Como implantar IA com segurança em uma PME: checklist em 10 passos

O enquadramento jurídico em resumo

• Suíça: ainda não existe uma lei específica sobre IA. Mas a lei de proteção de dados (DSG) se aplica diretamente a aplicações de IA, como destaca o EDÖB, a autoridade suíça de proteção de dados. Em 12 de fevereiro de 2025, o Conselho Federal decidiu ratificar a Convenção do Conselho da Europa sobre IA. Um anteprojeto para consulta pública deve ser apresentado até o fim de 2026.
• UE (para Alemanha, Áustria e empresas suíças com ligação à UE): valem o RGPD (GDPR) e o AI Act. O art. 4 (letramento em IA) vale desde 2 de fevereiro de 2025, e a maioria das outras regras desde 2 de agosto de 2026. Com o “Digital Omnibus”, as obrigações para sistemas de alto risco foram adiadas para 2 de dezembro de 2027 e 2 de agosto de 2028, respectivamente.

Os 10 passos

1. Levantamento: quem usa qual IA?

• Pergunte abertamente à equipe quais serviços de IA são usados e para quê, inclusive com contas pessoais. Sem procurar culpados; caso contrário, você só vai ouvir metade da verdade.
• Registre serviço, tipo de conta e finalidade em uma lista simples.

Saiba mais: Shadow AI nas PMEs.

2. Definir casos de uso e classes de dados

• Escolha dois ou três casos de uso concretos com benefício claro, como redigir textos, resumir atas ou explicar código.
• Divida os dados em classes simples, por exemplo: públicos, internos, confidenciais, dados pessoais, dados pessoais sensíveis e dados sob sigilo profissional.
• Defina qual classe pode ir para qual ferramenta. O que nunca deve entrar é mostrado no guia IBAN, número AVS e outros dados.

3. Escolher ferramentas e contas

• Plano corporativo em vez de conta pessoal: escolha um plano com contrato. Quem repassa dados pessoais a um provedor deve se certificar de que ele consegue garantir a segurança dos dados (art. 9 DSG). Na UE, é necessário um contrato com o subcontratante (art. 28.º do RGPD).
• Esclarecer a localização dos dados e os subcontratantes: se os dados forem para o exterior, valem os arts. 16 e 17 DSG ou os arts. 44.º e seguintes do RGPD.
• Verificar o treinamento: esclareça se o provedor usa as entradas para treinamento e desative isso sempre que possível. Passo a passo: Desativar o treinamento de IA. Para ambientes Microsoft: Copilot e proteção de dados.

4. Verificar a necessidade de uma avaliação de impacto sobre a proteção de dados

• Se um tratamento puder representar um alto risco para as pessoas afetadas, é necessária uma avaliação de impacto sobre a proteção de dados prévia (art. 22 DSG, art. 35.º do RGPD). A própria DSG dá um exemplo: o tratamento em larga escala de dados pessoais sensíveis, como dados de saúde.
• Para o trabalho cotidiano com textos, sem dados pessoais, isso geralmente não é o caso. Mesmo assim, verifique e registre brevemente. O EDÖB oferece uma ficha informativa sobre o tema.
• Cuidado com decisões sobre pessoas, por exemplo ao triar candidaturas: no AI Act, a IA para seleção de pessoal é considerada de alto risco (anexo III, ponto 4).

5. Escrever uma política de IA

• Uma ou duas páginas bastam: ferramentas permitidas, dados proibidos, uso dos resultados, a quem comunicar incidentes.
• Regule também o uso dos resultados: textos, números e fontes vindos da IA devem ser verificados antes de serem repassados.
• Peça a todos que confirmem a política. Grátis para adaptar: Modelo de política de IA.

6. Treinar os funcionários

• Para empresas às quais o AI Act se aplica, o art. 4 exige medidas de letramento em IA do pessoal. Segundo a Comissão Europeia, não é necessário um certificado.
• Uma hora com exemplos do próprio dia a dia é um bom começo. Registre quem foi treinado e quando.

Conteúdos e formato: Letramento em IA segundo o art. 4 do AI Act.

7. Definir proteções técnicas

• Contas: gerenciar as contas corporativas de forma centralizada e excluir contas pessoais para dados da empresa.
• Acesso: no caso de assistentes de IA que leem e-mails e arquivos, organizar antes as permissões de acesso.
• Bloquear descuidos: a maioria dos erros acontece ao colar algo com pressa, como uma senha ou uma lista de clientes. Uma solução de DLP ou uma extensão de navegador verifica as entradas antes do envio. Comparação: DLP para ferramentas de IA.

8. Ser transparente quando necessário

• Segundo o EDÖB, as pessoas que conversam com um chat de IA têm o direito de saber que estão se comunicando com uma máquina. Isso vale, por exemplo, para um chatbot no seu site.
• Se dados pessoais de clientes forem para um provedor de IA, isso deve constar na política de privacidade (destinatários e exterior, art. 19 DSG, arts. 13.º e 14.º do RGPD).
• Na UE, o art. 50 do AI Act exige, entre outras coisas, que deepfakes e textos gerados por IA sobre temas de interesse público sejam identificados como tal, se não tiverem passado por revisão editorial.

9. Comunicar e tratar incidentes

• Defina um ponto de contato para incidentes. Quem comunica rapidamente não é punido.
• Em caso de descuido: trocar imediatamente as senhas e chaves afetadas, depois apagar o chat e os links compartilhados e registrar o incidente. Só apagar não basta: o texto já chegou ao provedor. Veja Colei uma senha no ChatGPT – e agora?.
• Verifique se é necessária uma notificação: na Suíça, ao EDÖB “o mais rápido possível”, se for provável um alto risco para as pessoas afetadas (art. 24 DSG); na UE, sem demora injustificada e, sempre que possível, em até 72 horas, a não ser que a violação não seja suscetível de resultar em risco (art. 33.º do RGPD).

10. Revisar regularmente

• Uma vez por ano e a cada nova ferramenta: atualizar a lista, a política e o treinamento.
• Acompanhe a situação jurídica, como a consulta pública suíça sobre a regulamentação da IA e os prazos do AI Act.

Quem faz o quê?

Perguntas frequentes