72 horas n\u00e3o \u00e9 o nome do modelo, \u00e9 saber onde corre e o que fica guardado.<\/li>\n<\/ul>\n<p><img decoding=\"async\" src=\"https:\/\/leiritech.pt\/blog\/wp-content\/uploads\/2026\/10\/blog-fuga-dados-fornecedor-ia-72-horas-2.png\" alt=\"Respons\u00e1vel de opera\u00e7\u00f5es a rever um contrato impresso com um engenheiro, ao lado de um port\u00e1til com um registo de auditoria\" \/><\/p>\n<h2>Que cl\u00e1usulas deves exigir antes de assinar?<\/h2>\n<p>Esta \u00e9 a parte que um post n\u00e3o tem espa\u00e7o para explicar. Antes de ligares qualquer IA aos dados da empresa, nossa ou de outro fornecedor, pede isto por escrito:<\/p>\n<ol>\n<li><strong>Prazo de aviso em horas, n\u00e3o em adjetivos.<\/strong> Por exemplo, 24 horas a contar da dete\u00e7\u00e3o, com uma primeira notifica\u00e7\u00e3o mesmo que ainda incompleta. Assim ficas com 48 horas \u00fateis para a tua parte.<\/li>\n<li><strong>Conte\u00fado m\u00ednimo do aviso:<\/strong> que contas, que per\u00edodo, que categorias de dados e que medidas j\u00e1 foram tomadas. Ou seja, o que precisas para preencher a notifica\u00e7\u00e3o.<\/li>\n<li><strong>Lista de subcontratantes ulteriores<\/strong> (alojamento, fornecedor do modelo, monitoriza\u00e7\u00e3o), com a localiza\u00e7\u00e3o de cada um e a obriga\u00e7\u00e3o de te avisar se mudar.<\/li>\n<li><strong>Acesso aos teus registos de auditoria<\/strong>, export\u00e1veis e guardados na UE, para n\u00e3o ficares dependente do fornecedor no dia em que mais precisas deles.<\/li>\n<li><strong>Reten\u00e7\u00e3o definida:<\/strong> quanto tempo ficam as conversas, se s\u00e3o usadas para treinar modelos (a resposta certa \u00e9 &quot;n\u00e3o&quot;) e como s\u00e3o apagadas.<\/li>\n<\/ol>\n<p>Se o fornecedor n\u00e3o te consegue responder a estes cinco pontos numa reuni\u00e3o, tamb\u00e9m n\u00e3o te vai responder \u00e0s 18h40 de uma quinta-feira.<\/p>\n<h2>Como \u00e9 isto no dia a dia, no WhatsApp?<\/h2>\n<p>O controlo n\u00e3o serve de nada se a ferramenta for t\u00e3o inc\u00f3moda que a equipa volte ao ChatGPT p\u00fablico. Por isso o assistente tem de responder onde as pessoas j\u00e1 est\u00e3o. Um exemplo, com n\u00fameros <strong>ilustrativos<\/strong>:<\/p>\n<blockquote>\n<p><strong>Encarregado de armaz\u00e9m:<\/strong> Que refer\u00eancias est\u00e3o abaixo do stock m\u00ednimo no armaz\u00e9m 2?<br \/>\n<strong>Assistente:<\/strong> 6 refer\u00eancias. A mais cr\u00edtica \u00e9 a 7420: 42 unidades, m\u00ednimo 80. Fonte: stock do ERP \u00e0s 10h20.<\/p>\n<p><strong>Comercial:<\/strong> Quanto fatur\u00e1mos \u00e0 Metal\u00fargica Silva este trimestre e quanto est\u00e1 por receber?<br \/>\n<strong>Assistente:<\/strong> 48 350 \u20ac faturados; 12 900 \u20ac em aberto, dos quais 4 100 \u20ac vencidos h\u00e1 mais de 30 dias. Fonte: faturas e conta-corrente no ERP.<\/p>\n<p><strong>Comercial:<\/strong> E qual \u00e9 o sal\u00e1rio do Jorge?<br \/>\n<strong>Assistente:<\/strong> Essa informa\u00e7\u00e3o n\u00e3o est\u00e1 dispon\u00edvel para o teu perfil.<\/p>\n<\/blockquote>\n<p>A \u00faltima resposta \u00e9 a mais importante das tr\u00eas. \u00c9 o RBAC a funcionar, e essa recusa tamb\u00e9m fica no registo de auditoria.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/leiritech.pt\/blog\/wp-content\/uploads\/2026\/10\/blog-fuga-dados-fornecedor-ia-72-horas-3.png\" alt=\"Encarregado de armaz\u00e9m de colete refletor a consultar o stock no WhatsApp, junto a um leitor de c\u00f3digo de barras\" \/><\/p>\n<h2>O que isto n\u00e3o resolve?<\/h2>\n<p>Conv\u00e9m ser honesto. Um assistente privado n\u00e3o impede que algu\u00e9m da equipa continue a abrir o ChatGPT no telem\u00f3vel pessoal. Para isso precisas de uma regra interna clara e de uma alternativa que seja melhor, e n\u00e3o s\u00f3 mais segura. N\u00e3o decide por ti se uma viola\u00e7\u00e3o \u00e9 de risco elevado: d\u00e1-te os factos depressa, mas a avalia\u00e7\u00e3o \u00e9 tua (e do teu encarregado de prote\u00e7\u00e3o de dados, se tiveres). O registo de auditoria tamb\u00e9m \u00e9 um tratamento de dados sobre a tua equipa, e por isso os trabalhadores t\u00eam de saber que existe e para que serve. E se o ERP tiver clientes duplicados ou artigos mal classificados, o assistente vai responder com essa confus\u00e3o, com a fonte indicada.<\/p>\n<h2>Por onde come\u00e7ar?<\/h2>\n<p>Come\u00e7a por um piloto pequeno: um departamento, 10 a 20 perguntas que hoje obrigam a exportar para Excel ou a pedir a algu\u00e9m, e perfis de acesso definidos desde o primeiro dia. No fim, medes duas coisas: as horas poupadas por semana e quanto tempo demoras a responder a &quot;quem viu o qu\u00ea, e quando?&quot; a partir do registo de auditoria. Se essa segunda resposta demorar minutos e n\u00e3o dias, as tuas 72 horas passam a ser um prazo que consegues cumprir.<\/p>\n<p>Somos uma equipa pequena de Leiria. Falas diretamente com quem escreve o c\u00f3digo e com quem vai assinar o contrato contigo, sem gestores de conta pelo meio.<\/p>\n<p>Queres perguntar ao teu ERP em portugu\u00eas, sem os dados sa\u00edrem da UE? Fala connosco: hello@leiritech.com \u00b7 +351 914 572 595, ou v\u00ea o nosso trabalho em leiritech.pt.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Se o teu fornecedor de IA tiver uma fuga, tens 72h para avisar a CNPD. Quanto tempo te d\u00e1 o contrato? O que exigir antes de ligar a IA ao teu ERP.<\/p>\n","protected":false},"author":1,"featured_media":371,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[519],"tags":[506,521,508,507,417,520],"class_list":["post-375","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-conformidade","tag-chatgpt-privado-para-empresas","tag-fornecedor-de-ia-subcontratante-rgpd","tag-ia-rgpd-pme","tag-ia-sobre-o-erp","tag-perguntar-ao-erp-no-whatsapp","tag-violacao-de-dados-72-horas-cnpd"],"_links":{"self":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts\/375","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/comments?post=375"}],"version-history":[{"count":0,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts\/375\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/media\/371"}],"wp:attachment":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/media?parent=375"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/categories?post=375"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/tags?post=375"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}