RGPD e LGPD em apps feitas com IA: o que tens de verificar
Por Guilherme Menezes. Última revisão: 6 de novembro de 2026.
Uma app feita com IA tem as mesmas obrigações que qualquer outra: se trata dados pessoais de pessoas na União Europeia aplica-se o RGPD, e no Brasil aplica-se a LGPD. O ponto mais ligado a estas falhas é a segurança: as duas leis exigem medidas adequadas, e uma fuga de dados pode obrigar-te a notificar a autoridade em prazos curtos. Este guia é informativo e não substitui aconselhamento jurídico.
A lei distingue apps feitas com IA?
Não para estes efeitos. Ter sido a IA a escrever o código não muda quem responde. Se a app é tua e decides para que servem os dados, as obrigações são tuas.
O que dizem as duas leis sobre segurança?
- RGPD, artigo 32: quem trata dados tem de aplicar medidas técnicas e organizativas adequadas ao risco.
- LGPD, artigo 46: os agentes de tratamento têm de adotar medidas de segurança, técnicas e administrativas, para proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas.
Na prática, uma tabela sem regras de acesso ou uma chave secreta no browser são difíceis de justificar como medidas adequadas. Por isso, as falhas técnicas têm também um lado legal.
E se houver uma fuga de dados?
Os prazos são diferentes:
- RGPD, artigo 33: notificação à autoridade até 72 horas depois de teres conhecimento da violação, salvo se for improvável que resulte em risco para as pessoas. Em Portugal, a autoridade é a CNPD.
- Brasil, Resolução CD/ANPD n.º 15/2024: comunicação à ANPD e às pessoas afetadas em 3 dias úteis, nos incidentes que possam causar risco ou dano relevante. Para agentes de pequeno porte, o prazo é contado em dobro.
Prepara isto antes de precisares: quem decide, como contactas as pessoas e que registos usas para perceber o que aconteceu.
O que devo verificar na minha app?
Dados que recolhes
- Sei que dados pessoais guardo, para quê e durante quanto tempo.
- Não recolho o que não uso.
- Não envio dados pessoais para registos nem para serviços de IA sem necessidade.
Serviços de terceiros
- Sei que fornecedores tratam os dados, como alojamento, email, pagamentos e modelos de IA.
- Verifiquei os contratos de tratamento de dados e as transferências para fora do país ou do Espaço Económico Europeu.
Direitos das pessoas
- Consigo exportar, corrigir e apagar os dados de uma pessoa quando ela o pede.
- A política de privacidade descreve o que a app faz mesmo.
Segurança
- Fiz os testes da checklist antes de lançar.
E os modelos de IA dentro da app?
Se a tua app envia texto de utilizadores para um modelo de IA, esse fornecedor passa a tratar esses dados. Confirma as condições dele, nomeadamente se usa os dados para treino e onde os trata, e descreve-o na política de privacidade.