Chatbot IA e RGPD: que dados pode a sua escola recolher?

Que dados pessoais recolhe um chatbot IA no site da sua escola?

Um chatbot com inteligência artificial instalado no site da sua escola, instituto politécnico ou universidade começa a tratar dados pessoais no instante em que um candidato escreve a primeira mensagem. Esse tratamento está integralmente sujeito ao RGPD (Regulamento 2016/679), à Lei n.º 58/2019 (lei de execução portuguesa) e à supervisão da CNPD (Comissão Nacional de Proteção de Dados). A CNPD publicou orientações específicas sobre o uso de IA em contextos educativos que as instituições de ensino superior devem conhecer.

Na prática, um chatbot para uma escola superior recolhe quatro categorias de dados pessoais:

1. Dados de contacto fornecidos pelo candidato — nome, endereço de e-mail, número de telemóvel.
2. Dados de interesse académico — curso de interesse, campus preferido, regime (presencial/online), ano de início.
3. Conteúdo das conversas — o texto completo do diálogo, incluindo perguntas e respostas.
4. Metadados técnicos — endereço IP, carimbo de data/hora, ID de sessão, tipo de browser.

72% das interações do chatbot nos sites de escolas são perguntas FAQ padrão — cada uma delas um tratamento de dados que exige uma base jurídica válida ao abrigo do RGPD. (Fonte: classificação automática de 12.000 conversações Skolbot, 2025)

Para o enquadramento global de todas as obrigações de proteção de dados da sua instituição, consulte o nosso guia RGPD para escolas.

Que base jurídica do RGPD se aplica a cada tipo de dado?

O RGPD reconhece seis bases jurídicas (artigo 6.º, n.º 1). Para um chatbot de uma escola superior, três são relevantes: consentimento (al. a)), execução de medidas pré-contratuais (al. b)) e interesse legítimo (al. f)). A escolha da base jurídica determina os direitos do candidato e os prazos de conservação permitidos.

Tempos de resposta como argumento de conformidade: um chatbot IA responde em 3 segundos, 24 horas por dia, 7 dias por semana. O e-mail demora 47 horas; o formulário de contacto, 72 horas. (Fonte: auditoria mystery shopping Skolbot, 2025, 80 instituições FR.) Essa velocidade só é sustentável se a infraestrutura de tratamento de dados estiver devidamente configurada — uma violação de dados ou uma inspeção da CNPD interrompe imediatamente o processo de recrutamento.

Minimização de dados: o princípio que limita o que o chatbot pode recolher

A minimização de dados é um dos princípios fundamentais do RGPD (artigo 5.º, n.º 1, al. c)) e o mais frequentemente ignorado nas implementações de chatbot. A regra é simples: recolhe apenas os dados estritamente necessários para a finalidade declarada.

O que isto significa na prática para um chatbot de escola superior:

• Não pedir o número de telemóvel se a comunicação é feita exclusivamente por e-mail.
• Não pedir a data de nascimento a menos que seja necessário verificar requisitos de acesso a um curso específico.
• Não conservar o histórico completo de conversas indefinidamente. O conteúdo de conversas que não resultaram em candidatura não tem finalidade operacional após 12 meses.
• Anonimizar os endereços IP o mais rapidamente possível — de preferência nas primeiras 24–48 horas após a sessão.
• Não utilizar pixels de rastreamento na interface do chatbot sem base de consentimento válida.

A Diretriz 1/2018 da CNPD sobre tratamento de dados em contexto educativo estabelece que as instituições de ensino superior devem ser capazes de demonstrar, para cada dado recolhido, a necessidade concreta face à finalidade declarada. A questão que deve colocar a cada campo do chatbot: "Este dado é absolutamente necessário para responder à questão do candidato?" Se a resposta for "não" ou "seria útil, mas não indispensável", o dado não deve ser recolhido.

Dados de categorias especiais: cautela redobrada

Os candidatos partilham voluntariamente, nas conversas com chatbots, informações que podem não reconhecer como sensíveis, mas que são juridicamente categorias especiais ao abrigo do artigo 9.º do RGPD:

• Dados de saúde: "Tenho uma deficiência motora e gostaria de saber se o campus é acessível."
• Origem étnica ou racial: "Como estudante internacional vinda de…"
• Orientação sexual: questões sobre inclusividade LGBTQ+ no campus.
• Convicções religiosas ou filosóficas: questões sobre alimentação halal ou kosher nas cantinas.

O tratamento de categorias especiais de dados é em princípio proibido (artigo 9.º RGPD) salvo exceções específicas. Para um chatbot de escola superior: não precisa de dados de categorias especiais para responder a perguntas gerais de candidatura. Configure o seu chatbot de modo que:

1. As conversas sejam automaticamente analisadas para detetar categorias especiais.
2. Esses dados sejam anonimizados ou eliminados automaticamente ao fim de <30 dias.
3. As conversas que contenham categorias especiais não sejam utilizadas para treinar o modelo de IA sem consentimento explícito.

Para orientações detalhadas sobre a gestão do consentimento nos formulários de inscrição em jornadas de portas abertas e newsletters, consulte o nosso artigo sobre consentimento de cookies e RGPD para escolas.

AIPD: quando é obrigatória uma avaliação de impacto?

O RGPD obriga a realizar uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) antes de iniciar um tratamento que apresente um elevado risco para os direitos e liberdades dos titulares dos dados (artigo 35.º). A CNPD publicou uma lista de tipos de tratamento que exigem AIPD.

Um chatbot com IA para uma escola superior requer quase certamente uma AIPD porque:

• Tratamento automatizado em grande escala: o chatbot processa conversas de milhares de candidatos.
• Definição de perfis: se o chatbot categoriza candidatos com base nas suas perguntas (curso popular, perfil de risco, preferência de campus), está a fazer definição de perfis.
• Possível tratamento de categorias especiais: mesmo que não seja intencional, as conversas podem conter esses dados.
• Regulamento IA: a CNPD acompanha a aplicação do Regulamento IA (Regulamento 2024/1689); os sistemas de IA para educação podem ser classificados como sistemas de alto risco a partir de agosto de 2026.

A AIPD documenta os riscos, as medidas para os mitigar e — quando os riscos não podem ser completamente eliminados — a consulta prévia à CNPD. Conserve a AIPD e reveja-a sempre que o sistema de chatbot sofrer alterações materiais.

Transparência e direitos dos titulares: o que o chatbot deve comunicar

O RGPD obriga a informar o titular dos dados no momento da recolha (artigo 13.º). Para um chatbot, isso implica uma nota de privacidade ao abrir a janela de chat — não apenas uma ligação para a política de privacidade, mas informação direta e compreensível.

O que a mensagem de boas-vindas ou a primeira interação do chatbot deve obrigatoriamente incluir:

• Identidade do responsável pelo tratamento: a sua escola, pelo nome completo.
• Aviso de IA: ao abrigo do artigo 50.º do Regulamento IA (aplicável a partir de agosto 2026, mas já uma exigência de transparência RGPD), o candidato deve saber que está a interagir com uma IA.
• Finalidade do tratamento: "Os seus dados são tratados para responder às suas perguntas e fornecer informação sobre os nossos cursos."
• Prazo de conservação: "O conteúdo das conversas é conservado por um máximo de 12 meses."
• Direitos: "Pode aceder, retificar ou solicitar a eliminação dos seus dados através de [e-mail ou formulário]."

Os candidatos têm os seguintes direitos que a sua instituição deve ser capaz de exercer operacionalmente:

• Direito de acesso (artigo 15.º): fornecer cópia de todos os dados da conversa no prazo de um mês.
• Direito de retificação (artigo 16.º): corrigir dados incorretos.
• Direito ao apagamento (artigo 17.º): eliminar os dados se a base jurídica era o consentimento e o candidato o revoga.
• Direito de limitação (artigo 18.º): suspender o tratamento ativo enquanto uma oposição é avaliada.
• Direito de oposição (artigo 21.º): quando o tratamento se baseia no interesse legítimo.

Certifique-se de que o contrato de subcontratação com o fornecedor do chatbot (artigo 28.º RGPD) especifica como e em que prazo o fornecedor responde a pedidos de acesso, retificação ou eliminação.

Lista de verificação prática para um chatbot conforme com o RGPD

Use esta lista como ponto de partida para a auditoria interna. Para uma auditoria RGPD completa da sua instituição, consulte a nossa checklist de auditoria RGPD para universidades.

• Atividades de tratamento do chatbot registadas no registo de atividades (artigo 30.º RGPD)
• AIPD realizada e documentada antes da entrada em funcionamento
• Contrato de subcontratação com o fornecedor do chatbot assinado e atualizado
• Subcontratantes do fornecedor (alojamento, modelo de IA) identificados e documentados
• Para alojamento fora do EEE: garantias adequadas para transferência internacional presentes (CCT)
• Nota de privacidade visível ao abrir a janela de chat (identidade, finalidade, prazo, direitos)
• Aviso de IA presente (candidato sabe que está a interagir com uma inteligência artificial)
• Prazos de conservação configurados tecnicamente (eliminação automática após 12 meses)
• Anonimização automática de conteúdo sensível das conversas ao fim de <30 dias configurada
• Procedimento para resposta a pedidos RGPD (acesso, eliminação) operacional
• Chatbot incluído na política de cookies se utilizar cookies de sessão ou localStorage