O que «conforme à proteção de dados» realmente significa para IA
Muitos provedores de IA anunciam conformidade com o RGPD ou localizações de servidores na UE. Isso soa tranquilizador — e ainda é insuficiente. A proteção de dados em IA depende de três fatores: localização do servidor, entidade legal do provedor e base contratual.
Uma localização de servidor em Frankfurt ou Genebra ajuda pouco se o provedor é uma empresa americana. Empresas americanas estão sujeitas ao CLOUD Act — independentemente de onde estão seus servidores. Isso se aplica igualmente à OpenAI, Microsoft (Azure), Google (GCP) e Amazon (AWS).
A questão decisiva, portanto, não é «onde está o servidor?» — mas: «Qual lei governa a empresa que processa meus dados?»
O chatbot de IA como exemplo concreto
Um chatbot de site é um bom exemplo porque coloca as questões de proteção de dados em foco. Cada conversa flui por uma API de inferência de IA — e ao fazê-lo, potencialmente coleta dados pessoais: nomes, endereços de e-mail, assuntos, intenções de compra.
A maioria dos gateways de IA no mercado — inclusive aqueles com marca europeia — são empresas americanas. Isso significa: mesmo que o servidor esteja em Frankfurt, a lei americana governa a empresa que o opera. O CLOUD Act se aplica.
O que inicialmente parece um problema puramente técnico é, na verdade, uma questão legal. E pode ser resolvida — com a escolha certa do provedor. Como um chatbot de IA conforme à proteção de dados é concretamente construído é abordado em um artigo separado.
O CLOUD Act — o risco subestimado
O CLOUD Act (Clarifying Lawful Overseas Use of Data Act) é uma lei federal americana de 2018. Ele autoriza as autoridades americanas a exigirem acesso a dados de empresas americanas — independentemente de onde os dados estão armazenados.
O que isso significa na prática: uma empresa americana que armazena dados em servidores europeus ainda deve fornecer acesso a uma autoridade americana. Não é obrigada a informar você ou os indivíduos afetados sobre isso.
Esse não é um cenário hipotético. As autoridades americanas usam ativamente essa possibilidade. Para PMEs suíças com obrigações de proteção de dados perante clientes, funcionários ou autoridades, esse é um risco legal real.
Um Acordo de Processamento de Dados (APD) com um provedor americano reduz seu risco de conformidade no papel. Mas não protege contra o acesso governamental americano aos dados. O APD regula o que o provedor pode fazer com seus dados — não o que ele deve fazer sob instrução do governo americano.
Uma subsidiária europeia protege contra o CLOUD Act?
Um contraargumento comum: a Microsoft opera a Microsoft Ireland, o Google tem a Google Ireland Limited, a Amazon tem a Amazon EU SARL. Não são empresas europeias sob lei europeia?
Não — não segundo o CLOUD Act. A lei aplica-se explicitamente a empresas americanas e todas as entidades por elas controladas. «Controle» significa que a empresa-mãe pode dar instruções à subsidiária. Isso é definitivamente verdade em relação a subsidiárias.
Uma autoridade americana obtém uma ordem contra a Microsoft Corp — não contra a Microsoft Ireland. A Microsoft Corp então instrui a Microsoft Ireland a fornecer os dados. A empresa-mãe tem tanto a obrigação legal quanto os meios técnicos para cumprir. O descumprimento arrisca desacato ao tribunal. A localização do servidor e o registro europeu da subsidiária não alteram nada nessa lógica.
A subsidiária europeia pode recusar o acesso americano aos dados?
Teoricamente sim — e aqui existe um conflito legal genuíno e não resolvido. O RGPD Art. 48 estabelece que transferências de dados para países terceiros com base em ordens governamentais estrangeiras devem ocorrer por canais MLAT ou acordos reconhecidos — não por compulsão direta. Uma subsidiária europeia tem portanto uma base legal para recusar.
Três razões pelas quais isso não oferece proteção real na prática:
O tribunal americano compele a empresa-mãe — não a subsidiária. A ordem é dirigida à Microsoft Corp. A empresa-mãe tem a obrigação de cumprir e o risco em caso de recusa.
Não existe um acordo bilateral EU-EUA sobre o CLOUD Act. A lei inclui uma cláusula de «governo estrangeiro qualificado»: se um país assinou um acordo bilateral com os EUA, provedores podem contestar ordens que conflitem com a lei desse país. O Reino Unido assinou tal acordo em 2022. A UE não. Sem esse acordo, não há caminho formalizado para bloquear ordens americanas.
O conflito recai sobre a empresa. Cumprir o CLOUD Act viola o RGPD Art. 48. Recusar arrisca desacato ao tribunal para a empresa-mãe. A Microsoft e a AWS tentam criar arquiteturas «EU Sovereign Cloud» que impedem tecnicamente o acesso de funcionários americanos aos dados europeus. Nenhum tribunal reconheceu isso como barreira legal.
Residência de dados ≠ soberania de dados. «Residência de dados» refere-se a onde os dados estão fisicamente armazenados. «Soberania de dados» refere-se a quem detém o controle legal final. Subsidiárias europeias garantem a primeira. Apenas a ausência de uma empresa-mãe americana na cadeia de controle elimina o CLOUD Act.
Três níveis de risco em perspectiva
Nem toda solução de IA carrega o mesmo risco. Uma estrutura de três níveis ajuda na tomada de decisão — dependendo dos dados processados e dos requisitos de conformidade aplicáveis.
| Nível 1: SaaS americano direto | Nível 2: Modelo americano, roteamento EU | Nível 3: Nativo EU/CH | |
|---|---|---|---|
| Localização do servidor | EUA | UE (varia) | UE/Suíça |
| Entidade legal | Empresa americana | Empresa americana | Empresa UE/CH |
| Risco CLOUD Act | Alto | Médio | Nenhum |
| Exemplos conhecidos | OpenAI, Anthropic, Google | Requesty EU, AWS Bedrock EU | Mistral, Infomaniak, Scaleway |
| APD disponível | Sim | Sim | Sim |
| Para dados sensíveis | Não recomendado | Com limitações | Recomendado |
Classificação legal em abril de 2026.
Nível 1: SaaS americano direto — quando é aceitável?
Provedores americanos diretos como OpenAI, Anthropic ou Google não são proibidos per se. O que importa é quais dados você processa.
Aceitável para: dados não pessoais (informações publicamente disponíveis, textos genéricos), uso interno sem dados pessoais, ou testes pontuais sem persistência de dados.
Não aceitável para: dados de clientes (nomes, e-mail, histórico de compras), dados de funcionários (candidaturas, informações salariais), dados de saúde ou financeiros, e documentos confidenciais com segredos empresariais.
A OpenAI oferece aos clientes empresariais uma opção de residência de dados na UE. Os dados ficam então em servidores europeus — mas a empresa continua sendo americana. O CLOUD Act continua a se aplicar. A hospedagem de dados na UE reduz ligeiramente o risco sem eliminá-lo.
Nível 2: Modelos americanos com roteamento pela UE
Os provedores do Nível 2 são gateways baseados na UE ou plataformas em nuvem que disponibilizam modelos americanos por meio de infraestrutura europeia. Isso parece o melhor dos dois mundos — mas tem uma limitação estrutural.
O Requesty EU, por exemplo, roteia solicitações por um nó em Frankfurt (AWS eu-central-1). Isso reduz a latência e mantém a residência de dados na UE. Mas a empresa por trás do Requesty está incorporada nos EUA. O CLOUD Act continua a se aplicar.
O EUrouter — também posicionado como alternativa europeia — é um produto white-label do Requesty. Juridicamente idêntico, apesar do branding europeu.
O Nível 2 é uma posição intermediária pragmática. Frequentemente suficiente para dados não sensíveis e requisitos moderados de conformidade. Quem processa categorias especiais de dados sob o revDSG deve escolher o Nível 3.
Nível 3: Soluções nativas da UE e da Suíça
Os provedores do Nível 3 estão juridicamente incorporados na UE ou na Suíça e operam sua infraestrutura nesses locais. O CLOUD Act não se aplica. A lei de proteção de dados da UE/CH aplica-se integralmente. Isso os torna a opção mais segura para dados pessoais e sensíveis.
Mistral AI — França
Infomaniak AI Tools — Suíça
Scaleway Generative APIs — França
Apertus — Suíça (em desenvolvimento)
Lista de verificação: O que esclarecer antes de usar IA
Antes de implantar um serviço de IA em produção, questões fundamentais devem ser esclarecidas. Isso se aplica independentemente do provedor — revDSG e RGPD exigem decisões demonstráveis, não boas intenções. Uma consulta rápida ajuda a encontrar o ponto de partida certo.
Antes de começar
O que o revDSG exige concretamente de vocês
A Lei Federal de Proteção de Dados revisada (revDSG), em vigor desde setembro de 2023, estabelece requisitos concretos para o uso de IA. Três deles são particularmente relevantes para as PMEs suíças.
Obrigação de informação. Se vocês processam dados pessoais com IA, os titulares dos dados devem ser informados — de forma ativa e compreensível, não apenas nas letras miúdas da política de privacidade.
Base legal. Todo processamento requer uma base: consentimento, contrato ou interesse legítimo. Com sistemas de IA, isso frequentemente está mal documentado — especialmente quando dados fluem para provedores terceiros.
Transferência para terceiros países. Se dados são transferidos para países sem proteção equivalente (EUA), salvaguardas adicionais são necessárias. Cláusulas Contratuais Padrão (CCPs) são uma opção — mas podem não ser suficientes para provedores americanos devido ao CLOUD Act. O Comissário Federal de Proteção de Dados (PFPDT) deixou claro: o revDSG é aplicado com os mesmos instrumentos que o RGPD na UE — incluindo multas.
Comecem pelo registro de tratamento. Documentem quais ferramentas de IA utilizam, quais dados fluem e em que base legal. Isso não é um exercício burocrático — é a base sobre a qual podem demonstrar, quando necessário, que tomaram uma decisão cuidadosa. Uma hora de esforço poupa muitas horas de explicações ao PFPDT.
Infográfico: 3 Níveis de Risco para Privacidade de Dados com IA
Obrigado. O download começará em breve.
Conclusão: Conformidade não é uma declaração de certificado
«Conforme ao RGPD» e «servidor na UE» no painel do fornecedor significam pouco sem examinar o CLOUD Act. A questão decisiva é: qual lei governa a empresa — não: onde está o servidor.
Para PMEs suíças sem departamento jurídico especializado: o Nível 3 é a escolha segura para dados sensíveis. Mistral (França) oferece modelos frontier sem risco de CLOUD Act. Infomaniak (Suíça) oferece controle local máximo para tarefas padrão.
Para muitas aplicações do dia a dia — rascunhos de textos, resumos internos, pesquisa sem dados de clientes — o Nível 1 é pragmaticamente defensável desde que não haja dados pessoais envolvidos.
A boa notícia: alternativas conformes à UE e à Suíça existem, estão prontas para produção e não são mais caras que seus equivalentes americanos. A decisão não é uma questão de orçamento — é uma questão de conhecimento. Quem conhece as opções pode escolher com confiança. E quem precisa de suporte com a integração de IA pode encontrá-lo sem comprometer a proteção de dados.
Qual provedor se adequa ao seu setup e o que exatamente precisa ser documentado — isso pode ser esclarecido em uma conversa rápida. Sem jargão técnico, adaptado à sua situação.
