GDPR e chatbots de IA

Mesmo um chatbot de suporte simples coleta dados pessoais: identificadores como um e-mail ou número de telefone, detalhes de pedidos e entregas, o conteúdo das mensagens e dados técnicos como um endereço IP. Como os usuários podem digitar livremente, eles também podem compartilhar informações que a empresa nunca pediu, incluindo dados sensíveis como detalhes de saúde. A autoridade de proteção de dados da França, a CNIL, recomenda avisar os usuários antes da conversa para não compartilhar dados sensíveis, a menos que seja necessário.

Esta página fornece informações gerais sobre o GDPR (Regulamento (UE) 2016/679). Não é aconselhamento jurídico; para sua própria situação, consulte seu encarregado de proteção de dados ou um advogado.

A empresa que decide por que e como o chatbot é usado é geralmente a controladora. Ela precisa de uma base legal para cada finalidade — por exemplo, executar um contrato ao responder a uma pergunta de pedido de um cliente. Deve informar os usuários (Artigos 13 e 14): quem é o controlador, finalidades, base legal, destinatários, período de retenção e direitos. Deve coletar apenas o que a finalidade requer, definir períodos de retenção e permitir que as pessoas exerçam seus direitos de acesso, retificação e exclusão.

O provedor do chatbot geralmente atua como um processador e deve estar vinculado a um contrato que atenda ao Artigo 28. Se dados pessoais forem enviados para um país fora da UE — por exemplo, para um provedor de modelo nos Estados Unidos — as regras de transferência do Capítulo V se aplicam.

Verifique se os dados da conversa são usados para treinar ou melhorar modelos, por quem e se isso pode ser desativado. Saiba onde o modelo de linguagem é executado, uma vez que os prompts contêm dados pessoais. Tenha cuidado com decisões que têm efeitos legais ou igualmente significativos — recusar um reembolso, por exemplo — tomadas exclusivamente por meios automatizados, o que o Artigo 22 restringe. Para implantações maiores, uma avaliação de impacto sobre a proteção de dados pode ser necessária.

A Opinião 28/2024 do Comitê Europeu de Proteção de Dados acrescenta que modelos de IA treinados com dados pessoais não são automaticamente anônimos, o que é importante ao escolher provedores de modelos. A Lei de IA da UE exige separadamente informar as pessoas de que estão conversando com uma IA.

A AI SmartTalk é uma empresa francesa e hospeda a plataforma na França. Assistentes usam modelos de IA hospedados na União Europeia por padrão; um administrador pode escolher um modelo fora da UE, como OpenAI ou Anthropic, e o aplicativo solicita consentimento explícito cada vez que um é selecionado. Os dados da conversa são mantidos até que o assistente ou a conta sejam excluídos, com exclusão permanente 30 dias após um pedido de exclusão de conta, conforme descrito na política de privacidade. As empresas continuam responsáveis por informar seus próprios visitantes.