A pergunta certa não é apenas “onde está o modelo?”
Quando uma instituição avalia um assistente de IA, é natural começar pelo fornecedor do modelo. Para o RGPD, porém, o sistema deve ser analisado de ponta a ponta: fontes ingeridas, finalidades, acessos, registos, excertos enviados ao modelo e conservação das interações.
Este artigo apresenta critérios gerais e não substitui aconselhamento jurídico nem uma avaliação de impacto adequada ao caso concreto.
Finalidade e minimização
Cada conjunto de documentos deve ter uma finalidade definida. Uma base de conhecimento interna não deve tornar-se automaticamente uma fonte pública, e o facto de um documento estar acessível a uma equipa não significa que todo o seu conteúdo seja necessário para responder a qualquer pergunta.
Minimizar significa limitar documentos, campos, excertos e períodos de conservação ao que é necessário para o serviço.
Permissões antes da pesquisa
O controlo de acesso deve acontecer antes de o conteúdo ser recuperado e enviado para geração. Filtrar apenas a resposta final deixa espaço para exposição indevida no contexto processado pelo modelo.
Na prática, a pesquisa deve respeitar organização, função, coleção, embargo e outras regras relevantes em todas as camadas.
Fornecedores e residência dos dados
A instituição precisa de saber que entidades processam dados, em que regiões e com que condições de retenção ou treino. A lista de subprocessadores, o acordo de tratamento de dados e as transferências internacionais devem refletir o fluxo técnico real.
Sempre que um serviço em nuvem recebe contexto, deve receber apenas os excertos necessários — não uma cópia integral do acervo.
Quando considerar uma DPIA
Uma avaliação de impacto sobre a proteção de dados pode ser necessária quando o tratamento apresenta risco elevado, envolve dados sensíveis, monitorização sistemática ou decisões com efeitos significativos. Mesmo quando não é obrigatória, documentar riscos, medidas e responsabilidades melhora a decisão.
Evidência operacional
Conformidade também exige prova: registos de acesso, versões das fontes, configuração de retenção, incidentes e alterações de fornecedores. Uma política escrita sem correspondência no sistema não é suficiente.
O objetivo não é acrescentar RGPD depois do produto estar pronto. É limitar desde o início o que o sistema pode consultar, transmitir, registar e revelar.