O que a Lei de IA da UE não diz aos fundadores sobre dados de treinamento

O Artigo 50 da Lei de IA da UE exige que um sistema de IA divulgue que uma pessoa está conversando com uma máquina. Ele não diz nada sobre o que acontece com essa conversa após a divulgação ser feita.

Os fundadores que constroem produtos em cima de um modelo de base se concentram na precisão e no preço. A questão do que acontece com os dados dos usuários após deixarem o produto e serem processados por um modelo de terceiros raramente surge durante a seleção de fornecedores.

A regra se tornou aplicável em 2 de agosto de 2026, e as multas por não conformidade podem chegar a €15 milhões ou 3% do faturamento anual global, o que for maior. A retenção e o treinamento estão completamente fora de seu escopo. Se o seu aplicativo envia conversas de usuários para um modelo de terceiros, as práticas de dados desse fornecedor se tornam parte do seu produto, independentemente de você ter intenção ou não.

A Configuração Padrão da Indústria é Treinamento, Não Perguntar

Pesquisadores do Instituto de IA para Humanos da Stanford revisaram as políticas de privacidade de seis grandes desenvolvedores de IA dos EUA, incluindo Amazon, Anthropic, Google, Meta, Microsoft e OpenAI, e descobriram que todos eles usavam dados de conversa de clientes por padrão para treinar seus modelos, com alguns retenção desses dados indefinidamente. A pesquisadora líder Jennifer King foi direta quando perguntada se os usuários de sistemas de chat de IA deveriam se preocupar com sua privacidade, respondendo “absolutamente sim”. Portanto, o treinamento deve ser tratado como a suposição padrão, a menos que a documentação do fornecedor diga o contrário. No entanto, os detalhes variam de um fornecedor para outro e merecem atenção próxima antes de se comprometer com uma plataforma.

Uma vez elogiada por sua abordagem consciente da privacidade, a Anthropic alterou seus termos de consumidor para que as conversas com Claude sejam usadas para treinamento por padrão, com os usuários podendo optar por não participar. Isso ilustra como rapidamente a política de treinamento de um fornecedor pode mudar, mesmo quando a privacidade fazia parte de sua proposta original.

Em outros modelos, a opção de não participar não funciona completamente. O Google mantém conversas do Gemini revisadas por anotadores humanos por até três anos, e desativar a configuração de Atividade do Gemini não impede que isso aconteça. Uma vez que uma conversa é marcada para revisão humana, ela permanece nos sistemas do Google em uma faixa de retenção separada, independentemente do que o usuário faça em seguida.

A Character.AI foi treinada em conversas de usuários por padrão e ofereceu uma opção de não participar apenas para usuários na EEA e no Reino Unido, o que a coloca no extremo permissivo das práticas de dados abordadas aqui. Separadamente, a empresa enfrentou desafios legais e de reputação. Em janeiro de 2026, a Character.AI e o Google concordaram em princípio em resolver um grupo de processos que alegavam danos decorrentes de interações de chatbot com menores, não relacionados à sua política de treinamento de dados. O Google foi nomeado como co-réu devido a seus vínculos com os fundadores da Character.AI, e embora nenhuma responsabilidade tenha sido admitida e os termos não tenham sido divulgados, o caso mostra que a exposição legal vinculada a um fornecedor de IA pode atingir as empresas que o apoiam.

Janelas de retenção, gatilhos de revisão humana e acesso de subcontratados raramente aparecem fora do fine print de uma política de privacidade. As empresas que integram essas APIs frequentemente têm que investigar a fundo para descobrir quanto tempo os dados dos usuários permanecem em revisão ou quem mais pode vê-los. Quase nenhum desses detalhes chega aos usuários finais, o que significa que uma empresa pode herdar as práticas de dados de um fornecedor e passar a mesma exposição sem que nenhuma das partes perceba.

Por que isso é um problema do fundador e não apenas um debate de política

Se o seu produto encaminha conversas de usuários para um modelo de base com treinamento padrão habilitado, você aceitou uma política de dados em nome dos seus usuários sem informá-los, mesmo que você nunca tenha tido a intenção de fazer isso. O Artigo 50 não exige que você divulgue essa decisão porque ele apenas cobre o fato de que eles estão conversando com IA.

O acesso de terceiros amplia ainda mais essa exposição. Os provedores de modelos regularmente terceirizam a anotação de dados e a revisão de segurança para subcontratados. Em maio de 2026, o procurador-geral do Texas, Ken Paxton, abriu uma investigação sobre os óculos de IA da Meta após anotadores de dados de um subcontratado com sede no Quênia, chamado Sama, terem relatado que podiam acessar imagens de momentos privados dos usuários, incluindo visitas ao banheiro. A Meta contestou que isso refletia a imagem completa de suas práticas, e a investigação está em andamento. Embora o exemplo envolva câmeras vestíveis, o mesmo problema pode se aplicar à IA conversacional. Uma promessa de que uma empresa não vende seus dados não diz nada sobre quem mais pode lê-los internamente antes que eles cheguem a um pipeline de treinamento.

O que verificar antes de escolher um fornecedor

Antes de conectar um modelo de base a dados de usuários reais, há várias perguntas que todo fundador deve responder.

O acordo de processamento de dados é um lugar para começar. Esse acordo é o documento que regula como os dados dos seus usuários são tratados, e vale a pena lê-lo integralmente.

O contrato em si merece tanta atenção. Os fornecedores frequentemente oferecem termos de não treinamento mais estritos em contratos empresariais ou de API do que em produtos de chat de consumidor, então confirme por escrito quais termos se aplicam à sua integração específica. Muitas empresas frequentemente fazem a suposição errada de que a linguagem de privacidade de nível empresarial as cobre por padrão.

As disposições de opt-out também valem a pena ser examinadas. As configurações do Gemini do Google ilustram por quê, pois nesse modelo, desativar o rastreamento de atividade não impede que a revisão humana ocorra. Um fornecedor deve ser capaz de dizer claramente se uma opção de não participar interrompe o treinamento, a revisão humana ou ambos.

Finalmente, mapeie para onde os dados vão a jusante do fornecedor. A anotação e a revisão de segurança são frequentemente terceirizadas, e as promessas de privacidade de um fornecedor não se estendem automaticamente a todos os subcontratados nessa cadeia.

Nenhuma dessas perguntas deve ser tratada como um exercício de uma única vez. Os termos do fornecedor mudam, às vezes rapidamente, e o fornecedor com o qual você assinou no ano passado pode não estar operando sob as mesmas regras hoje.

O Mercado Pode Estabelecer um Padrão que a Regulação Ainda Não Alcançou

O Artigo 50 é improvável que seja a última palavra sobre a governança de dados de IA da UE, e os fundadores não devem esperar pela próxima rodada de regulamentação para alcançar a lacuna que ele deixou para trás. As empresas podem se antecipar a essa lacuna agora, construindo uma opção de opt-in explícita e visível para treinamento em seus próprios dados de usuários. Há uma linha real entre melhorar um modelo e se beneficiar silenciosamente da confiança do usuário. Muitos serviços de IA ainda cruzam essa linha usando conversas para treinamento sem nunca pedir consentimento explícito e informado. Os fundadores que traçam essa linha para si mesmos agora não precisarão adaptar a conformidade posteriormente.

É uma medida com precedente. Aplicativos de mensagens criptografadas e gerenciadores de senhas não esperaram que os reguladores fizessem com que os padrões fortes se tornassem padrão. Eles fizeram essas escolhas por conta própria e as transformaram em uma posição de mercado. Os produtos de IA têm a mesma oportunidade. Os fundadores que traçam essa linha antes que seja obrigatório serão os que serão confiáveis para a próxima conversa sensível que os usuários terão.

s não esperaram por reguladores para fazer com que os padrões fortes se tornassem padrão. Eles fizeram essas escolhas por conta própria e as transformaram em uma posição de mercado. Os produtos de IA têm a mesma oportunidade. Os fundadores que traçam essa linha antes que seja obrigatório serão os que serão confiáveis para a próxima conversa sensível que os usuários terão.