Privacidade, IA e as regras que valem

Uma empresa suíça que usa IA está sujeita à sua própria lei de proteção de dados desde o primeiro prompt que contém um nome. Se ela atende pessoas na UE, o RGPD e o AI Act da UE também entram em cena. Neste ano, várias dessas regras mudaram.

O risco maior muitas vezes está no hábito, não na lei. O estudo de 2025 da IBM sobre vazamentos de dados constatou que uma em cada cinco organizações sofreu um vazamento ligado à shadow AI, as ferramentas que os funcionários usam sem aprovação, e que um nível alto desse uso acrescentou em média 670'000 dólares ao custo de um vazamento. Das organizações que sofreram uma violação de um modelo ou aplicativo de IA, 97 por cento não tinham controles de acesso adequados para a IA.

Veja em que pé estão as regras em outubro de 2026 e o que faz uma empresa cuidadosa. É um panorama, não uma orientação jurídica.

Suíça: a lei já se aplica

A Suíça ainda não tem uma lei de IA, mas a IA não está sem regulação. A Lei Federal suíça de Proteção de Dados (LPD) revisada se aplica desde 1º de setembro de 2023, e o Encarregado Federal de Proteção de Dados e Informação, o FDPIC, afirma desde novembro de 2023, e voltou a afirmar em maio de 2025, que ela se aplica diretamente ao tratamento de dados pessoais com apoio de IA.

O FDPIC espera transparência sobre a finalidade, o funcionamento e as fontes de dados do tratamento por IA. As pessoas têm o direito de saber se estão lidando com uma máquina e se o que inserem é usado para aprimorar o sistema. Um tratamento de alto risco exige uma avaliação de impacto sobre a proteção de dados, e um rosto, uma imagem ou uma voz manipulados de uma pessoa identificável devem sempre ser claramente sinalizados. O encarregado cita como proibidos o reconhecimento facial abrangente em tempo real e a pontuação social.

Ele aplica isso também às grandes plataformas. Em março de 2025, encerrou uma investigação preliminar sobre o uso de posts no X para treinar o Grok e lembrou que os usuários podem se opor.

Um marco próprio está a caminho. O Departamento Federal de Justiça e Polícia está redigindo um projeto de lei, a ser submetido a consulta até o fim de 2026, para implementar a convenção do Conselho da Europa sobre IA, com foco em transparência, proteção de dados, não discriminação e supervisão.

O AI Act da UE, depois do omnibus

O AI Act da UE entrou em vigor em 1º de agosto de 2024 e se aplica em etapas. As práticas proibidas e o dever de letramento em IA valem desde 2 de fevereiro de 2025, e as obrigações para modelos de uso geral, desde 2 de agosto de 2025. A maior parte da lei se aplica a partir de 2 de agosto de 2026, incluindo as regras de transparência: as pessoas devem ser informadas quando conversam com um chatbot, e deepfakes devem ser identificados.

O omnibus digital sobre IA, o Regulamento (UE) 2026/1744, entrou em vigor em 27 de julho de 2026. Ele adia as regras para sistemas de alto risco: os usados em áreas como biometria, educação e emprego passam a ter obrigações a partir de 2 de dezembro de 2027, e os incorporados a produtos regulamentados, como elevadores ou brinquedos, a partir de 2 de agosto de 2028. Ele também proíbe, a partir de dezembro de 2026, a IA que gera imagens sexuais de pessoas sem consentimento ou material de abuso sexual infantil, e estende uma documentação simplificada às pequenas empresas de média capitalização.

Para a maioria das empresas que usam IA em vez de construí-la, o adiamento muda pouco. Os deveres de transparência e de letramento já valem. O tempo extra é para sistemas que tomam decisões sobre pessoas, como quem é contratado.

O RGPD, e uma reforma que não virou lei

O RGPD em si não mudou. Em dezembro de 2024, o Comitê Europeu para a Proteção de Dados expôs como o interpreta para modelos de IA. Um modelo treinado com dados pessoais só conta como anônimo se identificar pessoas a partir dele, diretamente ou por meio de perguntas feitas ao modelo, for muito improvável, avaliado caso a caso. O interesse legítimo só funciona como base legal quando o tratamento é estritamente necessário e o equilíbrio de direitos se mantém. E um modelo construído com dados tratados ilegalmente pode afetar a licitude do seu uso posterior, a menos que tenha sido devidamente anonimizado.

Um omnibus separado flexibilizaria partes do RGPD e do Data Act. Em 7 de outubro de 2026, os embaixadores dos Estados-membros adiaram a votação da posição do Conselho depois que a Alemanha e a França pediram mais tempo, e na reunião de 11 de outubro o texto não foi discutido nem votado. Berlim quer uma categoria de controladores de baixo risco que liberaria pequenas empresas e organizações sem fins lucrativos de muitas obrigações. Nada disso vale ainda, e nós planejamos com o RGPD tal como está escrito hoje.

Contratos e transferências

A maior parte da IA no trabalho passa por um fornecedor que trata dados pessoais em nome da empresa, e é no contrato que ficam as regras da empresa. Ele deve dizer o que o fornecedor pode fazer com prompts e arquivos, por quanto tempo guarda esses dados e os próprios logs, quais suboperadores usa e onde, e o que acontece com os dados no fim. Se um fornecedor diz que não treina com os seus dados, encontre essa frase no contrato que você assinou.

Dados que saem da Suíça para os Estados Unidos precisam de uma base legal. Desde 15 de setembro de 2024, o Swiss-US Data Privacy Framework permite transferências para empresas americanas certificadas sem outras garantias, então verifique a certificação de cada fornecedor e de cada suboperador. O equivalente da UE sobreviveu à primeira contestação no Tribunal Geral da UE em 3 de setembro de 2025. O recurso, apresentado em 31 de outubro de 2025, até onde sabemos ainda não foi decidido. Saiba quais das suas ferramentas dependem de uma transferência para os EUA e o que você faria no lugar delas.

O que uma empresa cuidadosa faz agora

Nada disso exige um grande programa. Exige uma lista, algumas decisões e alguém que responda por elas.

Faça a lista: cada ferramenta de IA em uso, os dados que entram nela, o fornecedor, o país e o contrato. Pergunte às equipes o que elas de fato usam, não o que foi aprovado.

Classifique os dados em públicos, internos e confidenciais e diga, em uma única página, qual classe pode entrar em qual ferramenta.

Ofereça algo bom. A shadow AI cresce onde a ferramenta aprovada é pior do que a gratuita. Um assistente aprovado que funciona elimina a maior parte do motivo para colar dados de clientes em uma conta pessoal.

Controle o acesso. As ferramentas de IA recebem os mesmos papéis, o mesmo login e o mesmo processo de desligamento que qualquer outro sistema. Um assistente que pode ler tudo um dia vai mostrar isso para a pessoa errada.

Informe as pessoas e avalie os casos de risco. Diga no site quando um cliente está falando com uma máquina e faça a avaliação de impacto antes que a IA toque em dados sensíveis ou tome decisões sobre pessoas.

Dê a isso um responsável. No estudo de 2026 da Cisco, três em cada quatro organizações tinham um órgão de governança de IA, e só 12 por cento consideravam o seu maduro. E mantenha uma pessoa no botão de enviar: o que pode ser feito com os dados de alguém é uma questão de julgamento, e o julgamento fica com as pessoas.

Como construímos para isso

Os nossos produtos seguem as mesmas regras. O Kontor escreve propostas e faturas no bexio e não armazena nada: os dados ficam no bexio, e o envio, os pagamentos e as cobranças ficam com uma pessoa.

O Twin dá a cada função apenas a parte do cérebro da empresa de que ela precisa, e cada registro é feito com o login do próprio usuário. Ele roda na Suíça ou na UE, ou no hardware do próprio cliente, e os dados nunca treinam um modelo público.

Quando os dados não podem sair da empresa de forma alguma, o Eigna, desenvolvido pelo nosso parceiro Eigna Labs, roda como um modelo privado na nuvem da própria empresa ou nos seus próprios servidores, projetado para o RGPD e o AI Act da UE.

As regras vão continuar mudando. Uma empresa que sabe para onde vão os seus dados consegue acompanhá-las.