RGPD e inteligência artificial nos escritórios de advogados: o que é preciso garantir

Um escritório pode usar IA com dados de clientes ao abrigo do RGPD, desde que o fornecedor atue como subcontratante com contrato nos termos do artigo 28.º, os dados fiquem protegidos (de preferência na União Europeia), não sejam usados para treinar modelos e o escritório trate apenas os dados necessários. Quando a ferramenta trata dados sensíveis ou de processos penais em grande escala, deve ser feita uma avaliação de impacto (AIPD) antes de começar.

O Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) e a Lei n.º 58/2019, que o executa em Portugal, aplicam-se a qualquer ferramenta de IA que trate dados pessoais. Este guia explica as regras que mais pesam num escritório de advogados e o que perguntar a um fornecedor.

Em resumo

• Papéis: o escritório é responsável pelo tratamento; o fornecedor de IA é subcontratante e precisa de contrato (artigo 28.º).
• Princípios: só os dados necessários (minimização) e para a finalidade do mandato (artigo 5.º).
• Dados sensíveis: saúde, dados de processos penais e outras categorias especiais exigem cuidado acrescido (artigos 9.º e 10.º).
• Fora da UE: só com decisão de adequação ou garantias adequadas, como cláusulas contratuais-tipo (artigos 44.º a 49.º).
• AIPD: obrigatória quando o tratamento é suscetível de resultar num risco elevado (artigo 35.º).
• Treino de modelos: confirme por contrato que os seus dados não treinam modelos.

Quem é responsável pelos dados quando o escritório usa IA?

O escritório decide para que finalidades e com que meios trata os dados dos clientes, por isso é o responsável pelo tratamento. O fornecedor da ferramenta de IA trata os dados por conta do escritório e é subcontratante. O artigo 28.º exige um contrato que defina, entre outros pontos, que o subcontratante só trata os dados segundo instruções documentadas, garante a confidencialidade, aplica medidas de segurança, só recorre a outros subcontratantes com autorização e apaga ou devolve os dados no fim do serviço.

Se o fornecedor usar os dados para fins próprios, como treinar os seus modelos, deixa de agir apenas por conta do escritório. É por isso que o compromisso de não treinar modelos deve constar do contrato, e não apenas de uma página de marketing.

Que dados de clientes podem ser usados numa ferramenta de IA?

Os princípios do artigo 5.º aplicam-se a cada pedido:

• Minimização: use apenas os dados necessários para a tarefa. Para rever uma cláusula, raramente é preciso o nome do cliente.
• Limitação da finalidade: os dados recolhidos para um mandato servem esse mandato.
• Conservação limitada: saiba quanto tempo a ferramenta guarda os documentos e as conversas, e apague-os quando deixarem de ser necessários.

A pseudonimização (artigo 4.º, n.º 5) é uma das medidas mais úteis: substituir nomes, números de identificação e moradas por marcadores antes de usar um documento reduz o risco sem impedir a análise jurídica.

Dados sensíveis e dados de processos penais

Os escritórios tratam com frequência dados de saúde (sinistros, acidentes de trabalho, responsabilidade médica), dados sobre condenações e infrações (artigo 10.º) e outras categorias especiais (artigo 9.º). O artigo 9.º, n.º 2, alínea f), permite o tratamento necessário à declaração, ao exercício ou à defesa de um direito num processo judicial, mas não dispensa as medidas de segurança, a minimização nem, quando aplicável, a AIPD.

Quando é preciso fazer uma avaliação de impacto (AIPD)?

O artigo 35.º exige uma AIPD antes de um tratamento suscetível de implicar um risco elevado para os direitos das pessoas, em especial quando se usam novas tecnologias. É o caso típico de um escritório que passa a analisar com IA, de forma sistemática, documentos com dados de saúde ou dados de processos penais. A CNPD publica a lista de tratamentos que exigem AIPD em Portugal.

Uma AIPD descreve o tratamento, avalia a necessidade e a proporcionalidade, identifica os riscos e define as medidas para os reduzir. Um bom fornecedor deve dar-lhe a informação técnica necessária para a preencher.

Os dados podem sair da União Europeia?

Podem, mas só nas condições do capítulo V do RGPD (artigos 44.º a 49.º): para um país com decisão de adequação, como os Estados Unidos para as empresas certificadas no EU-US Data Privacy Framework, ou com garantias adequadas, como as cláusulas contratuais-tipo da Comissão Europeia.

Atenção a uma distinção frequente: um fornecedor pode alojar os documentos na UE e processar o texto num modelo de IA fora da UE. Ambos contam como transferência. Pergunte onde os dados ficam e onde são processados.

Segurança e violações de dados

O artigo 32.º exige medidas técnicas e organizativas adequadas ao risco, como cifragem, controlo de acessos e testes regulares. Se houver uma violação de dados pessoais, o escritório tem de a notificar à CNPD no prazo de 72 horas (artigo 33.º) e, se o risco for elevado, informar os titulares (artigo 34.º). O contrato deve obrigar o fornecedor a avisar o escritório sem demora.

As coimas podem chegar a 20 milhões de euros ou 4 % do volume de negócios anual mundial (artigo 83.º). Além do RGPD, aplica-se o segredo profissional previsto no artigo 92.º do Estatuto da Ordem dos Advogados.

Perguntas a fazer a um fornecedor de IA

1. Assina um contrato de subcontratação nos termos do artigo 28.º do RGPD?
2. Onde são alojados os dados e onde são processados pelo modelo de IA?
3. Os meus documentos ou conversas são usados para treinar modelos, seus ou de terceiros?
4. Que subcontratantes usa e como sou informado de alterações?
5. Quanto tempo guarda os dados e como os apago?
6. Que certificações tem (por exemplo, ISO 27001) e qual o seu âmbito?
7. Em quanto tempo me avisa de uma violação de dados?

Para comparar fornecedores lado a lado, veja a comparação das ferramentas de IA jurídica em Portugal. As obrigações do regulamento europeu da IA estão no guia AI Act para advogados.

Como a Mowly trata os dados

A Mowly é uma assistente jurídica com IA para advogados e sociedades de advogados. Aloja os dados na União Europeia, tem certificação ISO 27001, não usa os documentos dos clientes para treinar modelos e inclui uma funcionalidade de pseudonimização para retirar dados pessoais de um documento antes de o partilhar. Veja os detalhes em segurança e conformidade.

Perguntas frequentes

Os advogados podem usar IA com dados de clientes ao abrigo do RGPD?

Sim, desde que o fornecedor atue como subcontratante com contrato nos termos do artigo 28.º, o escritório use apenas os dados necessários, as transferências para fora da UE tenham base legal e os dados não sejam usados para treinar modelos. Quando o risco é elevado, é preciso uma avaliação de impacto.

O fornecedor de IA é responsável pelo tratamento ou subcontratante?

Normalmente é subcontratante, porque trata os dados por conta do escritório e segundo as suas instruções. Se usar os dados para fins próprios, como treinar modelos, passa a decidir sobre esse tratamento e o enquadramento muda.

É obrigatório fazer uma AIPD para usar IA no escritório?

É obrigatória quando o tratamento é suscetível de implicar um risco elevado, por exemplo a análise sistemática com IA de documentos com dados de saúde ou de processos penais. A CNPD publica a lista de tratamentos que exigem AIPD.

Usar uma ferramenta de IA americana viola o RGPD?

Não necessariamente. A transferência é lícita se a empresa estiver certificada no EU-US Data Privacy Framework ou se houver garantias adequadas, como cláusulas contratuais-tipo. Confirme onde os dados são alojados e onde são processados pelo modelo.

O que é a pseudonimização e porque ajuda?

É substituir os dados que identificam uma pessoa, como nomes ou números de identificação, por marcadores, guardando a correspondência à parte (artigo 4.º, n.º 5, do RGPD). Reduz o risco de usar um documento numa ferramenta de IA sem impedir a análise jurídica.