AI Act e RGPD: a que prestar atenção num chatbot empresarial?

A Mesterséges Intelligencia Központ Kft. é uma empresa de desenvolvimento de software com sede em Budapeste, na Hungria. Num chatbot empresarial, contam sobretudo duas regras: o AI Act exige que se indique que é uma IA a responder, e o RGPD, que os dados pessoais sejam tratados de forma lícita.

Em resumo: o artigo 50.º, n.º 1, do AI Act aplica-se desde 2 de agosto de 2026: o chatbot tem de indicar de forma clara, o mais tardar na primeira interação, que o utilizador está a falar com inteligência artificial, salvo se isso for óbvio. Um chatbot típico de apoio ao cliente não é um sistema de IA de risco elevado, mas, se tratar dados pessoais, aplicam-se-lhe também as regras do RGPD, nomeadamente quanto ao fundamento jurídico, à informação dos titulares dos dados, à minimização dos dados e ao contrato de subcontratação a celebrar com o fornecedor de IA. Trata-se de informação, não de aconselhamento jurídico (verificado em 17 de outubro de 2026).

De que dois regulamentos se trata?

O AI Act é o regulamento da União Europeia sobre a inteligência artificial, oficialmente o Regulamento (UE) 2024/1689. Enquanto regulamento, é diretamente aplicável em todos os Estados-Membros. O texto oficial húngaro chama ao sistema de IA «MI-rendszer»; neste artigo usamos o termo corrente «IA».

O artigo 3.º do regulamento distingue dois papéis. Prestador é quem desenvolve um sistema de IA, ou o manda desenvolver, e o coloca no mercado ou em serviço sob o seu próprio nome ou marca. Responsável pela implantação é quem utiliza um sistema de IA sob a sua própria autoridade, salvo no âmbito de uma utilização pessoal de caráter não profissional. Se uma empresa mandar desenvolver um chatbot e o explorar com o seu próprio nome no seu site, ambas as definições podem aplicar-se, pelo que não convém deixar as obrigações apenas a cargo de quem o desenvolve.

O RGPD, o Regulamento Geral sobre a Proteção de Dados, oficialmente o Regulamento (UE) 2016/679, aplica-se a todo o tratamento de dados pessoais, incluindo o que um chatbot realiza. O artigo 2.º, n.º 7, do AI Act estabelece que, salvo algumas exceções restritas que, em regra, não dizem respeito aos chatbots, o regulamento não afeta o RGPD: os dois conjuntos de regras aplicam-se lado a lado, e nenhum substitui o outro.

O que exige o artigo 50.º do AI Act?

O artigo 50.º impõe obrigações de transparência aos prestadores e aos responsáveis pela implantação de determinados sistemas de IA. Um chatbot empresarial é abrangido sobretudo pelo n.º 1, mas vale a pena conhecer também os restantes, porque um assistente que produza igualmente imagens, áudio ou texto publicado pode deparar-se com eles.

Número	Quem fica obrigado	O que exige	Quando afeta um chatbot
(1)	o prestador	nos sistemas que interagem diretamente com pessoas, as pessoas em causa devem saber que estão a interagir com um sistema de IA, salvo se isso for óbvio	quase sempre: é o caso básico de um chatbot
(2)	o prestador de um sistema que gera texto, imagem, áudio ou vídeo sintéticos	os resultados devem ser marcados num formato legível por máquina, para serem detetáveis como artificialmente gerados	se o sistema gerar conteúdos; os pormenores são precisados pelas orientações e pelo código de práticas da Comissão
(3)	o responsável pela implantação de um sistema de reconhecimento de emoções ou de categorização biométrica	as pessoas expostas devem ser informadas do funcionamento do sistema	se o sistema inferir emoções ou intenções a partir de dados biométricos
(4), primeiro parágrafo	o responsável pela implantação de um sistema que gera falsificações profundas (deepfakes)	deve revelar que o conteúdo de imagem, áudio ou vídeo foi gerado artificialmente	se o bot produzir imagens, áudio ou vídeo que se assemelhem de forma enganosa a uma pessoa real
(4), segundo parágrafo	o responsável pela implantação de um sistema que gera texto publicado para informar o público sobre questões de interesse público	deve revelar que o texto foi gerado artificialmente, salvo se tiver sido revisto por uma pessoa e alguém detiver a responsabilidade editorial por ele	raramente: uma resposta individual de um chatbot não é, normalmente, um texto publicado deste tipo
(5)	ambos	a informação deve ser clara e percetível, prestada o mais tardar na primeira interação, e cumprir os requisitos de acessibilidade	sempre, juntamente com a indicação prevista no n.º 1

O que significa o n.º 1 na prática?

A indicação tem de aparecer no início da conversa, num local visível para o utilizador, e não escondida nos termos e condições gerais. Uma solução sensata é que tanto o cabeçalho da janela de chat como a primeira mensagem do bot digam: «Está a responder um assistente de IA.» Isto é especialmente importante se o bot tiver nome ou avatar próprios, porque um nome humano sugere facilmente que é um colaborador a escrever.

A exceção do «óbvio» é restrita. Segundo o texto do regulamento, deve ser apreciada do ponto de vista de uma pessoa razoavelmente informada, atenta e advertida, tendo em conta as circunstâncias e o contexto de utilização. Segundo o documento de perguntas e respostas da Comissão Europeia, a exceção deve ser interpretada de forma restritiva, porque priva as pessoas de transparência; e o documento menciona expressamente os chatbots, os agentes de IA e os avatares entre os exemplos de sistemas que interagem diretamente com pessoas. Num chat de apoio ao cliente, é por isso aconselhável indicar sempre que é uma IA a responder.

A partir de quando se aplicam as regras?

O AI Act entrou em vigor em 1 de agosto de 2024, e as suas disposições tornaram-se aplicáveis de forma faseada (artigo 113.º). Em 19 de novembro de 2025, a Comissão propôs a simplificação do regulamento; daí resultou o Regulamento (UE) 2026/1744, adotado em 8 de julho de 2026, que o seu título português designa por «Regulamento Omnibus Digital em matéria de IA». Foi publicado no Jornal Oficial em 24 de julho de 2026 e entrou em vigor em 27 de julho de 2026. Não adiou a data de aplicação do artigo 50.º, n.º 1, mas alterou várias outras datas (verificado em 17 de outubro de 2026):

Regra	Aplicável	Onde está prevista
Práticas de IA proibidas e literacia no domínio da IA (capítulos I e II)	a partir de 2 de fevereiro de 2025; as duas novas proibições introduzidas pela alteração, a partir de 2 de dezembro de 2026	AI Act, artigo 113.º, alínea a)
A nova redação, mais branda, da literacia no domínio da IA (artigo 4.º)	a partir de 27 de julho de 2026	entrada em vigor do Regulamento (UE) 2026/1744
Obrigações de transparência, incluindo o artigo 50.º, n.º 1	a partir de 2 de agosto de 2026	AI Act, artigo 113.º, data geral de aplicação
Marcação legível por máquina (artigo 50.º, n.º 2) nos sistemas generativos colocados no mercado antes de 2 de agosto de 2026	conformidade exigida até 2 de dezembro de 2026	AI Act, artigo 111.º, n.º 4, aditado pela alteração
Sistemas de risco elevado nos termos do anexo III	a partir de 2 de dezembro de 2027	AI Act, artigo 113.º, alínea c), na redação alterada
Sistemas de risco elevado integrados em produtos (anexo I)	a partir de 2 de agosto de 2028	AI Act, artigo 113.º, alínea c), na redação alterada

A página da Comissão sobre o AI Act e o seu documento de perguntas e respostas sobre o artigo 50.º indicam as mesmas datas principais. Se no futuro surgir uma nova alteração, vale a pena verificá-la no EUR-Lex, na página do próprio regulamento.

Literacia no domínio da IA: o que precisa a equipa de saber?

A redação original do artigo 4.º exigia que os prestadores e os responsáveis pela implantação garantissem, na medida do possível, um nível suficiente de literacia no domínio da IA do seu pessoal. Desde a alteração introduzida pelo Regulamento 2026/1744, a obrigação consiste em adotar medidas para promover a literacia no domínio da IA do pessoal e de outras pessoas que atuam em seu nome; o texto estabelece que isto não obriga a garantir um nível específico de literacia. Cabe à Comissão e aos Estados-Membros apoiar este esforço, em especial no caso das pequenas e médias empresas.

Numa empresa que explora um chatbot, isto significa, na prática, uma formação curta e adaptada a cada função: o que o bot sabe e não sabe fazer, como reconhecer uma resposta errada, quando e como assumir a conversa, e que dados nunca devem ser introduzidos numa ferramenta de IA. Vale a pena documentá-lo.

Um chatbot de apoio ao cliente é de risco elevado?

A categoria a que na linguagem corrente se chama muitas vezes «alto risco» designa-se, no texto português do regulamento, «sistema de IA de risco elevado». O artigo 6.º inclui um sistema nesta categoria por duas vias: se for um componente de segurança de um produto abrangido pela legislação de harmonização da União enumerada no anexo I (ou for ele próprio um desses produtos), e esse produto tiver de ser sujeito a uma avaliação da conformidade por terceiros; ou se a sua utilização se enquadrar num dos domínios do anexo III. Os domínios do anexo III são: biometria, infraestruturas críticas, educação, emprego, acesso a serviços privados e públicos essenciais, aplicação da lei, migração e controlo das fronteiras, e administração da justiça e processos democráticos.

Um chatbot que responde sobre produtos, entregas, horários de funcionamento ou o estado das encomendas não se enquadra em nenhum destes domínios, pelo que não é de risco elevado; aplicam-se-lhe as regras de transparência do artigo 50.º. A mesma tecnologia pode, no entanto, tornar-se de risco elevado consoante a finalidade de utilização, por exemplo, se:

filtrar candidaturas a emprego ou avaliar candidatos (anexo III, ponto 4, alínea a));
avaliar a solvabilidade de pessoas singulares ou estabelecer a sua classificação de crédito (ponto 5, alínea b));
avaliar riscos ou fixar preços em relação a pessoas singulares em seguros de vida ou de saúde (ponto 5, alínea c));
avaliar, em nome de uma autoridade pública, a elegibilidade para prestações ou serviços públicos (ponto 5, alínea a)).

Nos termos do artigo 6.º, n.º 3, um sistema do anexo III excecionalmente não é de risco elevado se não representar um risco significativo, por exemplo porque desempenha uma tarefa processual restrita ou apenas prepara uma decisão humana, mas é sempre de risco elevado quando efetua a definição de perfis de pessoas singulares. Quem invocar esta exceção tem de documentar a sua avaliação. Os requisitos pormenorizados para os sistemas de risco elevado são aplicáveis, nos casos do anexo III, a partir de 2 de dezembro de 2027. Se um chatbot se aproximar de decisões deste tipo, vale a pena esclarecer a classificação com um jurista antes do início do desenvolvimento.

O que exige o RGPD a um chatbot?

Uma conversa com um chatbot contém muitas vezes dados pessoais: um nome, um endereço de e-mail, um número de encomenda, a descrição de uma reclamação. A empresa que utiliza o chatbot no seu próprio apoio ao cliente é então, tipicamente, o responsável pelo tratamento, e o fornecedor do modelo de linguagem é, tipicamente, um subcontratante. Em 19 de novembro de 2025, a Comissão propôs também a alteração do RGPD (COM(2025) 837), mas ainda não foi publicado no Jornal Oficial nenhum ato que altere o RGPD (verificado em 17 de outubro de 2026): o que se segue baseia-se no texto em vigor.

Fundamento jurídico (artigo 6.º)

Cada finalidade do tratamento precisa de um fundamento jurídico previsto no artigo 6.º, n.º 1. Num chatbot, os mais frequentes são a execução de um contrato (por exemplo, uma resposta sobre o estado de uma encomenda), os interesses legítimos (com uma ponderação de interesses) e o consentimento (por exemplo, na subscrição de uma newsletter). Se as conversas vierem mais tarde a ser utilizadas para outra finalidade (por exemplo, para análise ou desenvolvimento), isso tem de ser examinado à parte, porque o fundamento original não basta para um tratamento posterior incompatível com a finalidade original (artigo 6.º, n.º 4).

Informação (artigo 13.º)

No momento da recolha dos dados, o titular dos dados tem de ser informado, entre outros aspetos, da identidade do responsável pelo tratamento, das finalidades e do fundamento jurídico, dos destinatários, de uma eventual transferência para um país terceiro, do prazo de conservação, dos seus direitos e de que pode apresentar reclamação a uma autoridade de controlo, que na Hungria é a Autoridade Nacional para a Proteção de Dados e a Liberdade de Informação (NAIH). A indicação «é uma IA a responder» exigida pelo AI Act não substitui esta informação: na janela de chat tem de estar também disponível a política de privacidade.

Minimização dos dados e limitação da conservação (artigo 5.º)

Nos termos do artigo 5.º, só podem ser tratados os dados necessários para a finalidade, e apenas durante o tempo que a finalidade exigir. Num chatbot, isto traduz-se em três decisões concretas: o bot não deve pedir mais dados do que os necessários para a resposta; ao modelo só devem chegar os dados necessários para a tarefa, mascarados ou pseudonimizados sempre que possível; e os registos das conversas devem ter um prazo de conservação e um procedimento de apagamento. A segurança dos dados (gestão de permissões, cifragem, registo) faz parte do mesmo artigo.

Contrato de subcontratação com o fornecedor de IA (artigo 28.º)

Se o fornecedor do modelo de linguagem tratar dados pessoais por conta da empresa, é necessário celebrar com ele um contrato de subcontratação por escrito. Nos termos do artigo 28.º, n.º 3, este tem de estipular, entre outros aspetos, que o subcontratante só trata os dados mediante instruções documentadas do responsável pelo tratamento, assegura a confidencialidade e a segurança, só recorre a outro subcontratante com autorização, presta assistência na resposta aos pedidos dos titulares dos dados, apaga ou devolve os dados no fim da prestação do serviço e permite auditorias. Na prática, é por isso preciso analisar as condições empresariais (de API) do fornecedor e o seu aditamento relativo ao tratamento de dados, e não as da aplicação de chat para consumidores: onde são guardados os dados, durante quanto tempo e se são utilizados para treinar modelos.

Transferências para fora da UE (capítulo V)

Se os dados forem tratados num país fora da UE, o chamado país terceiro, é necessário um fundamento nos termos do capítulo V do RGPD: uma decisão de adequação (artigo 45.º) ou garantias adequadas, como as cláusulas-tipo de proteção de dados (artigo 46.º). Para os Estados Unidos, a Decisão de Execução (UE) 2023/1795 da Comissão, relativa ao Quadro de Privacidade de Dados UE-EUA, constitui uma decisão de adequação, mas apenas para as organizações norte-americanas que constam da lista do Quadro de Privacidade de Dados. A decisão está em vigor; o recurso que pedia a sua anulação foi julgado improcedente pelo Tribunal Geral em 3 de setembro de 2025, e está pendente no Tribunal de Justiça um recurso desse acórdão (C-703/25 P) (verificado em 17 de outubro de 2026). Por isso, vale a pena verificar também se o fornecedor oferece armazenamento ou tratamento dos dados na UE.

Avaliação de impacto sobre a proteção de dados (artigo 35.º)

A avaliação de impacto é obrigatória se o tratamento, em especial quando recorre a novas tecnologias, for suscetível de implicar um elevado risco para os direitos dos titulares dos dados. O artigo 35.º, n.º 3, exige-a expressamente em alguns casos, e a NAIH publicou a sua própria lista de avaliação de impacto, que inclui, entre outros, a definição de perfis, a decisão automatizada com efeitos jurídicos, a utilização de dados de crianças para definição de perfis ou para marketing e a combinação de dados provenientes de diferentes fontes. Num bot simples que responde a perguntas sobre produtos, raramente é necessária; se, pelo contrário, o bot combinar dados de clientes provenientes do CRM, definir perfis ou tratar dados de saúde em grande escala, é provável que seja. Vale a pena registar a ponderação por escrito, mesmo que o resultado seja «não é necessária».

Decisões automatizadas (artigo 22.º)

O titular dos dados tem o direito de não ficar sujeito a uma decisão tomada exclusivamente com base no tratamento automatizado, se esta produzir efeitos jurídicos ou o afetar significativamente de forma similar. Se um chatbot, por exemplo, rejeitasse por si só uma reclamação, um reembolso ou um pedido, também esta regra seria relevante: se essa decisão for necessária para a execução de um contrato ou se basear no consentimento explícito, continua a ser necessário assegurar, pelo menos, o direito de obter intervenção humana, de manifestar o seu ponto de vista e de contestar a decisão. O mais simples é o bot apenas preparar essa decisão e ser um colaborador a tomá-la.

Lista de verificação prática

Tarefa	Porquê	Fonte jurídica
Indicar na primeira mensagem e na janela de chat que é uma IA a responder	transparência	AI Act, artigo 50.º, n.ºs 1 e 5
Esclarecer quem é o prestador, o responsável pela implantação, o responsável pelo tratamento e o subcontratante	repartição das responsabilidades	AI Act, artigo 3.º; RGPD, artigo 28.º
Registar a finalidade de utilização do bot e a sua classificação de risco	excluir ou gerir o risco elevado	AI Act, artigo 6.º, anexo III
Definir o fundamento jurídico para cada finalidade	tratamento lícito	RGPD, artigo 6.º
Disponibilizar a política de privacidade na janela de chat	informação	RGPD, artigo 13.º
Pedir e transmitir ao modelo apenas os dados necessários	minimização dos dados	RGPD, artigo 5.º, n.º 1, alínea c)
Fixar um prazo de conservação para os registos das conversas	limitação da conservação	RGPD, artigo 5.º, n.º 1, alínea e)
Celebrar um contrato de subcontratação com o fornecedor de IA	recurso a um subcontratante	RGPD, artigo 28.º
Verificar o fundamento das transferências para fora da UE	transferência para países terceiros	RGPD, capítulo V
Ponderar e documentar a necessidade de uma avaliação de impacto	tratamento de elevado risco	RGPD, artigo 35.º, lista da NAIH
Envolver uma pessoa nas decisões com efeitos significativos e, a pedido, passar a conversa a um colaborador	decisões automatizadas	RGPD, artigo 22.º
Formar os colaboradores que gerem o bot	literacia no domínio da IA	AI Act, artigo 4.º

Erros comuns

Indicação escondida: «é uma IA a responder» aparece apenas nos termos de utilização, e não na conversa.
Persona humana sem indicação: o bot recebe um nome e uma fotografia humanos, e nada indica que é uma máquina.
A ficha completa do cliente no prompt: o modelo recebe toda a ficha do CRM, quando dois campos bastariam para a resposta.
Ferramenta de consumo com dados da empresa: os colaboradores copiam dados de clientes para uma aplicação de chat gratuita, sem contrato de subcontratação.
Registos guardados para sempre: as conversas acumulam-se sem regra de apagamento.
Decisão automática sem controlo humano: o bot rejeita sozinho casos significativos, e ninguém os revê.

Perguntas frequentes

Temos de indicar que é uma IA a responder?

Regra geral, sim. Nos termos do artigo 50.º, n.º 1, do AI Act, um sistema de IA que interage diretamente com pessoas tem de ser concebido de modo a que as pessoas em causa saibam que estão a interagir com um sistema de IA, salvo se isso for óbvio do ponto de vista de uma pessoa razoavelmente informada. Nos termos do n.º 5, isto tem de ser comunicado de forma clara e percetível, o mais tardar na primeira interação. Num chat de apoio ao cliente, o mais seguro é, por isso, indicá-lo na primeira mensagem.

A partir de quando é obrigatório?

O artigo 50.º aplica-se desde 2 de agosto de 2026, e o Regulamento (UE) 2026/1744, que alterou o AI Act, não mudou isso. Para a marcação legível por máquina dos resultados dos sistemas generativos (artigo 50.º, n.º 2), os prestadores de sistemas colocados no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para se prepararem. O artigo 4.º, relativo à literacia no domínio da IA, aplica-se desde 2 de fevereiro de 2025 e, desde 27 de julho de 2026, com uma redação mais branda.

Um chatbot de apoio ao cliente é considerado de risco elevado?

Normalmente, não. Um chatbot que dá informações sobre produtos, encomendas ou serviços não se enquadra nos domínios do anexo III do AI Act, pelo que se lhe aplicam as regras de transparência. Pode, no entanto, ser de risco elevado se, por exemplo, filtrar candidatos a emprego, avaliar a solvabilidade ou fixar o preço de riscos de seguros de vida e de saúde.

Podemos transmitir dados pessoais a um fornecedor de IA?

Sim, se o tratamento tiver um fundamento jurídico, os titulares dos dados forem informados, existir um contrato de subcontratação com o fornecedor (artigo 28.º do RGPD) e, se os dados saírem da UE, também a transferência tiver um fundamento (capítulo V). Vale a pena transmitir apenas os dados de que a tarefa precisa e verificar se o fornecedor utiliza os dados para treinar modelos.

É necessária uma avaliação de impacto sobre a proteção de dados?

É necessária se o tratamento for suscetível de implicar um elevado risco para os direitos dos titulares dos dados (artigo 35.º do RGPD). Num bot informativo simples, raramente; é provável em caso de definição de perfis, de decisões automatizadas com efeitos jurídicos, de definição de perfis com dados de crianças, de categorias especiais de dados tratadas em grande escala ou da combinação de dados de várias fontes, situações que constam também da lista de avaliação de impacto da NAIH. Em ambos os casos, vale a pena registar a decisão por escrito.

Como podemos ajudar?

Desenvolvemos chatbots e agentes de IA, e um chatbot desenvolvido por nós indica logo na primeira mensagem que é um assistente de IA a responder. Ao ligar modelos de linguagem, tema da página Integração de IA, cuidamos de que ao modelo só cheguem os dados necessários para a tarefa, de que o modelo só veja aquilo que o utilizador que faz a pergunta também pode ver e de que as conversas possam ser consultadas posteriormente; analisamos ainda as condições de tratamento de dados do fornecedor. Sobre os aspetos técnicos, pode ler os artigos Chatbot ou agente de IA? e IA nos próprios documentos da empresa (RAG).

Este artigo é informação, não aconselhamento jurídico: sobre a conformidade de um tratamento concreto, vale a pena consultar também um jurista ou um encarregado da proteção de dados. A primeira consulta é gratuita; se está a planear um chatbot, escreva-nos através dos contactos indicados na página Contacto.