Enquanto as manchetes se concentram no regulamento da IA da UE e nos seus prazos escalonados para 2026–2027, está a decorrer uma história mais discreta: as autoridades europeias de proteção de dados não estão à espera. Estão a usar uma lei totalmente aplicável desde 2018 — o RGPD — para punir exatamente o tipo de erros de IA que as pequenas e médias empresas poderiam cometer com a mesma facilidade.
Três casos recentes mostram como é essa aplicação na prática, e nenhum deles precisou que o regulamento da IA existisse.
Clearview AI — 30,5 milhões de € por recolher rostos sem pedir autorização
Em setembro de 2024, a Autoridade de Proteção de Dados dos Países Baixos (Autoriteit Persoonsgegevens) aplicou uma coima de 30,5 milhões de € à empresa norte-americana de reconhecimento facial Clearview AI — com a ameaça de mais 5,1 milhões de € caso não parasse. A Clearview tinha construído o seu negócio recolhendo milhares de milhões de fotografias da web pública e transformando-as em «impressões digitais faciais» biométricas vendidas a forças policiais e a outros clientes.
O regulador neerlandês não aceitou a defesa da Clearview de que servia apenas clientes fora da UE. Concluiu que a empresa tinha tratado dados biométricos de residentes europeus em «escala massiva», sem base jurídica, sem informar as pessoas de que as suas fotografias tinham sido recolhidas, e sem qualquer forma de essas pessoas se oporem ou solicitarem a sua eliminação.
A lição não é realmente sobre o reconhecimento facial em particular — é sobre o pressuposto subjacente que a Clearview assumiu: que, se um dado está publicamente visível online, é legítimo recolhê-lo e reutilizá-lo. O RGPD nunca concordou com esse pressuposto, e os reguladores estão agora a testar ativamente as empresas de IA em relação a ele.
Uma fintech alemã — 492.000 € por deixar o algoritmo decidir sozinho
Em 2025, a autoridade de proteção de dados de Hamburgo (HmbBfDI) aplicou uma coima de 492.000 € a um prestador de serviços financeiros, depois de o seu sistema automatizado ter rejeitado pedidos de cartão de crédito — incluindo de candidatos com solvabilidade demonstravelmente boa — sem qualquer revisão humana. Quando os clientes rejeitados perguntaram porquê, a empresa não conseguiu dar-lhes uma explicação significativa.
Essa combinação desencadeou duas infrações distintas ao RGPD: uma violação do artigo 22.º, que dá às pessoas o direito de não ficarem sujeitas a uma decisão inteiramente automatizada com efeitos significativos sobre elas, e uma violação dos artigos 13.º a 15.º, que exigem que as empresas expliquem, em termos reais, como uma decisão automatizada foi alcançada. É digno de nota que a coima poderia ter sido mais elevada — o regulador de Hamburgo reduziu-a explicitamente porque a empresa cooperou e corrigiu o processo assim que o problema foi assinalado.
A lição para qualquer empresa que use IA para selecionar, pontuar ou filtrar clientes — verificações de crédito, candidatos a emprego, orçamentos de seguros, até sinalizações automáticas de fraude — é que «foi o algoritmo que decidiu» não é um escudo legal. Se a decisão tem um efeito real sobre alguém, tem de existir uma pessoa que possa intervir, e a empresa tem de conseguir explicar o porquê.
Replika — 5 milhões de € por saltar o básico
Em abril de 2025, a autoridade italiana Garante aplicou uma coima de 5 milhões de € à Luka Inc., criadora da aplicação de companhia por IA Replika. Os problemas de fundo eram pouco chamativos: a empresa não conseguiu indicar uma base jurídica válida para o tratamento dos dados dos utilizadores, os seus avisos de privacidade não explicavam claramente o que acontecia a esses dados e — apesar de proibir tecnicamente o acesso a menores — não dispunha de um mecanismo real para verificar a idade de ninguém.
Este caso é um lembrete útil de que a maior parte da aplicação do RGPD contra produtos de IA não é sobre danos algorítmicos exóticos. É sobre os mesmos fundamentos que se aplicam a qualquer site ou aplicação: conhecer a sua base jurídica, redigir avisos de privacidade que as pessoas consigam realmente compreender, e não afirmar restrições de idade que não tem forma de fazer cumprir.
O que estes três casos têm em comum
Países diferentes, setores diferentes, tecnologias diferentes — mas o padrão é consistente:
- Nenhuma destas coimas precisou do regulamento da IA. As três assentam inteiramente em obrigações do RGPD em vigor desde 2018: uma base jurídica válida para o tratamento (artigos 5.º e 6.º), transparência significativa (artigos 12.º a 15.º), o direito a revisão humana de decisões automatizadas (artigo 22.º) e a proteção de dados desde a conceção (artigo 25.º). Os reguladores estão simplesmente a aplicar a lei existente a novos produtos.
- As falhas foram básicas, não exóticas. Ninguém foi multado por um modelo sofisticado ter falhado de forma imprevisível. Foram multados por saltar passos fundamentais: sem base jurídica, sem aviso claro, sem intervenção humana de reserva, sem uma verificação de idade que funcionasse.
- A cooperação contou. A coima reduzida de Hamburgo é um pormenor pequeno mas revelador — os reguladores reagem de forma diferente a empresas que corrigem problemas rapidamente do que a empresas que resistem.
O GDPRChat é um widget de chat com clientes baseado em IA, construído com portas de consentimento nos termos do artigo 7.º e eliminação automática de dados — a conformidade está integrada na arquitetura, e não acrescentada depois de um regulador começar a fazer perguntas.
O que isto significa se é uma empresa mais pequena
É tentador ler estes casos como histórias de «grandes tecnológicas» — Clearview, um banco alemão, um criador de chatbots de Silicon Valley. Mas as obrigações que os fizeram tropeçar aplicam-se a qualquer dimensão de empresa. Se o seu negócio usa um chatbot de IA, uma ferramenta de pontuação, um motor de recomendação, ou qualquer coisa que trate dados de clientes, as mesmas perguntas aplicam-se a si:
- Tem uma base jurídica documentada para o que a IA faz com os dados dos clientes?
- Consegue explicar, em linguagem clara, o que acontece a esses dados e durante quanto tempo?
- Se a IA tomar uma decisão que afeta um cliente, existe uma pessoa real que a possa rever?
- Se o seu produto não se destina a menores, tem mesmo uma forma de o verificar — ou apenas uma caixa para assinalar?
A aplicação do RGPD contra a IA não está à espera que nova legislação a alcance. Já cá está, e já está a passar contas. Incorporar a conformidade desde o início — em vez de a adaptar depois de um regulador começar a fazer perguntas — é muito mais barato do que a alternativa.
Marque uma consulta gratuita com a GDPRGard →
Fontes
- Autoridade neerlandesa de proteção de dados — coima à Clearview por recolha ilegal de dados de reconhecimento facial
- Clyde & Co — Lições da coima de 492.000 € em Hamburgo
- CEPD — a autoridade italiana multa o criador do chatbot Replika
- Financier Worldwide — Aplicação do RGPD: como os reguladores da UE estão a moldar a governação da IA
Leia também:
- O regulamento da IA já se aplica aos sistemas de alto risco — agora tem dois reguladores
- Porque toda a empresa SaaS precisa de uma AIPD antes de lançar funcionalidades de IA
- A IA é o maior risco de conformidade do RGPD em 2026