Prefere ouvir? Carregue em play para ouvir a narração por IA

As páginas de ajuda do WhatsApp continham texto oculto que instruía o seu chatbot de apoio com IA a não encaminhar os utilizadores para as autoridades de proteção de dados e, em pelo menos uma página, a não citar o RGPD. O serviço de mensagens da Meta removeu o texto a 18 de outubro de 2026, um dia antes de os investigadores que o encontraram publicarem as suas conclusões.

Nenhuma autoridade disse que as instruções violavam a lei, e muitas perguntas continuam em aberto. Mas o episódio toca na parte do RGPD que torna os direitos das pessoas utilizáveis na prática, e qualquer empresa com um bot de apoio pode aprender com ele. Este artigo é apenas informativo e não constitui aconselhamento jurídico.

102
Blocos de instruções ocultos encontrados
80 / 545
Páginas de ajuda que os continham
18 out.
Retirados das páginas em linha
10 dias
Em linha depois de os investigadores os encontrarem

O que estava oculto

As instruções estavam no HTML das páginas de ajuda do WhatsApp e nunca eram mostradas no ecrã. A Redact, uma empresa de software de eliminação de dados, encontrou-as ao analisar 545 páginas de ajuda. Contou 102 blocos ocultos distribuídos por 80 dessas páginas.

O texto dependia da página:

Cronologia

De acordo com a cobertura que analisámos, a nota foi adicionada às páginas entre 12 de julho e 4 de setembro de 2026 (as cópias arquivadas da página de eliminação diferem nessas datas) e continuou em linha dez dias depois de a Redact a encontrar.

A resposta do WhatsApp

O WhatsApp disse que as instruções se destinavam ao seu chatbot e não diretamente aos utilizadores, e atribuiu a sua exposição a um erro, entretanto corrigido. Acrescentou que quer que o chatbot evite dar aconselhamento jurídico. Jornalistas tinham contactado a Meta antes da publicação, e o WhatsApp retirou o texto antes de a WIRED ou a Redact publicarem.

Várias perguntas continuam em aberto. Não se sabe se o chatbot seguiu de facto as instruções ocultas. O WhatsApp chama erro ao texto mas, na cobertura analisada, não disse como chegou a 80 páginas nem quem o escreveu. Até agora não há notícia de qualquer ação ou declaração de uma autoridade.

Porque importa à luz do RGPD

Esta secção é a nossa análise, não uma conclusão de qualquer autoridade.

O artigo 12.º, n.º 2, obriga os responsáveis pelo tratamento a facilitar o exercício dos direitos dos titulares, incluindo o apagamento. Uma página de eliminação cujo chatbot foi instruído a não mencionar a eliminação manual nem os reguladores encaixa mal neste dever. O artigo 13.º, n.º 2, alínea d), exige que se informe as pessoas de que podem apresentar reclamação a uma autoridade de controlo. O texto oculto afastava o bot de apoio exatamente dessa informação.

A contradição é visível nos próprios documentos do WhatsApp: a sua política de privacidade europeia diz aos utilizadores que podem reclamar junto da Data Protection Commission irlandesa ou de outra autoridade de controlo. Quem perguntou ao chatbot pode não ter ouvido o mesmo.

O caso mostra também um novo tipo de risco. O problema não foi o que o modelo disse, mas o que um prompt oculto lhe mandou não dizer. Uma empresa pode ser totalmente transparente nos seus textos legais e, ainda assim, afastar os utilizadores dos seus direitos nas ferramentas de apoio.

O que devem fazer as empresas que usam bots de apoio com IA

Qualquer empresa que ponha um chatbot diante dos clientes pode cometer o mesmo erro sem má intenção. Algumas verificações detetá-lo-iam:

  1. Audite o que o bot lê. Reveja os prompts de sistema, o texto oculto das páginas e as notas da base de conhecimento, não apenas o que os clientes veem.
  2. Mantenha disponíveis as respostas sobre direitos. O bot deve conseguir sempre explicar como exercer os direitos de acesso, apagamento e oposição e como reclamar junto de uma autoridade de controlo.
  3. Separe aconselhamento jurídico de factos. Não deixe que as barreiras contra o aconselhamento jurídico bloqueiem informação factual sobre direitos. Indicar um regulador é informação, não aconselhamento jurídico.
  4. Teste com perguntas sobre direitos. Pergunte «como elimino os meus dados?» e «a que autoridade posso reclamar?» antes de cada lançamento.
  5. Versione o conteúdo. Guarde o histórico de tudo o que o bot ingere, para poder demonstrar quando e por quem foi feita uma alteração.

Se o seu bot trata dados pessoais, a AIPD é o local natural para registar estas verificações. Veja o nosso guia de AIPD para chatbots com IA.

Em resumo

Quer o chatbot tenha seguido ou não as instruções ocultas, a lição mantém-se: a transparência tem de valer em todos os canais onde as pessoas fazem perguntas, incluindo os de IA. Marque uma consulta gratuita com a GDPRGard → e ajudamo-lo a verificar o que o seu bot de apoio pode dizer.

Fontes

A análise do RGPD, incluindo os artigos 12.º, n.º 2, e 13.º, n.º 2, alínea d), é a nossa leitura do regulamento e não uma citação das fontes.

Partilhar este artigo

Leia também:

⚠️ Este artigo destina-se apenas a fins informativos e não constitui aconselhamento jurídico. Para situações de conformidade complexas, consulte um profissional qualificado em proteção de dados. Os requisitos do RGPD e do Regulamento europeu de IA estão sujeitos a orientações regulatórias em constante evolução — verifique as suas obrigações atuais com o seu consultor jurídico.