Guia
Agentes de IA na sua empresa sob o RGPD e o AI Act da UE
O que o RGPD e o AI Act da UE exigem de uma empresa que roda agentes de IA, o que vale agora e o que chega em 2027, para onde vão seus dados e como projetar um agente mais fácil de manter em conformidade.
Atualizado em 2026-09-15
Um agente de IA lê seus e-mails, seus chamados e as mensagens dos seus clientes. Ele chama seus sistemas e às vezes age por conta própria. Na União Europeia, isso envolve duas leis: o RGPD (GDPR), que já se aplica integralmente, e o AI Act, que passa a se aplicar por etapas.
Este guia mostra o que cada uma exige de uma empresa que roda agentes e como projetar um agente mais fácil de manter dentro das duas.
AI Act: o que vale agora
Verificado em setembro de 2026. Esta é uma visão prática, não aconselhamento jurídico. Para decisões importantes, fale com um advogado ou com o seu encarregado de proteção de dados.
O AI Act entrou em vigor em 2024 e se aplica por etapas. Em julho de 2026, o Omnibus Digital sobre IA (Regulamento (UE) 2026/1744) adiou os prazos de alto risco. O cronograma hoje:
| Desde ou a partir de | O que se aplica |
|---|---|
| Fevereiro de 2025 | Práticas de IA proibidas estão vedadas |
| Agosto de 2025 | Obrigações para prestadores de modelos de IA de finalidade geral |
| 2 de agosto de 2026 | Obrigações de transparência (artigo 50) |
| 2 de dezembro de 2026 | Marcação de conteúdo gerado por IA, para sistemas já no mercado antes de agosto de 2026 |
| 2 de dezembro de 2027 | Obrigações para sistemas de IA de alto risco (Anexo III) |
| 2 de agosto de 2028 | Obrigações para IA dentro de produtos abrangidos pela legislação da UE de segurança de produtos (Anexo I) |
Transparência: isto se aplica a você hoje
Se as pessoas conversam com o seu agente, elas precisam saber que estão falando com uma IA, a menos que isso seja óbvio. Um bot de suporte no seu site, um assistente no WhatsApp, um agente que responde e-mails: cada um deveria dizer o que é.
O conteúdo que o seu agente gera, como áudio, imagens ou vídeo sintéticos e, em alguns casos, texto publicado para informar o público, tem deveres de rotulagem próprios.
O seu agente é de alto risco?
A maioria dos agentes empresariais não é. Um agente que faz a triagem de chamados de suporte, roda seus testes, redige relatórios ou responde perguntas sobre o seu produto está fora da lista de alto risco.
Isso muda se o agente ajuda a decidir coisas que afetam a vida das pessoas. As áreas de alto risco incluem:
- Emprego: triagem de currículos, classificação de candidatos, avaliação de desempenho, decisões de promoção ou demissão
- Crédito: avaliar se uma pessoa tem capacidade de crédito
- Seguros: precificação ou avaliação de risco para seguros de vida e de saúde
- Educação: admissões, atribuição de notas, monitoramento de alunos durante provas
- Serviços essenciais: decidir o acesso a benefícios públicos e serviços semelhantes
Se o seu agente atua em uma dessas áreas, planeje agora para dezembro de 2027. Gestão de riscos, governança de dados, documentação técnica, registro de eventos, supervisão humana e requisitos de exatidão levam tempo para construir.
RGPD: seu agente trata dados pessoais
Nada em um agente está isento do RGPD. Se ele lê um nome, um endereço de e-mail, um número de telefone ou um registro de cliente, ele trata dados pessoais, e as regras de sempre se aplicam.
O que isso significa para um agente
- Uma base legal para cada uso. O motivo pelo qual você guarda dados de clientes não cobre automaticamente enviá-los a um modelo de IA para uma nova finalidade.
- Só os dados de que a tarefa precisa. Um agente que responde perguntas sobre faturas não precisa do histórico completo do cliente em cada prompt.
- Um acordo de tratamento de dados com cada operador. Seu fornecedor de modelo de IA, seu provedor de hospedagem e sua plataforma de mensagens tratam dados pessoais em seu nome.
- Transferências para fora da UE. Se uma solicitação chega a um fornecedor de modelo fora da UE, isso é uma transferência internacional e precisa de uma base válida.
- Uma DPIA quando o risco é alto. Tecnologia nova usada em grande escala, dados sensíveis ou monitoramento sistemático costumam exigir uma avaliação de impacto sobre a proteção de dados.
- Pessoas nas decisões que importam. As pessoas têm o direito de não ficar sujeitas a nenhuma decisão tomada exclusivamente com base no tratamento automatizado que produza efeitos na sua esfera jurídica ou que as afete significativamente de forma similar.
- Regras de retenção para transcrições e memória. Agentes guardam registros de conversas e arquivos de memória. Eles precisam de um prazo de retenção como qualquer outro registro.
- Os direitos dos titulares dos dados incluem o agente. Quando alguém pede acesso aos seus dados ou a exclusão deles, os registros e a memória do agente fazem parte da resposta.
Siga os dados
Antes de tudo, desenhe o caminho que uma única solicitação percorre. Para um agente que atende clientes no WhatsApp, pode ficar assim:
One request, end to end
- The customer sends a messageAnother company
The messaging platform
- It reaches the agentYour hosting, EU
The machine the agent runs on
- A routine request is handled locallyNobody else
A local model on the same machine
- A hard request goes to a cloud modelMay leave the EU
The provider's servers
- The agent acts in your applicationYou
Your application and database
- The conversation is storedNeeds a retention period
Logs and agent memory
Every step with another company in it needs a processing agreement. Every step that can leave the EU needs a transfer basis.
Cada linha com outra empresa precisa de um acordo de tratamento. Cada linha fora da UE precisa de uma base para a transferência. Cada linha que armazena dados precisa de um prazo de retenção.
Escolhas de projeto que facilitam a conformidade
- Deixe um modelo local ver os dados pessoais primeiro. Um modelo pequeno na sua própria máquina pode classificar solicitações, extrair campos e remover nomes ou números de documentos antes que qualquer coisa seja enviada a um modelo na nuvem.
- Hospede o agente na UE. A máquina que guarda transcrições, memória e credenciais fica sob a legislação da UE.
- Escolha termos de API adequados a dados empresariais. Verifique os termos de retenção de dados e de treinamento de cada fornecedor para uso via API, e se o tratamento de dados na UE está disponível.
- Exija aprovação para ações com consequências. Enviar uma fatura, alterar um registro, responder a uma reclamação: deixe o agente preparar e uma pessoa confirmar.
- Mantenha uma trilha de auditoria. Para cada ação: qual solicitação a disparou, o que o agente decidiu, qual ferramenta chamou, o que mudou e quem aprovou.
- Dê ao agente credenciais restritas. Somente leitura quando possível, limitadas aos sistemas de que o trabalho precisa, fáceis de revogar.
- Modelos de IA locais no Mac mini: o que roda em cada tamanho de memória, para o primeiro deles
Checklist
AI Act
- Os usuários são informados quando interagem com o agente
- O conteúdo gerado por IA é rotulado onde exigido
- Você verificou se algum uso se enquadra em uma área de alto risco
- Se sim, você tem um plano para dezembro de 2027
GDPR
- Você sabe quais dados pessoais o agente lê, armazena e envia
- Cada uso tem uma base legal
- Há acordos de tratamento assinados com cada operador
- As transferências para fora da UE estão cobertas
- Foi feita uma DPIA onde o risco exige
- Decisões com efeitos significativos têm uma pessoa no processo
- Transcrições e memória têm um prazo de retenção
- Os pedidos de acesso e de exclusão abrangem os dados do agente
Operação
- Toda ação do agente é registrada
- Ações com consequências exigem aprovação
- As credenciais são restritas e revogáveis
- Sua Política de Privacidade cita os fornecedores de IA que você usa
Por que a MacDuty
- Hospedado na UE. Seu Mac e tudo o que está nele ficam na União Europeia, operados por uma empresa da UE.
- Um acordo de tratamento de dados mediante solicitação.
- Um cliente por Mac. As transcrições, a memória e as credenciais do seu agente ficam em um hardware que mais ninguém usa.
- Modelos locais na mesma máquina. Mantenha as solicitações de rotina, e os dados pessoais nelas, longe de serviços de IA de terceiros.
Fontes
Em estoque hoje
Estes estão no rack agora. Escolha um, veja o que vem com ele e crie sua conta só quando fizer o pedido.
Verificando os racks
Seu próprio Mac mini
Escolha uma configuração. Quando uma não estiver disponível, deixe seu e-mail e escrevemos no dia em que ela for para o rack.
Anual: pelo menos 19% menos do que pagar por mês
A seguir