O RGPD na era da IA: o que 2026 ensina às equipas de conformidade

Durante anos, estar em conformidade com o RGPD significou sobretudo banners de cookies, contratos de subcontratação e listas de verificação para notificação de violações de dados. Em 2026, cada vez mais significa outra coisa: perceber se os seus modelos de IA foram treinados legalmente, se o seu chatbot tem base legal para tratar o que os utilizadores lhe confiam, e se os dados de treino "anonimizados" o são de facto.

Os reguladores não reescreveram os princípios fundamentais do RGPD, mas estão a remodelar ativamente a forma como esses princípios se aplicam à IA — e os números mostram que a fiscalização não abrandou entretanto.

A fiscalização não abrandou

As coimas RGPD acumuladas desde 2018 situam-se já entre 6,1 e 7,1 mil milhões de euros, consoante o tracker consultado, com cerca de 1,2 mil milhões de euros aplicados só nos últimos doze meses — o ritmo da fiscalização mantém-se firme, não está a abrandar. A Irlanda continua a concentrar a maior fatia do valor das coimas (cerca de 4 mil milhões de euros, sobretudo de processos contra grandes plataformas tecnológicas relacionados com base legal e transferências internacionais), enquanto a Espanha lidera em volume puro, publicando mais de mil coimas pelo sétimo ano consecutivo. Esta divisão importa: as megacoimas contra as grandes tecnológicas fazem manchetes, mas a realidade mais comum são organizações médias e pequenas multadas por falhas básicas de licitude.

As notificações de violação de dados também estão a aumentar. As violações notificadas na Europa atingem agora uma média de 443 por dia, mais 22% em termos homólogos — a primeira vez que este número ultrapassa os 400. E uma fatia crescente das sanções deve-se à ausência de avaliações de impacto sobre a proteção de dados (AIPD), tratadas como infração autónoma e não como uma mera lacuna burocrática. A Reddit foi multada em 14,47 milhões de libras pela ICO britânica em 2026 exatamente por esta combinação: sem base legal para tratar dados de utilizadores com menos de 13 anos, e sem AIPD antes de o fazer. A IQVIA Operations France recebeu uma coima de 5 milhões de euros por um erro mais subtil mas cada vez mais comum — tratar dados de saúde pseudonimizados como se estivessem totalmente anonimizados, e protegê-los em conformidade (ou seja, de forma inadequada).

Os dados pseudonimizados continuam a ser dados pessoais nos termos do RGPD — podem ser reidentificados com a chave certa. Os dados anonimizados não podem ser reidentificados por ninguém, por nenhum meio. Tratar os primeiros como os segundos é exatamente o erro que custou 5 milhões de euros à IQVIA, e é o mesmo erro que muitas equipas de IA estão a apenas um conjunto de dados de treino "desidentificado" de cometer.

O Digital Omnibus: a primeira reescrita real do RGPD para a era da IA

A grande notícia regulatória de 2026 é o pacote Digital Omnibus da Comissão Europeia, proposto em novembro de 2025 e ainda em negociação. É a primeira alteração estrutural do RGPD desde a sua entrada em vigor em 2018, e grande parte visa diretamente o desenvolvimento de IA.

A proposta mais relevante reconhece explicitamente o «interesse legítimo» como base legal válida para tratar dados pessoais — incluindo categorias especiais de dados — para treinar modelos de IA e testá-los quanto a enviesamentos. Seria uma mudança significativa: daria aos criadores de IA um fundamento jurídico mais claro e defensável para usar dados pessoais nos seus pipelines de treino, algo que tem sido uma zona cinzenta persistente desde que o RGPD foi redigido anos antes de a IA generativa existir.

Do lado do AI Act, os prazos das obrigações de alto risco passaram de datas dependentes de uma decisão da Comissão para marcos fixos de calendário.

Porque é que isto importa agora, não mais tarde

Nada disto está fechado, e é precisamente esse o ponto para as equipas de conformidade: a base legal dos dados de treino de IA está a ser ativamente renegociada enquanto a aplicação das regras atuais continua a todo o ritmo. Esperar que o Digital Omnibus assente antes de auditar os pipelines de dados de IA significa construir sobre pressupostos que podem mudar debaixo dos seus pés — e fazê-lo enquanto os reguladores já estão a multar empresas por lacunas na base legal e AIPD em falta que se parecem muito com o que muitos projetos de IA têm hoje.

Há também um sinal de mercado que merece atenção. O estudo de privacidade da Cisco de 2026 concluiu que consumidores e empresas convergem para a mesma conclusão a partir de extremos opostos: a confiança impulsiona a adoção, e o investimento em privacidade compensa-se a si próprio.

O que fazer mesmo agora

A conclusão prática para 2026 não depende de como terminarem as negociações do Digital Omnibus. Resume-se a três hábitos, aplicados de forma consistente, começando pelo sistema de IA que lançou mais recentemente:

1. Documente já a base legal de cada conjunto de dados que alimenta um sistema de IA. Não espere que o «interesse legítimo» se torne uma opção formal ao abrigo do Digital Omnibus — anote em que base se apoia hoje para cada conjunto de treino e afinação, e esteja pronto para a defender.
2. Faça as AIPD antes da implementação, não depois de um incidente. O caso da Reddit mostra exatamente o que acontece quando uma AIPD é tratada como papelada opcional em vez de uma barreira antes de lançar uma funcionalidade que toca em dados de menores ou outro tratamento de risco mais elevado.
3. Não presuma que a pseudonimização substitui a anonimização. Se os seus dados de treino «desidentificados» puderem voltar a ser associados a uma pessoa por quem tiver a chave certa, continuam a ser dados pessoais — e precisam da segurança e base legal correspondentes a esse estatuto, o que faltou à IQVIA.
4. Acompanhe o Digital Omnibus sem construir em torno dele. Reaja ao texto final quando o Conselho e o Parlamento chegarem mesmo a acordo sobre um — uma proposta que já perdeu disposições uma vez em negociação não é uma base sobre a qual planear a conformidade.

Em resumo

As regras em torno da IA e do RGPD estão em movimento, mas o historial de fiscalização deixa claro que «as regras ainda não são definitivas» não é uma defesa que os reguladores aceitem entretanto. Estar em conformidade com o RGPD tal como está hoje — e não apostar em onde o Digital Omnibus vai aterrar — é o que protege um projeto de IA para o resto de 2026.

Marque uma consulta gratuita com a GDPRGard →

Fontes

• CMS GDPR Enforcement Tracker
• European Data Protection Board — News
• UK ICO — Enforcement Action (Reddit fine)
• European Commission — Digital Omnibus
• Cisco — 2026 Data Privacy Benchmark Study

Leia também:

• A desculpa "era público" acabou: o RGPD agora cobre formalmente os dados de treino da IA
• Por dentro do Digital Omnibus da UE: o que está mesmo a mudar no RGPD, e o que ficou encravado
• Esqueça o regulamento da IA — o RGPD já está a multar empresas por erros de IA