Os teus posts públicos andam a treinar IA. A Europa acaba de dizer que público não é carta branca.

Esta semana, em Bruxelas, o Comité Europeu para a Proteção de Dados (EDPB, o organismo que reúne os reguladores de privacidade de todos os países da União) adotou orientações dedicadas ao web scraping para inteligência artificial generativa, a recolha automática e em massa de conteúdo publicado na internet para treinar modelos como o ChatGPT ou o Gemini, anunciadas a 8 de julho no final do plenário. Adotou também orientações novas sobre anonimização de dados. A mensagem central cabe numa frase: teres publicado algo à vista de todos não dá a ninguém carta branca para o usar.

Durante anos, a indústria da IA funcionou com uma regra não escrita: se está acessível, é matéria-prima. Posts, fotografias, comentários em fóruns, currículos e blogues esquecidos foram aspirados às toneladas para treinar os modelos que hoje usamos, quase sempre sem que os autores soubessem. O próprio EDPB o reconhece: o scraping «opera muitas vezes sem que as pessoas tenham consciência disso» e pode representar riscos significativos para os seus dados pessoais.

O que o EDPB veio dizer

O RGPD, o regulamento europeu de proteção de dados, aplica-se sempre que o scraping envolve dados pessoais. Quem recolhe invoca normalmente o «interesse legítimo», mas esse interesse tem de passar um teste de ponderação, o interesse comercial de quem treina o modelo não pode atropelar os direitos de quem publicou. E o comité dá exemplos concretos do que pesa nesse teste:

• Um site sem robots.txt (o ficheiro que diz aos robôs de recolha para não entrarem) não equivale a consentimento. A ausência de proibição não é um sim.
• Se um site exige login, usa CAPTCHA (os testes «não sou um robô») ou declara que não permite treino de IA, quem lá for buscar dados não pode alegar que as pessoas contavam com isso.
• Dados sensíveis, como saúde, orientação sexual ou opiniões políticas, estão em princípio proibidos de recolha.
• Quem treina modelos deve excluir por defeito fontes e categorias de dados de risco, publicar a lista dos sites recolhidos, criar mecanismos de oposição prévia (opt-out) e apagar ou anonimizar, o mais cedo possível, os dados pessoais que não sejam necessários.

O documento chega a descrever o caso de uma empresa que recolhe gravações de voz publicamente acessíveis para criar um gerador de voz, sem qualquer salvaguarda adicional. Essa empresa, diz o EDPB, não pode invocar o interesse legítimo. E as orientações gémeas sobre anonimização apertam o outro lado da equação: dados só são anónimos se ninguém puder ser isolado, ligado ou deduzido a partir deles, uma fasquia que muito do que a indústria chama «anónimo» não passa.

A colheita já aconteceu

Há que dizer a parte incómoda: estas orientações estão em consulta pública até 30 de outubro de 2026 e chegam depois da colheita. Os grandes modelos já foram treinados com décadas de internet, e retirar dados de um modelo treinado é tecnicamente quase impossível, não existe um botão de apagar.

Ainda assim, seria um erro arquivar isto como burocracia tardia. As autoridades nacionais de proteção de dados, em Portugal a CNPD, passam a ter uma régua comum para medir queixas e fiscalizar quem treina e quem vende modelos. Quando a Meta anunciou, em 2025, que ia treinar a sua IA com as publicações públicas dos utilizadores adultos, a CNPD alertou os portugueses e divulgou os formulários para quem quisesse opor-se. Com estas orientações, esse tipo de braço de ferro deixa de se travar em terreno vago, há critérios escritos, e quem recolhe passa a ter de provar que os cumpre.

Como te proteges

O que está ao teu alcance hoje:

• Revê o que tens público. Posts antigos, fotografias e perfis abertos são candidatos a matéria-prima; o que não precisa de estar visível para todos, não deixes visível.
• Usa os mecanismos de oposição das plataformas. A Meta disponibiliza formulários para recusares que os teus conteúdos treinem a IA dela; o alerta da CNPD tem as ligações.
• Se tens um site, torna a recusa explícita. robots.txt ou ai.txt, CAPTCHA e termos que proíbam treino de IA deixaram de ser simbólicos, agora pesam numa avaliação legal.
• Se o tema te toca, participa na consulta pública do EDPB até 30 de outubro de 2026. As regras finais estão a fazer-se agora.

Público descreve onde puseste as tuas palavras, não aquilo que os outros podem fazer com elas. A Europa acaba de pôr essa diferença preto no branco.

Fontes: EDPB, CNPD.

#StaySafe
🙏🖖