Sabias que um documento colocado numa IA pode atravessar as fronteiras digitais da tua empresa em segundos? Descobre porquê e o que isso significa em Angola.
__
Tito Adriano Ndongala | 26.09.2026
Master’s student in Computer Engineering at ISCTE – University Institute of Lisbon.
Aprendizado
ChatGPT para resumir contratos, Gemini para analisar uma folha de Excel, Claude para rever uma proposta comercial e responder e-mails, analisar currículos, corrigir código ou preparar relatórios.
Tudo isto pode aumentar brutalmente a produtividade de uma empresa, mas sabias que o problema começa quando um funcionário sem qualquer orientação interna, pega numa folha salarial, contrato de cliente, processo clínico, código-fonte, relatório financeiro ou dossiê confidencial e simplesmente faz upload numa ferramenta de IA com a sua conta pessoal?
Nesse momento, a questão já não é saber se o prompt ficou bom, a empresa precisa saber para onde foi a informação.
Angola tem uma Lei de Protecção de Dados Pessoais — Lei n.º 22/11, de 17 de Junho. O artigo 30.º obriga quem trata dados pessoais a implementar medidas técnicas e organizativas capazes de impedir, entre outras coisas, acesso, divulgação, alteração ou utilização não autorizada dos dados. O artigo 32.º estabelece ainda sigilo profissional para quem, pelas suas funções, tenha acesso a informação pessoal.
E existe um ponto particularmente importante para as empresas que usam serviços digitais internacionais.
Os artigos 33.º e 34.º regulam a transferência internacional de dados pessoais. Dependendo do país para onde os dados são transferidos, do nível de proteção existente e das circunstâncias do tratamento, pode existir obrigação de notificação ou autorização da Agência de Protecção de Dados.
Portanto, colocar dados pessoais numa plataforma cloud estrangeira não deve ser uma decisão improvisada do funcionário, porém, isso não significa que qualquer utilização de ChatGPT seja automaticamente ilegal. Significa que a empresa precisa saber qual serviço está a utilizar, que dados envia, onde são tratados, quais contratos existem e que controlos estão ativos.
Não necessariamente, e esta distinção é importante para não transformar segurança em alarmismo.
A OpenAI afirma que, por defeito, não utiliza inputs e outputs do ChatGPT Business, Enterprise e da API para treinar os seus modelos. Os dados empresariais são também cifrados em trânsito e em repouso.
Já numa conta pessoal do ChatGPT, a utilização das conversas para melhoria dos modelos depende das configurações do utilizador, na qual é possível desativá-la.
A situação é semelhante noutros fornecedores. A Anthropic separa os produtos de consumo dos serviços abrangidos pelos seus termos comerciais, como Claude for Work e API. O Google afirma que, nas edições empresariais elegíveis do Workspace, os conteúdos utilizados com Gemini não são usados para treinar modelos fora do domínio sem autorização, e os administradores podem controlar o acesso aos dados corporativos, ou seja:
o problema não é simplesmente “cloud = inseguro”.
O problema é usar uma IA de consumo como se fosse uma infraestrutura empresarial aprovada.
Em 2023, a Samsung descobriu que funcionários tinham enviado código-fonte interno confidencial para o ChatGPT. A empresa acabou por restringir temporariamente ferramentas de IA generativa em equipamentos corporativos enquanto desenvolvia um ambiente mais controlado para uso interno.
Se isso aconteceu numa multinacional tecnológica, imagine uma empresa onde nunca ninguém explicou aos trabalhadores: “Isto pode entrar na IA. Isto não pode.”
É aí que entra a literacia.
Não. Devemos governá-lo.
Uma empresa angolana pode começar com regras muito simples:
- Classificar os dados público, interno, confidencial e altamente sensível.
- Definir ferramentas autorizadas, isto é, não deixar cada funcionário escolher a sua conta pessoal preferida.
- Proibir dados confidenciais em ferramentas não aprovadas.
- Para utilização cloud, avaliar produtos Business/Enterprise/API, contratos, retenção, localização do tratamento, controlos administrativos e obrigações perante a APD.
- Criar regras específicas para RH, jurídico, saúde, contabilidade, código-fonte e propriedade intelectual.
- Ativar MFA, controlo por função, logs, DLP e auditoria, quando disponíveis.
- E formar todos os funcionários, não apenas a equipa de TI.
Porque não adianta gastar milhões em firewall se alguém consegue copiar o conteúdo protegido e colá-lo manualmente num chatbot.
Aí uma empresa pode estudar outro modelo:
LLM privado ou local + RAG.
É possível executar modelos abertos dentro da própria infraestrutura utilizando tecnologias como Ollama para servir o modelo e uma arquitetura RAG para consultar documentos internos sem transformar necessariamente esses documentos em dados de treino.
Bases vetoriais como FAISS, Chroma ou alternativas empresariais podem fazer parte dessa arquitetura, mas há uma correção importante:
RAG não é fine-tuning.
No RAG, os documentos permanecem numa base consultável e o modelo recebe apenas os trechos necessários para responder. Fine-tuning altera o comportamento do modelo através de treino adicional e normalmente não é a primeira solução para simplesmente “ensinar os documentos da empresa”, e o “local” também não significa automaticamente seguro.
Uma instalação interna sem encriptação, autenticação, backups, patches, logs e controlo de acessos pode ser um desastre perfeitamente offline.
O caminho funcional para uma empresa angolana
Antes de comprar uma GPU, instalar Llama ou bloquear o ChatGPT inteiro, a empresa deveria fazer isto:
Auditoria – classificação dos dados – política de IA – ferramentas aprovadas – controlo de acessos – piloto – formação – monitorização.
Depois disso, decide-se tecnicamente onde cada caso deve funcionar:
Cloud empresarial, quando o risco é aceitável e existem garantias adequadas.
Infraestrutura privada/local, quando é necessário maior controlo.
Sem IA, quando a natureza dos dados ou o risco simplesmente não justificam.
Se uma empresa angolana quiser começar amanhã, a primeira pergunta nem sequer precisa ser tecnológica:
Que informação da nossa empresa os trabalhadores já estão a colocar em ferramentas de IA?
A resposta pode surpreender…
Para empresas angolanas que querem fazer isto corretamente o primeiro projeto não precisa ser instalar um servidor de IA, pode ser uma auditoria de utilização de IA em 7 passos: mapear ferramentas já usadas pelos funcionários, identificar os dados enviados, verificar requisitos da Lei n.º 22/11, separar casos cloud/local, criar uma política interna, configurar os controlos e formar a equipa, só depois se constrói o RAG, o assistente jurídico, o chatbot interno ou qualquer outra automação.
Resumindo, primeiro governar os dados e só depois acelerar com IA.
Então caro leitor, a tua empresa sabe exatamente que documentos os funcionários estão a enviar para ferramentas de IA?
VOTEUP — Sim. Empresas angolanas precisam urgentemente de políticas internas para uso de IA.
VOTEDOWN — Não. O risco está a ser exagerado e demasiadas regras podem travar a produtividade.
Lei n.º 22/11 de Protecção de Dados Pessoais de Angola, arts. 30.º, 32.º, 33.º e 34.º.
OpenAI — privacidade e tratamento de dados empresariais.
Google Workspace — proteção de dados no Gemini.
Anthropic — distinção entre produtos de consumo e serviços comerciais.
Bloomberg/TechCrunch — incidente da Samsung com código confidencial enviado ao ChatGPT.
Comentários
Incrível. 👏🏾👏🏾👏🏾👏🏾👏🏾👏🏾 necessita-se expandir mais essa informação
That was amazing
Para comentar, entra com a tua conta Google.