Usar IA com segurança no trabalho

Este guia ajuda você a usar ferramentas de IA no trabalho com uma visão clara. Ele explica em palavras simples quais perguntas fazer a uma ferramenta, por que o plano importa e quais obrigações existem. Cada afirmação tem link para a fonte original.

Verificado em 31.10.2026 nas fontes originais com link. Não é aconselhamento jurídico.

Para quem é este guia?

Para todos que usam IA no trabalho
Autônomos, equipes pequenas e empresas maiores. Um chat para textos conta tanto quanto um gravador de reuniões ou um gerador de imagens. Fonte: Comissão Europeia: perguntas frequentes sobre o art. 50 (em inglês)
Regulamento Geral sobre a Proteção de Dados (RGPD) da UE
Ele se aplica assim que você coloca dados sobre pessoas em uma ferramenta no trabalho, como nomes, e-mails ou fichas de clientes. Se não houver nenhum dado desse tipo, ele não se aplica, segundo as autoridades alemãs de proteção de dados. Mas isso precisa ser verificado com cuidado. Fonte: Regulamento Geral sobre a Proteção de Dados (EUR-Lex), Conferência alemã de proteção de dados: orientação sobre IA e proteção de dados (PDF, em alemão)
Regulamento europeu de IA (AI Act)
Ele se aplica a todos que usam IA de forma profissional. Segundo a Comissão Europeia, quem usa IA só na vida privada não tem as obrigações de um usuário pelo AI Act. Fonte: Regulamento europeu de IA (EUR-Lex), Comissão Europeia: perguntas frequentes sobre o art. 50 (em inglês)

Grátis ou empresarial: o plano faz a diferença

Se uma ferramenta serve para dados da empresa muitas vezes depende menos do modelo de IA do que do plano. A mesma ferramenta pode ter regras diferentes no plano grátis e no empresarial. Esta é a nossa observação a partir dos dados de fornecedores que verificamos, não uma lei.

Comum em planos grátis e pessoais

Sem contrato de tratamento de dados
As entradas podem ser usadas para treinar, muitas vezes com uma opção para desligar
Login com uma conta pessoal
Sem escolha do local de armazenamento

Comum em planos empresariais, de equipe e de API

Contrato de tratamento de dados disponível
Sem treinamento com as entradas, segundo o fornecedor
A empresa gerencia as contas, não cada pessoa
Local de armazenamento às vezes selecionável, por exemplo a UE

"Comum" não quer dizer "sempre": leia os dados exatamente do seu plano. As autoridades alemãs de proteção de dados também recomendam contas e aparelhos da empresa em vez de contas pessoais. Fonte: Conferência alemã de proteção de dados: orientação sobre IA e proteção de dados (PDF, em alemão)

O que saber sobre cada ferramenta de IA

As respostas costumam estar no trust center, no aviso de privacidade ou no contrato do fornecedor. Se não encontrar a resposta, pergunte ao fornecedor. Até lá, é melhor não inserir dados sobre pessoas.

Onde ficam meus dados?

Trata-se dos servidores onde entradas e arquivos são armazenados e processados. Veja se "armazenar" e "processar" aparecem separados. Exemplo segundo a Microsoft: no Microsoft 365 Copilot, o processamento pode ocorrer nos EUA, no Canadá ou na Austrália em horários de pico se o "flex routing" estiver permitido. Em contas da UE elegíveis criadas depois de 25/03/2026, ele vem ativado por padrão e pode ser desligado. Fonte: Microsoft: flex routing (UE e EFTA, em inglês)

Onde fica a sede da empresa?

Um servidor na UE só diz onde os dados estão. Se o fornecedor tem sede fora da UE, ele também pode estar sujeito às leis do seu país. Se os dados vão para um país fora da UE, o RGPD exige uma base: por exemplo, o EU-US Data Privacy Framework para empresas americanas inscritas nele, ou cláusulas contratuais-padrão (arts. 45 e 46 RGPD). A lista oficial mostra se uma empresa americana está inscrita. Fonte: Regulamento Geral sobre a Proteção de Dados (EUR-Lex), Comissão Europeia: transferências de dados UE-EUA (em inglês), Lista oficial do Data Privacy Framework (em inglês)

A ferramenta aprende com minhas entradas?

Alguns fornecedores usam entradas e respostas para melhorar seus modelos. Verifique se é o caso e se você pode desligar isso. As autoridades alemãs de proteção de dados consideram melhores as ferramentas que não treinam com as entradas. Fonte: Conferência alemã de proteção de dados: orientação sobre IA e proteção de dados (PDF, em alemão)

Existe um contrato de tratamento de dados?

Se um fornecedor trata dados sobre pessoas em seu nome, segundo as autoridades alemãs de proteção de dados esse contrato muitas vezes é necessário (art. 28 RGPD). Nele, o fornecedor se compromete, entre outras coisas, a usar os dados só conforme suas instruções e a ajudar você em caso de incidente. Fonte: Regulamento Geral sobre a Proteção de Dados (EUR-Lex), Conferência alemã de proteção de dados: orientação sobre IA e proteção de dados (PDF, em alemão)

Três exemplos do dia a dia

Orçamento de uma empresa de pintura

Uma empresa de pintura pede a uma IA o texto de um orçamento para pintar uma fachada, sem nome do cliente, endereço ou fotos da casa. Atenção: mesmo sem nome, muitas vezes dá para identificar uma pessoa pelo contexto, por exemplo pela rua e pela data. Por isso, segundo as autoridades de proteção de dados, apagar o nome muitas vezes não basta. Fonte: Conferência alemã de proteção de dados: orientação sobre IA e proteção de dados (PDF, em alemão)

Pré-selecionar candidaturas

Uma empresa pede a uma IA que resuma candidaturas. Quem é convidado ou recusado é decidido por uma pessoa que realmente analisa a sugestão. As pessoas têm, em princípio, o direito de não ficar sujeitas a uma decisão tomada só de forma automática que as afete de forma significativa (art. 22 RGPD). Segundo as autoridades de proteção de dados, uma pessoa que só aprova por formalidade não basta. Fonte: Regulamento Geral sobre a Proteção de Dados (EUR-Lex), Conferência alemã de proteção de dados: orientação sobre IA e proteção de dados (PDF, em alemão)

Gravador de reuniões com clientes

Uma agência quer que um gravador com IA anote videochamadas. Antes, ela avisa todos os participantes e pede o consentimento deles. Na Alemanha, gravar sem autorização as palavras ditas em particular por outra pessoa é crime (§ 201 StGB). Outros países têm suas próprias regras. Fonte: § 201 Código Penal alemão (em alemão)

Checklist para copiar

Copie a lista no documento da sua equipe e marque o que já foi feito. Ela não substitui a análise do seu caso concreto.

Checklist: usar IA com segurança no trabalho (aicompare.ninja, em 31.10.2026)

[ ] Anotamos quais ferramentas de IA usamos e para quê.
[ ] Para cada ferramenta está claro qual plano usamos.
[ ] Sabemos onde os dados são armazenados e processados, segundo o fornecedor.
[ ] Sabemos onde fica a sede do fornecedor e como os dados fora da UE são protegidos.
[ ] Segundo o fornecedor, as entradas não são usadas para treinar, ou desligamos o treinamento.
[ ] Onde entram dados sobre pessoas, temos um contrato de tratamento de dados.
[ ] Usamos contas da empresa em vez de contas pessoais.
[ ] Definimos quais dados nunca entram em uma ferramenta de IA, por exemplo dados de saúde, senhas ou segredos comerciais.
[ ] Uma pessoa confere os resultados da IA antes de serem enviados ou de decidirem sobre pessoas.
[ ] Todos que usam IA foram orientados, e anotamos quem foi treinado e quando.
[ ] Rotulamos deepfakes e textos de IA não revisados sobre temas públicos.
[ ] Antes de gravar conversas, pedimos a permissão de todos os envolvidos.
[ ] Sabemos quem notifica um incidente de dados e que o prazo é, se possível, de 72 horas.
[ ] Verificamos se precisamos de um encarregado de proteção de dados.
[ ] Revisamos esta lista com regularidade, por exemplo a cada seis meses.

Obrigações em resumo

Literacia em IA na equipe

Desde 2 de fevereiro de 2025, empresas que usam IA de forma profissional precisam garantir que sua equipe saiba lidar com ela (art. 4 AI Act). Segundo a Comissão Europeia, não se exige um nível fixo nem um certificado; é possível manter um registro interno de treinamentos e orientações. Segundo a Comissão, isso vale também se a equipe só escreve textos com um chat, por exemplo com um aviso sobre fatos inventados. As autoridades fiscalizam isso desde 2 de agosto de 2026. Fonte: Comissão Europeia: perguntas e respostas sobre literacia em IA (em inglês), Comissão Europeia: AI Omnibus entra em vigor (27/07/2026, em inglês)

Rotular deepfakes e textos de IA

Desde 2 de agosto de 2026, deepfakes publicados em contexto profissional precisam ser rotulados com clareza. São imagens, vídeos ou áudios de IA com aparência real que se parecem com pessoas, lugares ou fatos reais. Textos de IA que informam o público sobre assuntos de interesse público também precisam de um aviso, a menos que uma pessoa tenha revisado o conteúdo e tenha a responsabilidade editorial (art. 50, n.º 4, AI Act). O dia 2 de dezembro de 2026 afeta sobretudo os fornecedores: ferramentas que já estavam no mercado antes de 2 de agosto de 2026 precisam marcar seu conteúdo de forma legível por máquina até essa data. A partir do mesmo dia, ficam proibidos sistemas de IA que geram imagens íntimas sem consentimento. Fonte: Comissão Europeia: perguntas frequentes sobre o art. 50 (em inglês), AI Act Service Desk: o que vale a partir de quando? (em inglês)

Incidente de dados: 72 horas

Se dados sobre pessoas chegam a quem não tem autorização, por exemplo por uma conta de IA invadida, a empresa precisa notificar a autoridade de proteção de dados sem demora injustificada e, se possível, em até 72 horas, a menos que seja improvável haver risco para as pessoas afetadas. Todo incidente é documentado internamente. Um fornecedor que trata dados para a empresa precisa avisá-la de um incidente sem demora injustificada (art. 33 RGPD). Fonte: Regulamento Geral sobre a Proteção de Dados (EUR-Lex)

Encarregado de proteção de dados

Na Alemanha, uma empresa precisa de um encarregado de proteção de dados se, em regra, pelo menos 20 pessoas trabalham de forma constante no tratamento automatizado de dados pessoais. Independentemente do número, ele é obrigatório, entre outros casos, se for necessária uma avaliação de impacto (§ 38 BDSG). Segundo as autoridades de proteção de dados, isso será "muitas vezes" o caso no uso de IA. Em toda a UE vale também o art. 37 RGPD. Fonte: § 38 Lei federal alemã de proteção de dados (em alemão), Conferência alemã de proteção de dados: orientação sobre IA e proteção de dados (PDF, em alemão), Regulamento Geral sobre a Proteção de Dados (EUR-Lex)

Todas as fontes originais

Não é aconselhamento jurídico

Informação geral, não é aconselhamento jurídico. Se um uso específico é permitido depende da finalidade e dos dados; em caso de dúvida, consulte um profissional. Encontrou um erro? Avise-nos pelo formulário de contato.

Termos em uma frase

Dados pessoais

Qualquer informação que permite identificar uma pessoa, mesmo sem nome, por exemplo um endereço, um número de cliente ou o contexto.

Contrato de tratamento de dados

Um contrato em que o fornecedor se compromete a tratar os dados só conforme as suas instruções.

Treinamento

O fornecedor usa entradas e respostas para melhorar seus modelos de IA.

País terceiro

Um país fora da UE e do Espaço Econômico Europeu.

Data Privacy Framework (DPF)

Uma decisão da Comissão Europeia pela qual dados podem ir para empresas americanas inscritas; contra ela há um recurso pendente no Tribunal de Justiça da UE (C-703/25 P).

Cláusulas contratuais-padrão

Textos contratuais definidos pela Comissão Europeia com os quais as empresas protegem transferências de dados para países terceiros.

Sistema fechado

Uma IA em que os dados ficam em um ambiente separado e não são usados pelo fornecedor para treinar.

Literacia em IA

O conhecimento de que alguém precisa para usar ferramentas de IA com bom senso e atenção aos riscos.

Deepfake

Uma imagem, vídeo ou áudio de IA com aparência real que se parece com pessoas, lugares ou fatos reais.

Avaliação de impacto (AIPD)

Uma análise de riscos por escrito antes de começar, quando um tratamento provavelmente traz alto risco para as pessoas.

Incidente de dados

Dados sobre pessoas se perdem, são alterados ou chegam a quem não tem autorização.