RGPD e Regulamento de IA: obrigações das empresas

Numa startup em Lisboa, é comum que a equipa de produto integre um modelo de linguagem num fluxo de qualificação de leads ou de triagem de candidaturas numa tarde, sem parar para perguntar que base legal justifica o tratamento dos dados pessoais envolvidos. Depois, numa ronda de investimento ou num artigo do setor, surge a pergunta sobre o Regulamento de IA — e a resposta honesta é que a maioria destas equipas já lida com dois regimes em simultâneo: o RGPD, aplicado há anos sem grandes sobressaltos, e o Regulamento de IA, ainda a assentar. Este artigo foca-se na fronteira entre os dois: onde se sobrepõem, onde exigem avaliações diferentes para o mesmo sistema, e onde um deles fica em silêncio.

Duas perguntas diferentes para o mesmo sistema

O artigo 22.º do RGPD só se aplica quando uma decisão é tomada de forma exclusivamente automatizada e produz efeitos jurídicos ou similarmente significativos para uma pessoa — por exemplo, a recusa automática de um empréstimo sem qualquer intervenção humana. A classificação como sistema de risco elevado ao abrigo do Anexo III do Regulamento de IA segue uma lógica diferente: depende do domínio de utilização, entre os quais seleção de pessoal, avaliação de trabalhadores ou avaliação de crédito, e aplica-se independentemente de existir uma pessoa a validar a decisão final. Uma fintech de Lisboa em que um analista confirma sempre a proposta de score antes de decidir pode assim escapar ao artigo 22.º do RGPD, mas continuar plenamente sujeita às obrigações de risco elevado do Regulamento de IA. As duas perguntas têm de ser respondidas em separado; responder só a uma dá, na melhor das hipóteses, meia resposta.

Duas avaliações de impacto para o mesmo projeto

A Avaliação de Impacto sobre a Proteção de Dados (AIPD, artigo 35.º do RGPD) é obrigatória sempre que um tratamento de dados pessoais seja suscetível de resultar num elevado risco para os direitos e liberdades das pessoas. A avaliação de impacto sobre direitos fundamentais (FRIA, artigo 27.º do Regulamento de IA) atinge um grupo mais restrito — entre eles organismos públicos e certos fornecedores privados de serviços essenciais, como bancos e seguradoras — quando utilizam um sistema de risco elevado. Os dois instrumentos protegem coisas distintas: a AIPD avalia riscos do tratamento concreto de dados, a FRIA avalia o impacto sobre direitos fundamentais no contexto de utilização, incluindo riscos de discriminação ou de acesso a prestações essenciais.

O próprio artigo 27.º, n.º 4, do Regulamento de IA prevê que uma AIPD já realizada complementa a FRIA, em vez de a substituir por inteiro. O legislador conta, portanto, com reaproveitamento, não com dois documentos independentes. Para uma equipa de compliance com poucos recursos — o cenário típico de uma scale-up portuguesa — isto significa desenhar a avaliação de risco como um exercício único desde o início, complementado depois com as questões de direitos fundamentais que uma AIPD isolada não cobre.

Minimização de dados contra o apetite de dados dos modelos

O princípio da minimização de dados do RGPD (artigo 5.º, n.º 1, alínea c)) exige não tratar mais dados pessoais do que os necessários para a finalidade. O treino e afinação de modelos de IA funcionam, tipicamente, no sentido oposto: mais dados, e mais variados, tendem a melhorar a precisão e a reduzir enviesamentos. Não se trata de um mal-entendido resolúvel com melhor documentação, mas de uma tensão real entre dois objetivos legítimos.

O mesmo parecer confirma que o interesse legítimo pode servir de fundamento jurídico para o desenvolvimento e a operação de modelos de IA, avaliado através de um teste em três etapas: finalidade, necessidade e ponderação face aos interesses e expectativas razoáveis dos titulares dos dados. Necessidade para a qualidade do modelo e necessidade enquanto fundamento jurídico são, ainda assim, duas perguntas distintas que merecem ser documentadas em separado.

Quem fiscaliza o quê em Portugal

A Comissão Nacional de Proteção de Dados (CNPD) é, desde 2018, a autoridade portuguesa de referência para o RGPD, e continua competente sobre qualquer sistema de IA que trate dados pessoais — a maioria dos casos com que uma startup se depara na prática. Já a designação formal das autoridades de fiscalização do mercado exigidas pelo Regulamento de IA ainda estava, à data em que este artigo foi escrito, por concluir em Portugal, tal como noutros Estados-Membros — um ponto já detalhado no nosso guia geral sobre o Regulamento de IA para PME portuguesas. Na prática, a via mais segura de escrutínio para uma equipa de produto continua a passar pela base legal RGPD do tratamento, mesmo quando a discussão de fundo é sobre "conformidade com o AI Act".

Transferências internacionais: uma pergunta a que o Regulamento de IA não responde

Grande parte das ferramentas de IA usadas por startups portuguesas vem de fornecedores fora da UE, sobretudo dos EUA. Se os dados pessoais podem ser transferidos para esses fornecedores é uma questão que só o RGPD regula, através de uma decisão de adequação ao abrigo do artigo 45.º ou de cláusulas contratuais-tipo. A decisão de adequação relativa ao EU-US Data Privacy Framework, de julho de 2023, continua em vigor, mas foi impugnada junto do Tribunal Geral da União Europeia, que negou provimento ao recurso em primeira instância em setembro de 2025; um recurso está agora pendente no Tribunal de Justiça da UE.

O Regulamento de IA não contém regras próprias sobre esta questão. Um sistema de IA pode cumprir integralmente as suas obrigações de transparência e documentação enquanto a base de transferência RGPD para o mesmo tratamento permanece em aberto ou contestável. Uma due diligence a um fornecedor que só verifica a documentação AI Act está a responder só a metade da pergunta.

Na prática: o que verificar antes de integrar uma ferramenta de IA

• Para cada caso de uso de IA, responda separadamente às duas perguntas: existe uma decisão automatizada na aceção do artigo 22.º do RGPD, e o domínio de utilização está listado no Anexo III do Regulamento de IA? As duas respostas podem divergir.
• Desenhe a avaliação de risco como um processo único que integre a AIPD e, quando aplicável, a FRIA, em vez de produzir dois documentos separados no fim.
• Documente a base legal dos dados de treino e de afinação antes de decidir quanta informação recolher.
• Ao avaliar um fornecedor fora da UE, verifique em conjunto a documentação AI Act e a base de transferência internacional de dados pessoais.
• Não confunda prazos mais longos do lado do Regulamento de IA com um alívio das obrigações RGPD que já se aplicam ao mesmo sistema hoje.

Informação geral, não uma consulta jurídica

Tudo o que precede é informação geral para orientação, não uma consulta jurídica sobre a situação específica da sua empresa. A relação entre RGPD e Regulamento de IA depende dos detalhes de cada sistema e dos intervenientes envolvidos, algo que um artigo de enquadramento não consegue cobrir por inteiro. Quando a Komplya publica este tipo de conteúdo, distinguimos claramente o que já foi revisto juridicamente do que continua a ser um documento de trabalho.

A forma mais rápida de passar desta visão geral para uma resposta concreta sobre a sua empresa é percorrer, caso a caso, os usos reais de IA e os dados pessoais que tratam. Responda a um breve questionário sobre a sua utilização de IA e receba uma leitura em linguagem simples da sua situação provável.