Bases de conhecimento de IA e confidencialidade: 7 perguntas que todo prestador de serviços deve fazer antes de gravar conversas com clientes

Por que este artigo

Uma base de conhecimento de IA que grava, transcreve e torna pesquisáveis conversas com clientes representa um grande ganho de produtividade para prestadores de serviços. Já escrevemos anteriormente sobre como bases de conhecimento de IA por projeto finalmente se tornam inteligentes a partir da sua empresa — mas, assim que você começa a captar voz, vídeo ou chat, a conversa muda de "ferramenta útil" para "avaliação jurídica".

Este artigo é uma checklist de sete perguntas às quais você precisa saber responder antes de implementar uma ferramenta como Symphoria (parceira da Wux Webtools e a plataforma que nós mesmos usamos) ou uma alternativa. As perguntas baseiam-se no GDPR, no EU AI Act, nas orientações do EDPB e na prática diária de prestadores de serviços neerlandeses que querem manter-se em conformidade sem que a conformidade paralise o trabalho.

O contexto: você é um prestador de serviços — consultoria, desenvolvimento, agência de marketing, contabilidade — que ajuda clientes em projetos que duram meses e geram dezenas de conversas. Você quer que uma IA resuma essas conversas, extraia itens de ação e responda a perguntas como "o que o cliente disse na semana passada sobre o orçamento?". Isso é possível. Mas não sem estas sete respostas.

1. Quem dá consentimento para a gravação — e como você registra isso?

O GDPR exige uma base legal para todo tratamento de dados pessoais (Art. 6). Para gravações de conversas, normalmente você precisa de consentimento (Art. 6(1)(a)) ou de interesse legítimo (Art. 6(1)(f)). O consentimento deve ser prévio, específico, informado e dado livremente (Art. 7). Isso significa: nada de caixas pré-marcadas, nada de cláusulas escondidas em termos e condições e, certamente, nada de "gravamos salvo objeção".

O que você deve procurar: Um momento claro de opt-in antes que a primeira conversa seja gravada. Isso pode ser uma checkbox no onboarding do projeto ("Concordo com a gravação de reuniões para fins de documentação do projeto e suporte por IA"), uma confirmação verbal no início de uma chamada ("Esta chamada está sendo gravada para a nossa base de conhecimento interna — você concorda?"), ou um e-mail de consentimento separado. O consentimento deve ser registrado: quem, quando, para qual finalidade e com qual redação.

Como a Symphoria resolve isso: A Symphoria oferece uma camada de consentimento por projeto. Antes de uma gravação começar, o sistema pede explicitamente o consentimento de todos os participantes. Esse consentimento é armazenado com data e hora e endereço IP, e pode ser retirado por projeto. Isso facilita o cumprimento do Art. 7(3) do GDPR ("deve ser tão fácil retirar quanto dar o consentimento").

2. Onde os dados são armazenados fisicamente, e qual lei se aplica?

Em princípio, o GDPR proíbe transferências de dados pessoais para países fora do EEE sem salvaguardas adequadas (Arts. 44-50). Após o acórdão Schrems II (2020), as Cláusulas Contratuais-Tipo (SCCs) já não são suficientes se a parte receptora estiver sujeita a legislação de vigilância como a FISA 702 nos EUA. O EU AI Act (2024) acrescenta outra camada: sistemas de IA de alto risco devem cumprir requisitos de transparência e auditoria que são difíceis de aplicar se os dados forem armazenados fora da UE.

O que você deve procurar: Uma declaração clara sobre onde os dados são armazenados fisicamente (qual data center, qual país), quais subcontratantes têm acesso e se essas partes estão sujeitas a legislação de vigilância não europeia. Idealmente: armazenamento dentro da UE, com um fornecedor que não tenha uma empresa-mãe nos EUA ou que ofereça explicitamente um modo "EU-only".

Como a Symphoria resolve isso: A Symphoria opera inteiramente em infraestrutura europeia (AWS eu-west-1, Frankfurt) e não usa subcontratantes dos EUA para armazenar ou processar transcrições. Isso facilita o cumprimento do Schrems II sem avaliações de impacto complexas.

3. Qual modelo processa as transcrições, e elas são usadas para treinamento?

A maioria das bases de conhecimento de IA usa um LLM externo (OpenAI, Anthropic, Google) para processar transcrições. Isso levanta duas perguntas: (1) as transcrições são usadas para treinar o modelo? e (2) quem tem acesso aos prompts e às respostas? Os termos da API da OpenAI afirmam desde março de 2023 que os dados enviados via API não são usados para treinamento — a menos que você opte explicitamente por participar de um programa separado. Mas essa garantia não se aplica a todos os fornecedores e, certamente, não a acessos gratuitos ou de "pesquisa".

O que você deve procurar: Uma declaração explícita de que as transcrições não são usadas para treinamento de modelos e que, após o processamento, deixam de estar acessíveis ao fornecedor do LLM. Isso deve estar incluído no acordo de tratamento de dados, não apenas em uma FAQ. Bônus: a plataforma usa um modelo que você pode hospedar por conta própria (por exemplo, Llama, Mistral) ou um fornecedor europeu com uma cláusula estrita de não treinamento.

Como a Symphoria resolve isso: A Symphoria usa a API da OpenAI com um Business Associate Agreement (BAA) e uma cláusula de não treinamento. As transcrições são processadas via API, mas não são armazenadas pela OpenAI e não são incluídas em versões futuras do modelo. Isso está explicitamente indicado na lista de subcontratantes.

4. Por quanto tempo você retém gravações e embeddings, e quem pode apagá-los?

O GDPR exige que os dados pessoais não sejam mantidos por mais tempo do que o necessário para a finalidade para a qual foram coletados (Art. 5(1)(e): limitação da conservação). Para uma base de conhecimento de IA, isso significa que você deve ser capaz de explicar por que uma gravação de seis meses atrás ainda é relevante e deve ter um processo para apagar dados antigos. Isso também se aplica a dados derivados: embeddings (representações vetoriais de texto) são dados pessoais se puderem ser rastreados até um indivíduo.

O que você deve procurar: Um período de retenção configurável por projeto (por exemplo, "apagar automaticamente gravações após 12 meses"), um botão que permita a um gestor de projeto apagar manualmente uma gravação e uma garantia de que a eliminação também afeta os embeddings e índices — não apenas o arquivo de áudio. Idealmente: um log de auditoria que mostre quando algo foi apagado e por quem.

Como a Symphoria resolve isso: A Symphoria oferece uma "política de retenção" por projeto. Você pode configurar gravações para serem apagadas automaticamente após X meses, incluindo transcrições e embeddings. A eliminação manual é possível pela interface do projeto, e toda eliminação é registrada na trilha de auditoria.

5. Quais logs de auditoria estão disponíveis — um cliente poderá ver depois o que aconteceu com a "sua" conversa?

A transparência é um princípio central do GDPR (Art. 5(1)(a)). Isso significa que você deve ser capaz de explicar o que fez com os dados de alguém — mesmo depois do fato. Para uma base de conhecimento de IA, isso significa que você deve ser capaz de mostrar quais gravações foram feitas, quem as visualizou, quais consultas foram executadas e se os dados foram exportados ou apagados. Sem logs de auditoria, você não consegue responder a essas perguntas e corre o risco de multas em caso de violação de dados ou reclamação.

O que você deve procurar: Um log de auditoria por projeto que acompanhe pelo menos: (1) quem iniciou uma gravação, (2) quem visualizou uma transcrição, (3) quais consultas foram executadas na base de conhecimento, (4) se dados foram exportados e (5) se dados foram apagados. Esse log deve ser pesquisável e retido por pelo menos 12 meses (por mais tempo se você atuar em um setor regulado).

Como a Symphoria resolve isso: A Symphoria registra todas as ações no nível do projeto: gravações, visualizações, consultas, exportações e eliminações. Esses logs são acessíveis ao proprietário do projeto e podem ser exportados como CSV. Isso facilita o cumprimento de um pedido de acesso (Art. 15 do GDPR) ou a investigação de um incidente.

6. Qual é a estratégia de saída? (Você consegue exportar a sua base de conhecimento em um formato aberto?)

O aprisionamento a fornecedor é um risco em qualquer ferramenta SaaS, mas com uma base de conhecimento de IA é particularmente doloroso: você coletou meses de conversas, transcrições e metadados e, se não puder exportá-los, perde esse conhecimento. O GDPR dá a você o direito à portabilidade dos dados (Art. 20), mas isso se aplica apenas aos dados que você mesmo forneceu — não a dados derivados, como embeddings ou resumos. Ainda assim, é prudente exigir que você possa exportar tudo, em um formato que possa importar para outro fornecedor.

O que você deve procurar: Um botão de exportação que lhe dê pelo menos: (1) todos os arquivos de áudio ou vídeo, (2) todas as transcrições em texto simples ou JSON, (3) todos os metadados (timestamps, participantes, tags) e (4) idealmente também os embeddings em um formato aberto, como Parquet ou JSONL. Bônus: a exportação é automatizada e pode ser agendada (por exemplo, backup semanal para o seu próprio bucket S3).

7. Quem é o subcontratante, quem é o responsável pelo tratamento, e isso está documentado em um acordo de tratamento de dados?

O GDPR distingue entre o responsável pelo tratamento (a parte que determina por que e como os dados pessoais são tratados) e o subcontratante (a parte que trata dados em nome do responsável pelo tratamento). Como prestador de serviços, você normalmente é o responsável pelo tratamento, e a base de conhecimento de IA é o subcontratante. Isso significa que você precisa de um acordo de tratamento de dados (Art. 28 do GDPR) que estabeleça precisamente o que o subcontratante pode fazer, por quanto tempo, com quais subcontratantes subsequentes e o que acontece em caso de violação de dados.

O que você deve procurar: Um Data Processing Agreement (DPA) que cumpra o Art. 28(3) do GDPR. Ele deve incluir pelo menos: (1) o objeto e a duração do tratamento, (2) a natureza e a finalidade do tratamento, (3) o tipo de dados pessoais e as categorias de titulares dos dados, (4) os direitos e obrigações do responsável pelo tratamento, (5) uma lista de subcontratantes e (6) um procedimento para violações de dados. Esse acordo deve ser assinado antes de você começar a gravar.

Como a Symphoria resolve isso: A Symphoria oferece um DPA padrão que cumpre o Art. 28 do GDPR. Você pode assiná-lo pela interface da plataforma, e ele é atualizado automaticamente quando um novo subcontratante é adicionado. Isso facilita manter a conformidade sem envolver uma equipe jurídica a cada vez.

Checklist TL;DR

• Consentimento: Registre consentimento prévio e específico — com timestamp e opção de retirada.
• Armazenamento: Verifique se os dados são armazenados dentro da UE e não estão sujeitos a legislação de vigilância não europeia.
• Treinamento: Exija uma garantia explícita de que as transcrições não são usadas para treinamento de modelos.
• Retenção: Defina um período de retenção e garanta que a eliminação também afete embeddings.
• Auditoria: Exija logs de quem visualizou, consultou e apagou o quê.
• Exportação: Verifique se você pode exportar todos os dados em um formato aberto.
• DPA: Assine um acordo de tratamento de dados antes de começar a gravar.

O que isso significa para a sua organização

Se você consegue responder a estas sete perguntas, está no caminho certo. Mas atenção: conformidade não é uma checklist feita uma única vez. O GDPR exige que você verifique regularmente se ainda cumpre os requisitos (Art. 24: "medidas técnicas e organizacionais adequadas"), e o EU AI Act acrescenta outra camada para sistemas de alto risco. Isso significa: auditorias periódicas, DPIAs para novos casos de uso e um processo para responder a pedidos de acesso e violações de dados.

Quer ver como isso funciona na prática? Leia uma semana com uma base de conhecimento de IA: como ela muda o trabalho de um gestor de projeto em um prestador de serviços — um caso narrativo no qual mostramos exatamente como essas perguntas surgem na prática diária.

A principal lição: uma base de conhecimento de IA só se torna um ganho de produtividade se você preservar a confiança dos seus clientes. E você conquista essa confiança fazendo — e sendo capaz de responder — estas perguntas antes de pressionar "gravar".