Dados em serviços de IA na nuvem: o que verificar antes de os utilizar

Enviar uma pergunta a um assistente, utilizar uma API de modelos ou ativar uma funcionalidade de IA noutra plataforma pode implicar tratamentos de dados diferentes. Por isso, uma afirmação geral como «o fornecedor não utiliza os meus dados» não basta para decidir se é seguro carregar um documento, código ou informações de clientes. A resposta depende do serviço específico, do tipo de conta e das condições aplicáveis a essa funcionalidade.

A documentação deve ser lida como um conjunto de regras, não como uma promessa resumida numa página comercial. Convém identificar que dados são tratados, com que finalidade, durante quanto tempo são conservados e que opções estão disponíveis para a conta em questão. A regra prática é verificar cada produto e configuração separadamente, em vez de extrapolar a política de um serviço para outro.

A retenção diz respeito ao tempo durante o qual as informações podem ser conservadas e às operações para que são utilizadas. Pode haver diferenças entre o conteúdo enviado, o histórico visível para o utilizador, os registos de segurança e os dados associados a um pedido. O facto de uma conversa deixar de aparecer numa interface não demonstra, por si só, que todas as cópias ou registos foram eliminados; essa conclusão exige documentação específica do serviço.

A utilização de dados para melhorar ou treinar modelos é outra questão. A OpenAI indica que os controlos do ChatGPT permitem escolher se as conversas contribuem para o treino e que a disponibilidade das opções depende, entre outros fatores, do plano e das definições do espaço de trabalho. A mesma documentação explica que desativar «Improve the model for everyone» impede que novas conversas sejam utilizadas para treinar modelos, mas estas podem continuar a aparecer no histórico. Desativar o treino não equivale a apagar o histórico nem a definir um prazo de retenção.

Também é necessário distinguir o treino da revisão de conteúdos para fins de segurança ou prevenção de abusos. São finalidades diferentes e podem estar sujeitas a regras diferentes. A documentação geral sobre dados empresariais não substitui as instruções específicas de uma API, funcionalidade ou plano. Antes de confiar numa exclusão, verifique se se aplica à ferramenta que vai utilizar, que condições exige e se tem de ser solicitada ou ativada expressamente.

Os controlos podem variar consoante o produto, o tipo de conta, a região ou a configuração administrada. No caso do ChatGPT, a OpenAI indica que as opções disponíveis dependem de o utilizador ter iniciado sessão, do plano e das definições do espaço de trabalho. Não aplique automaticamente esta ressalva a outros fornecedores: serve de exemplo de por que razão o nome de uma opção não basta; é preciso verificar o seu âmbito e as exceções na documentação atualizada do serviço específico.

Antes de utilizar um serviço de IA com informações próprias, localize a política de dados e as instruções específicas do produto. Procure respostas concretas às seguintes perguntas:

• O que é enviado: entradas, anexos, resultados, metadados e dados de utilização.
• Para que é tratado: prestação do serviço, segurança, apoio ou melhoria dos modelos.
• Durante quanto tempo é conservado: prazos por tipo de dado e possíveis exceções, como registos de segurança.
• Quem pode aceder: pessoal do fornecedor, administradores do espaço de trabalho ou subcontratantes, conforme aplicável.
• O que o cliente pode controlar: exclusão do treino, eliminação, exportação, retenção configurável e permissões.
• A que conta se aplica: pessoal, empresarial, API ou outra modalidade, e se os termos contratuais alteram a regra geral.

Se a página não esclarecer uma resposta importante, não preencha a lacuna com uma inferência baseada noutro serviço. Consulte a documentação contratual, as definições de administração ou o canal de apoio do fornecedor. Nas organizações, a verificação também deve abranger quem tem autoridade para ativar controlos e como os dados são geridos de acordo com as obrigações internas e legais aplicáveis.

O Comité Europeu para a Proteção de Dados reúne informações e trabalho de políticas sobre inteligência artificial e proteção de dados pessoais. Este enquadramento é relevante para avaliar responsabilidades e riscos, mas não determina, por si só, durante quanto tempo um serviço específico conserva um pedido nem que definição está ativa numa conta. Para responder a essas perguntas, são necessárias as condições e orientações específicas do fornecedor, bem como a configuração efetiva.

A documentação da AEPD sobre inovação e tecnologia pode servir como ponto de partida institucional para localizar recursos relacionados com tecnologias emergentes. Ainda assim, uma página temática não substitui uma avaliação jurídica do caso nem confirma que uma ferramenta concreta cumpre todos os requisitos aplicáveis. As orientações regulatórias contextualizam; a documentação do serviço e a configuração determinam as condições que o fornecedor declara para essa utilização.

As fontes disponíveis permitem sustentar uma conclusão limitada: nos serviços de IA, o treino, a retenção e os controlos da conta têm de ser verificados separadamente. A ajuda oficial do ChatGPT ilustra que uma preferência de treino pode afetar novas conversas sem necessariamente remover o histórico e que as opções dependem do plano e do espaço de trabalho. Isto mostra por que razão uma opção de privacidade não deve ser interpretada como uma garantia universal.

Não existe aqui uma comparação completa e atualizada de fornecedores, nem provas suficientes para estabelecer prazos de retenção de serviços concretos ou afirmar que uma determinada opção elimina a revisão humana. Também não é apresentada qualquer alteração recente que justifique uma notícia de última hora. A conclusão útil é metodológica: não envie informações sensíveis antes de identificar a política aplicável ao seu serviço, conta e configuração, e registe qualquer questão que a documentação deixe por resolver.