Chatbot compatível com GDPR: guia passo a passo (2026)

Um chatbot compatível com o GDPR exige uma implantação lícita, não apenas um modelo ou local de hospedagem específico. Defina a finalidade e a base legal de cada uso de dados pessoais, mapeie os destinos desses dados, estabeleça funções e contratos, forneça informações e processos para direitos individuais e implemente segurança adequada aos riscos. A declaração de conformidade de um fornecedor não comprova que todos os usos de seus clientes atendem aos requisitos.

Você não precisa automaticamente de consentimento para toda conversa de suporte, hospedagem exclusiva na UE ou um modelo separado para visitantes europeus. Precisa de evidências de que as escolhas do seu fluxo específico cumprem as regras aplicáveis. A avaliação inclui o fornecedor do modelo, CRM, análises, integrações de canais e logs operacionais.

Este guia foi conferido com fontes oficiais em 4 de novembro de 2026. Ele oferece uma estrutura de avaliação e exemplos de implementação; não certifica uma implantação nem substitui orientação sobre suas circunstâncias jurídicas específicas.

Verificações opcionais de exemplos

• Visualizar chaves de metadados. Confira como os nomes fornecidos se tornam chaves de variáveis, incluindo duplicidades e erros de chaves reservadas. A ferramenta não examina valores nem permissões específicas da conta.
• Validar um conjunto de teste. Verifique o formato compatível de um pequeno conjunto de dados fornecido sem executar seu AI Agent.

Essas verificações não avaliam conformidade jurídica.

Lista de 10 etapas para privacidade e segurança antes do lançamento

Atribua cada item a uma pessoa e mantenha evidências da decisão ou do teste:

1. Defina o fluxo. Separe informação pública, suporte de contas, transações, marketing e melhoria do modelo.
2. Mapeie dados pessoais. Inclua prompts, respostas, metadados, arquivos, registros recuperados, logs e sistemas conectados.
3. Escolha bases legais. Avalie cada finalidade antes do tratamento; implemente consentimento válido quando necessário.
4. Identifique funções e contratos. Estabeleça quem determina finalidades e quem trata dados por instrução. Revise condições de operação e transferências aplicáveis.
5. Minimize a coleta. Remova campos desnecessários e não envie registros completos quando um resultado limitado basta.
6. Defina retenção e direitos. Inclua verificação de identidade, acesso, correção, exclusão, portabilidade quando aplicável e acompanhamento nos sistemas seguintes.
7. Avalie riscos. Determine se uma avaliação de impacto sobre a proteção de dados (DPIA) é necessária e conclua-a antes do tratamento correspondente.
8. Proteja acessos e integrações. Aplique criptografia, autenticação, permissões, monitoramento e procedimentos de incidentes adequados.
9. Informe os usuários. Publique informações corretas, forneça avisos de IA obrigatórios e avalie o armazenamento do widget separadamente.
10. Teste e atribua responsabilidade contínua. Exercite falhas, treine a equipe e revise mudanças de finalidade, fornecedor ou recurso.

Princípios do GDPR e seus efeitos no projeto do chatbot

O GDPR se aplica ao tratamento pertinente no contexto de um estabelecimento no EEE. Também pode abranger organizações externas que oferecem bens ou serviços a pessoas no EEE ou monitoram seu comportamento ali. O critério envolve tratamento e vínculo territorial, não apenas cidadania. O EDPB explica o alcance territorial e os princípios básicos.

Nomes, contatos, identificadores online e conteúdo de conversa associado a pessoas podem ser dados pessoais. Mesmo uma interface pública de perguntas frequentes pode coletar identificadores ou texto livre com informações pessoais.

Para determinadas infrações do nível superior, a multa máxima pode chegar a €20 milhões ou, para uma empresa, 4% do faturamento anual mundial do exercício anterior, prevalecendo o maior valor. A aplicação concreta depende das circunstâncias; veja a explicação do EDPB sobre poderes de supervisão.

Termos usados neste guia

• Controlador: organização responsável por determinar as finalidades e os meios essenciais do tratamento.
• Operador: entidade separada que trata dados pessoais em nome do controlador. A função depende da atividade real, não apenas do nome no contrato.
• Pseudonimização: redução da associação direta, por exemplo substituindo um nome por um identificador. Não torna os dados automaticamente anônimos.
• DPIA: avaliação exigida quando um tratamento provavelmente representa alto risco para direitos e liberdades. Escala, dados sensíveis, pessoas vulneráveis e decisões automatizadas significativas são fatores relevantes. Usar IA não resolve a questão sozinho. Consulte as orientações do EDPB sobre DPIA e listas das autoridades competentes.

Transformar requisitos do GDPR em processos operacionais

Comece pela jornada real da mensagem de um visitante até a exclusão definitiva. Os projetos a seguir são padrões ilustrativos, não uma lista de recursos integrados ao Quickchat AI.

Minimização de dados desde o projeto

Defina um esquema required_fields para cada tarefa. Uma consulta de agendamento talvez precise de horário preferido e contato; perguntar sobre horário de funcionamento público não deveria exigir um perfil de cliente.

O guia de captura de leads com um chatbot para sites apresenta uma configuração concreta para avaliar: responder primeiro às perguntas gerais e depois coletar dados de contato para um acompanhamento solicitado. Revise os campos e os destinatários de acordo com suas próprias finalidades antes de usá-la com clientes.

Examine além do formulário visível. Uma busca no CRM pode recuperar todo o cadastro quando só é necessário o status de um pedido. Limite campos retornados e dados enviados ao modelo. Mantenha credenciais e informações sem relação com a tarefa fora dos prompts.

Mascarar uma entrada protege de olhares próximos. Não demonstra que seu valor nunca foi coletado, registrado ou transmitido. A ocultação pode reduzir divulgações acidentais, mas teste suas falhas, inclusive identificadores em frases comuns.

Consentimento e outras bases legais

As orientações da Comissão Europeia sobre bases legais apresentam várias possibilidades. Necessidade contratual, interesses legítimos após avaliação adequada e consentimento possuem condições diferentes. Escolha a base antes de tratar os dados, em vez de acrescentar uma caixa de consentimento a toda tarefa.

Quando depender de consentimento, especifique a finalidade e garanta escolha livre, informada e inequívoca. Retirá-lo deve ser tão simples quanto fornecê-lo. Separe marketing opcional do suporte necessário. Confirmar que alguém leu um aviso não constitui, por si só, consentimento para todos os usos descritos.

A confirmação dupla pode ajudar a produzir evidência em alguns contextos. Não é uma exigência universal do GDPR. As diretrizes de consentimento do EDPB distinguem consentimento comum e explícito e descrevem verificação em duas etapas como uma possibilidade.

Se essa for sua base, registre finalidade, versão do aviso, ação afirmativa, horário e identificador pertinente. Proteja a evidência e aplique retenção justificada. Categorias especiais, como dados de saúde, precisam de uma condição aplicável do Artigo 9 além da base do Artigo 6.

Solicitações de acesso, exclusão e portabilidade

Forneça um canal acessível e uma pessoa ou equipe responsável pela conclusão. Um comando personalizado /my_data ou /delete_my_data poderia abrir uma solicitação, mas nenhum é um recurso integrado verificado do Quickchat AI. Uma confirmação no chat não comprova atendimento do direito.

Um processo viável verifica a identidade proporcionalmente, localiza registros, avalia o direito e exceções, coordena operadores, realiza a ação e registra a resposta. Entregue exportações por uma via autenticada e impeça visitantes de solicitar dados de outra pessoa.

O controlador deve agir sem demora injustificada e normalmente dentro de um mês civil. Uma extensão permitida de até dois meses adicionais exige informar a pessoa, com os motivos, no primeiro mês. A exclusão tem fundamentos e exceções, incluindo certas obrigações legais de retenção. Acesso e portabilidade também diferem: o Artigo 20 se aplica, sob condições, a dados fornecidos pelo indivíduo e tratados automaticamente por consentimento ou contrato. Veja o guia de direitos do EDPB.

As formas de exclusão do Quickchat AI têm efeitos diferentes. Excluir um AI Agent torna suas conversas inacessíveis, mas não as apaga. Excluir uma conta apaga em segundo plano as conversas dos Agents atuais; a documentação lista exclusões como conversas de Agents excluídos anteriormente, anexos, exportações, índices de busca e registros externos. Consulte o suporte sobre o processo adequado. Desconectar um canal Meta interrompe o tratamento autorizado futuro, mas não apaga automaticamente o histórico.

Para o fluxo de suporte mais amplo, nosso guia de configuração de um assistente de atendimento é separado deste procedimento de direitos.

Limitação de conservação e agendamento de retenção

Não existe um prazo universal de 30 ou 90 dias no GDPR para conversas. Defina a retenção por finalidade e categoria, incluindo obrigações legais. Distinga conversas ativas, exportações, provas de consentimento, logs de segurança e backups.

Este pseudocódigo conceitual ilustra agendamento e verificação, não uma implementação completa de exclusão nem uma configuração existente do produto:

function scheduleRetention(record, policy) {
  return {
    recordId: record.id,
    purpose: record.purpose,
    reviewOrDeleteAt: policy.dateFor(record),
  };
}

function processDueRecord(item) {
  if (requiresRetentionReview(item)) {
    return queueManualReview(item);
  }
  queueErasureAcrossRecordedSystems(item);
  recordVerificationPending(item.recordId);
}

Documente o responsável pela política, critérios, exceções permitidas, método e evidência de conclusão. Monitore falhas em vez de supor que uma tarefa agendada atingiu todos os sistemas.

Backups exigem tratamento explícito. O relatório de exclusão do EDPB de fevereiro de 2026 aponta dificuldades práticas e a necessidade de considerar exclusões ao restaurar sistemas. Ele não estabelece que remover imediatamente os dados de todos os backups ou aguardar qualquer expiração normal sempre atenda às exigências legais. Descreva restrições, prazo e restauração reais sem prometer exclusão universal em um mês.

Artigo 22 e revisão humana efetiva

O Artigo 22 trata de decisões exclusivamente automatizadas com efeitos jurídicos ou de importância semelhante. Uma resposta comum de FAQ não é automaticamente essa decisão. Elegibilidade de crédito, admissões ou acesso a serviços essenciais exigem análise maior.

Identifique esses pontos antes de construir o fluxo. Quando a regra se aplicar, examine a exceção e as salvaguardas pertinentes. Para necessidade contratual ou consentimento explícito, as salvaguardas incluem intervenção humana, expressão do ponto de vista e contestação da decisão. Categorias especiais têm restrições adicionais.

Quem revisa precisa ter informação e autoridade para reconsiderar o resultado. Adicionar um botão de transferência quando o resultado permanece praticamente fixo não basta. Registre critérios reais, entradas e conclusão da revisão proporcionalmente; uma explicação gerada pelo modelo não comprova como a decisão importante foi tomada.

Medidas de segurança adequadas aos riscos do chatbot

O Artigo 32 exige medidas técnicas e organizacionais apropriadas. Ele não determina um algoritmo de criptografia ou produto de autenticação universal. Use as orientações de segurança do EDPB para relacionar salvaguardas ao dano possível, contexto e tecnologia disponível.

Criptografia em trânsito e em repouso

Proteja conexões e registros armazenados com criptografia e gestão de chaves adequadas. Confira individualmente a ligação visitante-widget, integrações, acesso administrativo, bancos, exportações e backups.

TLS protege uma conexão de transporte; a criptografia em repouso protege dados armazenados. Essas medidas não constituem, por si só, criptografia ponta a ponta que impeça intermediários de ler o conteúdo. Um serviço que processa mensagens pode precisar descriptografá-las. Não apresente TLS 1.3 ou AES-256 como especificações obrigatórias do GDPR ou provas de conformidade.

Autenticação, funções de acesso e integração de identidade

Use autenticação forte, incluindo MFA quando apropriado, para acesso administrativo. Prefira uma sessão de cliente já autenticada para solicitações de conta em vez de pedir um identificador em chat público.

Examine autorização separadamente: um login válido não pode expor registros de outro cliente. Conceda acesso conforme as tarefas e remova-o quando deixar de ser necessário. O Quickchat AI documenta suas funções de equipe; verifique se atendem aos seus requisitos.

Avalie SSO empresarial quando relevante, mas não deduza suporte a SAML de um login comum pelo Google. Identificação biométrica pode criar obrigações adicionais e não é uma opção universalmente mais segura.

Segurança de API e permissões limitadas de integração

Use credenciais com escopo limitado e aplique autorização no aplicativo conectado. Instruir o modelo a acessar apenas os dados de certo cliente não cria uma barreira de controle de acesso.

Aplique limites adequados de requisições, valide parâmetros e saídas estruturados e confira o que cada Action ou integração pode ler e alterar. Teste acesso entre clientes e credenciais revogadas. Registre os terceiros que recebem dados pessoais, incluindo serviços de erros e análise.

Monitoramento, logs e resposta a incidentes

Registre o necessário para investigar acessos e falhas sem copiar automaticamente todas as conversas para todo sistema de monitoramento. Defina separadamente acesso, retenção e ocultação dos logs operacionais.

O procedimento de incidente deve abranger contenção, investigação, recuperação, documentação e decisões de notificação. Pelo GDPR, o controlador comunica uma violação notificável à autoridade competente sem demora injustificada e, quando possível, em 72 horas após tomar conhecimento, salvo se for improvável haver risco para direitos e liberdades. Um risco provavelmente alto pode exigir informar as pessoas sem demora injustificada, sujeito às exceções do Artigo 34. O operador informa seu controlador sem demora injustificada.

São deveres e limites diferentes; as orientações da DPC irlandesa sobre violações explicam a distinção. As alterações propostas pelo Digital Omnibus do GDPR não justificam usar outro prazo agora.

Lista de avaliação de segurança

Gerenciar riscos específicos de IA

A avaliação deve cobrir as informações recebidas pelo modelo e as ações que suas saídas podem disparar. Os controles gerais de segurança de software continuam necessários.

Injeção de prompt e testes adversariais

A injeção de prompt pode vir de uma mensagem de visitante ou conteúdo recuperado tentando redirecionar o modelo. Um documento pode instruí-lo a revelar registros privados ou executar uma Action sem relação com a tarefa.

Separe instruções confiáveis de conteúdo não confiável, limite permissões, valide argumentos e teste acessos não autorizados. Filtros e instruções ajudam, mas não garantem prevenção. As orientações OWASP sobre injeção de prompt deixam claro que RAG e fine-tuning não mitigam totalmente a vulnerabilidade.

Use dados sintéticos ou preparados adequadamente. Registre se o sistema recusou, revelou informações, chamou uma ferramenta ou escalou; uma frase final tranquilizadora não comprova comportamento seguro.

Alucinações e validação de respostas

Um modelo pode gerar uma resposta plausível sem apoio nas evidências disponíveis. A recuperação de uma Knowledge Base mantida pode fundamentar respostas, mas não garante exatidão nem aplica permissões por si só.

Teste políticas antigas, fontes contraditórias, registros ausentes e pedidos fora do escopo. Ofereça uma forma de apontar erros e encaminhar casos pendentes a uma pessoa. Compare respostas sobre contas com registros autorizados, em vez de confiar na segurança do modelo. Nossa explicação de alucinações de IA aborda esse comportamento.

Vazamento, treinamento e ocultação de dados

Treinamento, inferência, estado da aplicação e logs são atividades distintas. Não suponha que cada mensagem treina o modelo nem que não treinar significa não transmitir ou reter dados.

A FAQ jurídica do Quickchat AI informa que materiais de clientes não treinam LLMs e que a limpeza de informações pessoais está disponível mediante solicitação. Não promete limpar cada mensagem ou detectar todos os dados pessoais. Confirme configuração e condições dos fornecedores.

A ocultação de entrada deve ocorrer antes do tratamento que pretende impedir; a de saída ocorre após a geração. Remover um nome pode deixar contexto identificável. O EDPB distingue pseudonimização de anonimização, e seu parecer sobre modelos de IA exige avaliar o anonimato caso a caso.

Evidências para explicações e trilhas de auditoria

Guarde evidências proporcionais de fontes recuperadas, ações, configurações pertinentes e revisão humana. Uma explicação gerada, pontuação interna de confiança ou técnica explicativa não comprova automaticamente conformidade jurídica.

Na Inbox do Quickchat AI, Why AI said that pode mostrar fontes e evidências de execução. Isso ajuda a investigar uma resposta, mas não fornece uma explicação causal completa do modelo nem substitui a avaliação dos deveres de explicação em decisões significativas.

Tratamento internacional e locais dos servidores

Mapeie armazenamento, processamento do modelo, acesso do suporte, integrações e transferências posteriores. A região de um banco responde apenas a parte da questão.

Hospedagem no EEE e tratamento fora do EEE

O GDPR não exige universalmente hospedagem exclusiva na UE. Transferências para fora do EEE precisam de um mecanismo aplicável do Capítulo V e dos demais requisitos. O guia de transferências do EDPB explica adequação, garantias apropriadas e exceções limitadas.

A FAQ jurídica do Quickchat AI descreve armazenamento GCP na Bélgica. Sua Política de Privacidade trata separadamente de transferências aos EUA e salvaguardas contratuais. Armazenar na Bélgica não comprova tratamento exclusivo na UE. A FAQ também descreve opções Enterprise, incluindo nuvem privada, LLMs auto-hospedados e implantação local; arquitetura, disponibilidade e responsabilidades devem ser acordadas para o caso específico.

Cláusulas Contratuais Padrão e EU-US Data Privacy Framework

A lista atual de adequação da Comissão inclui organizações comerciais dos EUA participantes do EU-US Data Privacy Framework. Verifique participação ativa e escopo que cobre a transferência. Ter endereço nos EUA não basta.

Ao utilizar Cláusulas Contratuais Padrão ou outro instrumento do Artigo 46, avalie se leis e práticas do destino comprometem as garantias e se são necessárias medidas complementares. Transferências cobertas por adequação não exigem automaticamente a mesma avaliação adicional. Nenhum mecanismo elimina deveres de finalidade, base legal, segurança ou contratos com operadores.

Não confunda o status do provedor de nuvem com o do fornecedor de chatbot. A FAQ do Quickchat AI descreve alinhamento ao DPF em andamento, não participação verificada.

Exemplo de fornecedor: controles de dados da API OpenAI

A documentação de dados da API OpenAI informa que entradas e saídas da API não são usadas para treinamento por padrão, salvo adesão do cliente. Ela distingue logs de monitoramento de abuso e estado da aplicação. Logs padrão podem ser retidos por até 30 dias, com exceções legais ou de segurança.

Zero Data Retention e Modified Abuse Monitoring precisam de aprovação e têm limitações por endpoint. Confirme conta, endpoint, contrato e locais reais de tratamento. Controles do histórico de ChatGPT para consumidores não estabelecem as configurações de uma integração API. Essas condições gerais não comprovam retenção zero para uma conta específica do Quickchat AI.

Contratos de tratamento e responsabilidades dos fornecedores

Quando um fornecedor trata dados pessoais em seu nome, o Artigo 28 exige um contrato vinculante ou outro ato jurídico admissível. Avalie separadamente usos para finalidades próprias do fornecedor, em vez de atribuir a mesma função a todas as atividades. As diretrizes do EDPB sobre controladores e operadores explicam a distinção e os requisitos contratuais.

Cláusulas obrigatórias e perguntas adicionais de IA

Confira se o acordo inclui:

• Objeto, duração, natureza e finalidade do tratamento, tipos de dados, categorias de pessoas, direitos e obrigações do controlador.
• Instruções documentadas, incluindo transferências, com as exceções legais aplicáveis da UE ou dos Estados-membros.
• Confidencialidade e segurança apropriada pelo Artigo 32.
• Autorização prévia escrita, específica ou geral, para suboperadores, aviso de mudanças e oportunidade de oposição na autorização geral, repassando as obrigações necessárias.
• Assistência com direitos, segurança, violações e avaliações de impacto.
• Exclusão ou devolução à escolha do controlador após o fim dos serviços, com exclusão das cópias, salvo exigência de retenção pela UE ou Estado-membro.
• Informações para demonstrar conformidade e disposições para auditorias e inspeções.

Pergunte separadamente sobre treinamento, feedback, retenção e usos secundários. O GDPR não exige simplesmente proibir todo treinamento possível; cada uso precisa de avaliação adequada de finalidade, função e condições legais.

O Quickchat AI publica um Acordo de Tratamento de Dados. Revise os termos assinados aplicáveis e a documentação complementar. A disponibilidade do acordo não demonstra que um contrato ou implantação particular atende a todos os requisitos acima.

Pontos de negociação com fornecedores de IA

Peça respostas específicas sobre locais de tratamento, suboperadores, retenção operacional, controles de conta, comunicação de violações e procedimentos de saída. Distinga ajustes documentados de compromissos específicos do contrato.

Pergunte o que acontece ao desativar uma função, desconectar um canal, excluir um Agent ou terminar o contrato. Estabeleça escopo de exportação, provas de exclusão, dados legalmente retidos e tratamento de backups. Responsabilidade e níveis de serviço também são questões comerciais; uma declaração geral de segurança não substitui o anexo técnico completo.

Personalização e minimização de dados

Comece pelo mínimo necessário para responder à pergunta atual. Perfis persistentes precisam de finalidade e avaliação próprias.

Privacidade diferencial e processamento no dispositivo

Privacidade diferencial pode limitar informações reveladas sobre indivíduos em aplicações estatísticas ou de treinamento adequadas. A proteção depende de implementação e parâmetros; citar a técnica não comprova anonimização nem tratamento lícito.

Processar uma preferência no dispositivo pode reduzir a coleta no servidor. Verifique o que ainda sai do dispositivo, incluindo identificadores e telemetria. Armazenar ou acessar informações pode ter implicações de ePrivacy mesmo sem dados pessoais.

Respostas por segmento e perfis individuais

Adaptar uma resposta a uma categoria de produto informada pode exigir menos dados do que manter um perfil comportamental duradouro. Porém, associar um cliente conhecido a um segmento ainda pode tratar dados pessoais.

Avalie finalidade real, base legal, aviso, retenção e acesso. Consentimento não é universalmente obrigatório para toda personalização; decisões automatizadas significativas exigem uma avaliação separada do Artigo 22. Ofereça um serviço básico útil quando a criação opcional de perfil for recusada.

Chatbots em setores regulados

As regras setoriais dependem da entidade, atividade e jurisdição. Um chatbot de IA para escritórios jurídicos e um chatbot de IA para serviços financeiros precisam distinguir informação geral, acesso a contas e aconselhamento profissional. Um aviso sozinho não resolve esses limites.

Saúde: dados sensíveis e deveres HIPAA aplicáveis

Dados de saúde exigem uma condição aplicável para categorias especiais além da base do Artigo 6. Agendamento, administração, avaliação de sintomas e decisões clínicas representam riscos diferentes. Um chatbot de IA para clínicas odontológicas deve ter escalonamento clínico adequado à sua função.

Nos EUA, HIPAA se aplica a covered entities e business associates, não automaticamente a todo dado de saúde. Uma relação pertinente com business associate exige o acordo necessário. Confira permissões, salvaguardas e retenção por registro com a organização responsável. Não deduza adequação a HIPAA de um DPA do GDPR, uma afirmação de criptografia ou uma página comercial de saúde.

Finanças: conservação de registros e controle de decisões

Identifique as regras da empresa e do tipo de registro antes de definir retenção. A Regra FINRA 4511, por exemplo, trata de empresas associadas e prevê seis anos para registros FINRA sem outro prazo definido. Não é uma regra universal para toda conversa de chatbot.

Distinga informações públicas sobre produtos, aconselhamento personalizado e decisões de elegibilidade. Avalie autorização, deveres profissionais, documentação e revisão efetiva quando exigida. Não dependa nem de uma proibição geral de finanças automatizadas nem de um aviso genérico que supostamente as autorize.

Serviços públicos: avaliação e informação acessível

Órgãos públicos geralmente precisam de um DPO, com as exceções aplicáveis; uma DPIA específica depende dos riscos do tratamento. Um chatbot de FAQ e um sistema que influencia elegibilidade a benefícios precisam de avaliações diferentes.

Explique quem opera o serviço, como usa os dados e como obter ajuda ou exercer direitos. Considere usuários vulneráveis, alternativas acessíveis e consequências de respostas erradas ou transferências frustradas. Examine requisitos de acessibilidade e do setor, em vez de supor que a interface os cumpre.

Avaliar fornecedores e tecnologia de chatbot

Peça evidências ligadas ao fluxo pretendido. Nosso guia de compra de chatbot de IA amplia a avaliação; a análise de privacidade ainda precisa cobrir seus fluxos reais.

O que ISO 27001, SOC 2 e Cyber Essentials demonstram

ISO/IEC 27001 trata de um sistema de gestão de segurança da informação. Confira organização, serviços, locais e validade do certificado, sem considerar o logotipo uma cobertura de todos os produtos.

SOC 2 é um relatório de atestação, não uma certificação. Um relatório Type 2 examina a eficácia operacional no período definido. Verifique sistemas, critérios, exceções e responsabilidades do cliente no documento real.

Cyber Essentials é um programa britânico de controles técnicos básicos contra ameaças comuns da internet. Nenhum desses elementos comprova sozinho conformidade do seu uso com o GDPR. A FAQ jurídica do Quickchat AI descreve SOC 2 como um trabalho em andamento, não um relatório concluído.

15 perguntas para potenciais fornecedores

1. Onde prompts, respostas, arquivos, logs e backups são armazenados e processados, e quem acessa remotamente?
2. Quais funções e atividades o DPA proposto cobre?
3. Como os dados de um cliente são isolados dos demais?
4. Quais conexões e registros são criptografados e como as chaves são gerenciadas?
5. Quais regras de retenção e exclusão se aplicam a cada categoria?
6. Como acesso, correção, exclusão e portabilidade são atendidos e verificados?
7. Quais suboperadores participam e como as mudanças são comunicadas?
8. Dados de clientes são usados para treinamento, avaliação ou feedback, e sob quais termos?
9. Como incidentes são investigados e violações relevantes comunicadas?
10. Quais certificados ou relatórios atuais cobrem o serviço específico?
11. Quais autenticações, funções e integrações de identidade estão realmente disponíveis?
12. Quais evidências cobrem injeção de prompt, ações não autorizadas e vazamento?
13. Quais opções de privacidade e segurança são padrões, configurações ou acordos Enterprise?
14. Quais logs e evidências de fontes ou ações os clientes acessam e quais são seus limites?
15. Como examinar evidências de conformidade, exportar dados e verificar o encerramento do serviço?

Uma matriz para comparar fornecedores

Registre evidências e dúvidas junto às notas. Uma informação contratual ou operacional desconhecida deve permanecer desconhecida, não ganhar pontos por linguagem comercial. Um requisito obrigatório não atendido não deve desaparecer em uma soma favorável.

Baixe um registro dos fluxos de dados da implantação

Baixe o registro editável dos fluxos de dados. O pacote compartilhado em inglês contém três CSVs vazios, um exemplo fictício separado e instruções. Use-o para registrar componentes, movimentações de dados, evidências e perguntas em aberto da implantação proposta. Ele não descreve uma arquitetura verificada do Quickchat AI.

1. Em components.csv, liste o navegador, a aplicação, o armazenamento de conhecimento, o fornecedor do modelo, os serviços conectados, os logs e os backups que realmente se aplicam. Registre separadamente os locais de processamento e armazenamento, além do uso para treinamento, da retenção, do escopo de exclusão e da responsabilidade pelos acessos. Mantenha os fatos desconhecidos sem resolução.
2. Em data-flows.csv, conecte os IDs dos componentes e descreva a finalidade, as categorias de dados e as condições de acesso de cada fluxo. Registre categorias e referências documentais, não transcrições privadas nem credenciais.
3. Em evidence-register.csv, associe cada afirmação a uma fonte datada e ao seu escopo. Diferencie declarações de fornecedores, contratos e configuração de planos de teste e registros de testes observados. Um teste planejado permanece not_run. Atribua um responsável às perguntas em aberto.

Importe os CSVs UTF-8 em planilhas separadas e mantenha os identificadores. O verificador offline opcional confere o formato e as referências; ele não pode verificar uma declaração do fornecedor nem determinar conformidade legal. Use o registro com as perguntas e a matriz acima, realizando a revisão necessária para sua implantação real.

Um roteiro prático para equipes menores

Limite o fluxo inicial ao que a equipe consegue operar e verificar. Começar por informações públicas pode reduzir complexidade, embora texto livre e identificadores técnicos ainda precisem de avaliação.

Software auto-hospedado e SaaS: escolhas e compromissos

Auto-hospedagem pode dar controle mais direto sobre arquitetura e dados. Também exige operação, atualizações, monitoramento e segurança. Custos de licenças e infraestrutura variam; código aberto não garante implantação gratuita nem elimina operadores externos.

SaaS pode oferecer infraestrutura gerenciada e suporte, mas o cliente ainda precisa estabelecer finalidades, bases legais, configuração e termos adequados. Compare o trabalho restante para sua equipe, não só o preço da assinatura. Verifique ofertas de nuvem privada ou auto-hospedagem como acordos específicos, sem presumir disponibilidade em todo plano.

Controles possíveis com recursos limitados

Use software mantido, transporte seguro, autenticação apropriada e acesso restrito. Mantenha credenciais fora dos prompts e registros desnecessários fora da Knowledge Base. Estabeleça um canal de direitos com responsável e um registro de retenção que reflita os sistemas reais.

Use modelos de autoridades para estruturar a avaliação, mas escreva os avisos a partir dos próprios fluxos. Um gerador genérico de políticas não determina o que seu chatbot faz. Teste restauração além de backups, documente incidentes e mantenha escalonamento humano. Se uma proteção necessária ou avaliação jurídica estiver pendente, reduza o escopo antes do lançamento.

Três exemplos hipotéticos de implementação

Estes são exemplos de projeto, não casos de clientes, resultados medidos ou evidências de aprovação regulatória.

• Assistente informativo de banco de varejo. Restrinja o bot a informações públicas aprovadas e encaminhe transações para um serviço autenticado. Avalie bases legais, fornecedores e registros. Teste se um visitante consegue provocar divulgação de dados de conta. O projeto ainda exige revisão conforme as regras do banco.
• Assistente de admissão universitária. Separe orientações gerais, status de candidatura e decisões de admissão. Um portal de direitos personalizado poderia verificar identidade e reunir registros para revisão e entrega segura. JSON pode ajudar em portabilidade aplicável, mas gerar um arquivo não comprova acesso completo nem cumprimento de prazos.
• Assistente administrativo de saúde. Defina tarefas permitidas de agendamento e informação, minimize dados solicitados e ofereça escalonamento clínico apropriado. Avalie ocultação diante de informações inesperadas de saúde, reconhecendo falhas de detecção. Um aviso ou camada de ocultação não torna necessariamente o texto restante anônimo ou apto a treinamento irrestrito.

O EU AI Act junto ao GDPR

O AI Act entrou em vigor em agosto de 2024 e se aplica em etapas. Não substitui o GDPR. Na data de revisão, o cronograma atual da Comissão incorpora mudanças adotadas, não apenas o calendário original.

Transparência atual e datas para requisitos de alto risco

O Artigo 50 se aplica desde 2 de agosto de 2026. Fornecedores devem garantir que pessoas em interação direta com IA sejam informadas disso, salvo quando for óbvio no contexto. A informação exigida deve ser clara e acessível na primeira interação. Confira outros deveres do Artigo 50 quando pertinentes ao conteúdo gerado ou sistema específico.

O AI Omnibus adotado entrou em vigor em 27 de julho de 2026. Os requisitos de alto risco correspondentes passam a valer em 2 de dezembro de 2027 para sistemas do Anexo III e em 2 de agosto de 2028 para sistemas ligados a produtos do Anexo I. A classificação depende do uso pretendido e dos critérios legais; pertencer a um setor regulado não torna um chatbot automaticamente de alto risco.

Avalie separadamente responsabilidades de fornecedores e responsáveis pela implantação, incluindo documentação, supervisão, logs e conformidade aplicáveis. O Artigo 4 alterado continua exigindo medidas de letramento em IA da equipe, sem exigir garantia de um nível individual específico.

O processo separado do Digital Omnibus GDPR/ePrivacy ainda estava pendente na verificação de 4 de novembro de 2026. Propostas de mudança não devem ser tratadas como lei vigente.

ISO/IEC 42001 e governança de IA

ISO/IEC 42001:2023, publicada em dezembro de 2023, define uma estrutura de gestão de IA. Pode ajudar a organizar responsabilidades, avaliação de risco e revisão contínua. Alinhamento ou certificação não determina automaticamente que um chatbot cumpre o GDPR ou todas as obrigações aplicáveis do AI Act.

Cronograma de implementação e matriz de responsabilidades

Use um plano por etapas para identificar evidências ausentes antes do lançamento público. O cronograma é um exemplo, não prazo legal nem promessa de concluir qualquer projeto em 90 dias.

Plano de 90 dias com pontos de revisão

• Dias 1-30: descoberta. Defina tarefas, fluxos, bases legais, funções e requisitos setoriais. Avalie necessidade de DPIA, identifique decisores e reúna evidências dos fornecedores.
• Dias 31-60: implementação. Acorde termos de tratamento; configure avisos, acessos, integrações e retenção. Construa os processos necessários de direitos e incidentes. Conclua avaliações conforme o projeto se torna concreto.
• Dias 61-90: verificação. Teste tarefas comuns, pedidos não autorizados, respostas erradas, escopo de exclusão e recuperação. Treine a equipe, resolva salvaguardas necessárias e revise a DPIA exigida antes do tratamento correspondente. Mesmo um piloto limitado precisa de proteção adequada.

Escolha a data de lançamento pela preparação real, não só pelo calendário. O guia de plataformas de IA conversacional oferece contexto adicional.

Exemplo RACI com aconselhamento independente do DPO

R indica quem executa o trabalho, A o responsável pelo projeto na organização, C quem é consultado e I quem é informado. Este exemplo operacional não transfere a responsabilidade legal do controlador ou operador.

O DPO aconselha e monitora com independência. As diretrizes sobre DPOs atribuem a responsabilidade pela conformidade e DPIA ao controlador e alertam sobre conflitos com funções que determinam finalidades e meios. Nem toda organização precisa nomear um DPO.

Antes de aprovar a implantação

Revise juntos mapa de dados, contratos aplicáveis, regras de retenção e resultados operacionais. Confirme quem receberá pedidos de direitos ou incidentes e o que acontece quando fornecedor, integração ou finalidade mudam.

No Quickchat AI, distinga controles documentados de exigências que precisam de acordo específico. Excluir conta ou Agent, mostrar aviso de privacidade, limpar dados sob pedido e declarar uma região de armazenamento possuem escopos limitados. Resolva os requisitos da implantação real antes de depender deles.

Perguntas frequentes sobre privacidade de chatbots

Um chatbot baseado em GPT pode cumprir o GDPR?

Pode integrar uma implantação lícita, dependendo de finalidades, dados, funções, contratos, segurança, direitos e transferências. Um nome de modelo, configuração sem treinamento ou servidor europeu não basta sozinho. Pseudonimização pode reduzir risco enquanto mantém os dados no alcance do GDPR.

Como excluir os dados de um usuário mediante solicitação?

Verifique a identidade proporcionalmente, localize registros, avalie fundamentos e exceções, coordene operadores e confira o resultado. Aja sem demora injustificada e normalmente em um mês civil, comunicando a tempo qualquer extensão permitida. Inclua logs, exportações e backups na avaliação. Excluir um AI Agent do Quickchat não equivale a apagar suas conversas.

Qual autenticação um chatbot deve usar?

Adapte à tarefa. Uma FAQ pública pode dispensar autenticação do visitante, enquanto informações de conta e transações precisam de acesso autenticado e autorizado apropriado. Proteja a administração, considere MFA e confira limitações das funções. Nem SSO nem biometria são respostas universais.

Por quanto tempo posso guardar conversas sob o GDPR?

Apenas pelo período justificado pela finalidade, sujeito às obrigações legais aplicáveis. Defina períodos ou critérios por categoria e explique-os no aviso. Um exemplo de 30 ou 90 dias não é um padrão do GDPR, e conservar prova de consentimento também exige justificativa.

Preciso de DPA se hospedar o modelo por conta própria?

Avalie se outra entidade trata dados pessoais em seu nome. Executar software não cria automaticamente uma relação de operação com seu editor, mas hospedagem, suporte, análise ou outros serviços podem criá-la. Termos aplicáveis do Artigo 28 continuam necessários para operadores; auto-hospedagem não elimina suas próprias obrigações.

Um chatbot pode tomar decisões totalmente automatizadas pelo Artigo 22?

A restrição do Artigo 22 envolve decisões exclusivamente automatizadas com efeitos jurídicos ou igualmente significativos. Quando aplicável, examine uma exceção e as salvaguardas necessárias, incluindo intervenção humana efetiva quando exigida. Respostas comuns de suporte não são automaticamente abrangidas; decisões importantes de elegibilidade ou acesso exigem análise maior.

O que um aviso de privacidade de chatbot deve conter?

Explique controlador e contatos, finalidades e bases, destinatários e transferências relevantes, retenção, direitos e canais de reclamação. Inclua outras informações dos Artigos 13 ou 14 para a coleta real, como retirada quando baseada em consentimento e informações pertinentes sobre decisões automatizadas. Mantenha o aviso acessível e correto. Informe a interação com IA quando necessário separadamente da obtenção de consentimento.

Como reduzir o risco de injeção de prompt?

Trate mensagens de visitantes e conteúdo recuperado como não confiáveis. Limite permissões, aplique autorização fora do modelo, valide parâmetros e teste tentativas de acesso indevido ou ações sem relação com a tarefa. Instruções, filtros e RAG não garantem prevenção. Mantenha investigação e escalonamento humano disponíveis.

Widgets de chat precisam de consentimento para cookies?

Avalie cada operação de armazenamento ou acesso e sua finalidade segundo a implementação aplicável de ePrivacy. As orientações do EDPB abrangem mais que cookies. Operações estritamente necessárias a um serviço expressamente solicitado podem ser isentas; outras podem exigir consentimento prévio. O widget Quickchat AI usa armazenamento local do navegador para continuidade das conversas e preferências. Não suponha que todo armazenamento é isento nem que todo widget deva ser bloqueado integralmente antes de uma escolha.

O EU AI Act substitui o GDPR para chatbots?

Não. O GDPR continua regulando tratamento pessoal pertinente; o AI Act acrescenta obrigações conforme sistema, função e uso. A transparência do Artigo 50 se aplica desde 2 de agosto de 2026. Confira o cronograma alterado atual para alto risco, em vez de depender das expectativas originais de 2025/2026.

Para avaliar a plataforma Quickchat AI, comece por um fluxo definido e os dados necessários; depois compare controles documentados e termos aplicáveis com seus requisitos.