Quer implementar IA na sua empresa? O que muda entre ChatGPT, Claude, Gemini e Copilot

O que deve uma empresa analisar antes de escolher uma ferramenta de IA?

Quando uma empresa escolhe ChatGPT, Claude, Gemini ou Copilot, não está apenas a escolher um chatbot. Está a escolher uma relação com um fornecedor.

O que está realmente a aceitar quando contrata uma ferramenta de IA?

Uma análise completa raramente se faz através de uma única página chamada “Terms of Use”.

O contrato pode resultar da combinação de vários documentos:

• Termos de Utilização gerais;
• Termos comerciais ou Services Agreement;
• Service Specific Terms;
• políticas de utilização ou Usage Policy;
• Política de Privacidade;
• DPA;
• Order Form ou formulário de encomenda;
• termos de funcionalidades específicas;
• condições de Beta ou Preview;
• termos dos conectores e serviços de terceiros.

Termos e privacidade não são a mesma coisa

Uma Política de Privacidade explica como são tratados dados pessoais. Os Termos definem a relação contratual mais ampla.

Por exemplo, a pergunta “os meus prompts podem ser usados para treino?” é uma questão de dados e privacidade.

Mas estas perguntas são sobretudo contratuais:

• posso usar o serviço profissionalmente?
• posso usar o output num produto que vendo?
• quem é responsável se a resposta estiver errada?
• outro utilizador pode receber um output semelhante?
• que direitos tenho se o serviço for suspenso?
• o fornecedor assume alguma defesa em caso de reclamação de copyright?

O contrato pode mudar conforme a funcionalidade

Uma organização pode estar sob um contrato empresarial quando usa o chat principal e, ao mesmo tempo, ativar um conector, pesquisa Web, agente ou funcionalidade Preview com condições adicionais.

Por isso, a pergunta não deve ser apenas:

“Usamos ChatGPT Enterprise?”

Deve também ser:

“Que funcionalidades desse serviço estamos efetivamente a utilizar e que termos se aplicam a cada uma?”

Conta pessoal, Business ou Enterprise: o que muda?

OpenAI: qual é a diferença entre ChatGPT Plus, Pro, Business e Enterprise?

Que contrato se aplica a ChatGPT Plus e Pro?

Para utilizadores residentes no EEE, Suíça e Reino Unido, a OpenAI aplica os seus Termos de Utilização para a Europa aos serviços destinados a indivíduos.

Esses Termos cobrem ChatGPT, DALL·E e outros serviços individuais. Incluem subscrições pagas como Plus e Pro.

ChatGPT Plus ou Pro pode ser usado profissionalmente?

Sim. Esta é uma diferença relevante face à Anthropic.

Os Termos europeus da OpenAI incluem uma secção específica denominada Adenda — Utilização Comercial dos Serviços. Se uma pessoa utiliza o serviço individual de forma comercial, essa adenda passa a aplicar-se.

A utilização profissional de Plus ou Pro é, portanto, contemplada nos próprios Termos.

Há uma consequência contratual importante na utilização comercial de uma conta individual

A Adenda de Utilização Comercial contém regras próprias sobre limitação de responsabilidade, indemnização e lei aplicável.

Nos Termos europeus gerais, a lei aplicável é, em princípio, a da jurisdição onde reside o utilizador. Porém, a Adenda de Utilização Comercial estabelece especificamente a lei da Califórnia e tribunais de São Francisco para essa utilização comercial.

É um bom exemplo de porque “a ferramenta é a mesma” não significa “o contrato é o mesmo”.

Quem é dono dos inputs e outputs numa conta individual?

Na relação entre o utilizador e a OpenAI, e na medida permitida pela lei, o utilizador mantém os seus direitos sobre o input e é proprietário do output. A OpenAI cede ao utilizador os direitos que possa ter sobre o output.

Mas os Termos alertam expressamente que o output pode não ser único e que outros utilizadores podem receber conteúdo semelhante.

Quem é responsável pelo conteúdo enviado?

O utilizador é responsável pelo conteúdo e declara que possui todos os direitos, licenças e permissões necessários para fornecer o input.

Isto significa que ter recebido um ficheiro por email ou conseguir abrir uma pasta da empresa não significa automaticamente ter autorização para enviar esse conteúdo para uma plataforma externa.

E o treino numa conta pessoal?

Os Termos individuais permitem à OpenAI utilizar conteúdo para fornecer, manter, desenvolver e melhorar os serviços. O utilizador pode optar por não permitir a utilização do seu conteúdo para treino através dos controlos da conta.

Esta opção é importante, mas não transforma a conta pessoal num contrato empresarial.

O que muda com ChatGPT Business?

Aqui ocorre a alteração contratual central.

O OpenAI Services Agreement declara expressamente que se aplica a ChatGPT Business, ChatGPT Enterprise, API e outros serviços destinados a empresas e developers.

No contrato empresarial:

• o cliente mantém os direitos sobre os inputs;
• o cliente é titular dos outputs, na medida permitida pela lei;
• a OpenAI só utiliza Customer Content na medida necessária para prestar o serviço, cumprir a lei, aplicar políticas e prevenir abuso;
• a OpenAI não utiliza Customer Content para desenvolver ou melhorar os serviços sem consentimento explícito do cliente;
• o cliente continua responsável por garantir os direitos necessários sobre os inputs;
• o cliente continua responsável por avaliar a exatidão e adequação dos outputs;
• Customer Content integra o conceito de informação confidencial no contrato;
• quando existem dados pessoais, aplica-se a DPA.

Que controlos tem ChatGPT Business?

A comparação oficial atual da OpenAI inclui em Business:

• workspace dedicada;
• faturação e administração centralizadas;
• admin console;
• SSO através de SAML;
• MFA;
• verificação de domínio;
• gestão de membros;
• controlos de utilização e despesa;
• não utilização do conteúdo empresarial para treino por predefinição.

Business já tem verificação de domínio?

Sim. A comparação atual da OpenAI indica verificação de domínio em ChatGPT Business.

Mas existe uma diferença de governação importante face a Enterprise: no Business, o SSO é self-service, não existe SCIM e o aprovisionamento e desaprovisionamento de utilizadores continua manual.

A própria documentação da OpenAI indica também que um administrador Business não consegue impor a migração de todas as contas consumer associadas ao domínio da mesma forma que pode acontecer numa implementação Enterprise/Edu.

O SSO do Business abrange também a plataforma API?

Não da mesma forma.

A documentação atual da OpenAI explica que o SSO do Business se aplica ao ChatGPT. No Enterprise/Edu, o SSO pode abranger também a plataforma da API.

Isto importa quando uma organização pretende utilizar simultaneamente ChatGPT e serviços programáticos.

Então para que serve ChatGPT Enterprise?

Enterprise acrescenta sobretudo mecanismos de controlo, auditoria e segurança em escala.

A comparação oficial atual inclui, entre outros:

• SCIM;
• Enterprise Key Management;
• RBAC;
• analytics avançado;
• Compliance API;
• IP allowlisting;
• políticas personalizadas de retenção;
• residência de dados nas regiões atualmente suportadas;
• suporte prioritário 24/7 para clientes elegíveis;
• SLA;
• possibilidade de termos jurídicos personalizados para clientes elegíveis.

Business e Enterprise têm exatamente a mesma proteção de propriedade intelectual?

Não se deve assumir que sim.

O Services Agreement contém uma indemnização geral da OpenAI para determinadas reclamações de propriedade intelectual relativas aos Serviços.

Mas os Service Terms têm ainda uma cláusula específica de indemnização relativa a outputs que identifica expressamente clientes Enterprise.

Essa proteção específica está sujeita a exclusões. Por exemplo, pode não aplicar-se quando o cliente sabia ou devia saber que o output infringia direitos, não utilizou mecanismos de segurança relevantes, modificou o output, não tinha direito a usar o input ou utilizou determinadas marcas em comércio.

Uma empresa para quem a indemnização de propriedade intelectual seja um requisito de procurement deve confirmar a cobertura concreta no contrato e no Order Form, em vez de assumir que todas as subscrições empresariais são iguais.

A OpenAI garante que o output está correto?

Não.

Nos Termos para indivíduos, a OpenAI diz que o output pode não ser exato e exige que o utilizador avalie a exatidão e adequação antes de o usar ou partilhar.

No Services Agreement, o cliente continua a ser o único responsável pela utilização dos outputs e pela avaliação da sua adequação.

E decisões sobre pessoas?

Os Termos individuais da OpenAI são particularmente claros: o utilizador não deve utilizar output relativo a uma pessoa para uma finalidade que possa ter impacto legal ou material sobre essa pessoa, incluindo decisões de crédito, educação, emprego, habitação, seguros, jurídicas ou médicas.

No contexto empresarial, a análise do caso de uso deve ainda considerar a Usage Policy, o RGPD, o AI Act e outras normas aplicáveis.

O que acontece com funcionalidades Beta?

O Services Agreement estabelece que serviços Beta podem não ser tão fiáveis ou disponíveis, podem mudar sem aviso e não foram sujeitos às mesmas medidas de segurança e auditorias dos serviços de produção.

A OpenAI exclui ainda responsabilidade relativamente a esses serviços nos termos definidos contratualmente.

A OpenAI pode suspender uma conta empresarial?

Sim. O Services Agreement permite limitar ou suspender acesso, por exemplo, quando tal é exigido por lei, existe violação do contrato ou das políticas, ou é necessário responder a uma emergência de segurança.

No contexto consumer existem igualmente mecanismos de restrição, suspensão ou cessação em caso de violação dos Termos, obrigação legal ou risco para a OpenAI, utilizadores ou terceiros.

Para aprofundar especificamente a utilização de informação empresarial no ChatGPT, consulte também ChatGPT na empresa e dados sensíveis .

Anthropic: qual é a diferença entre Claude Pro, Team e Enterprise?

Que Termos se aplicam a Claude Free e Pro?

Os Consumer Terms atuais aplicáveis no EEE e Suíça abrangem Claude.ai, Claude Pro e outros produtos e serviços oferecidos a indivíduos.

Os próprios Termos definem consumidor como uma pessoa que atua total ou principalmente fora da sua atividade comercial, negócio, ofício ou profissão.

Mais à frente, incluem uma cláusula expressa denominada Non-commercial use only.

Claude Pro pode ser utilizado para trabalho numa empresa europeia?

Os Consumer Terms aplicáveis no EEE dizem que esses serviços não devem ser usados para finalidades comerciais ou empresariais.

Isto torna a situação diferente da OpenAI, cujos Termos europeus para indivíduos incluem expressamente uma adenda para utilização comercial.

Quem é responsável pelos inputs?

O utilizador é responsável pelos inputs e pelas ações executadas através do serviço e deve garantir que possui os direitos, licenças e autorizações necessários para a Anthropic os processar.

Quem fica com os outputs?

O utilizador mantém os seus direitos sobre os inputs e a Anthropic cede ao utilizador os eventuais direitos que tenha sobre os outputs, na medida permitida pela lei.

Claude garante que o output está correto?

Não.

Os Consumer Terms indicam expressamente que os outputs podem conter incorreções materiais e que o utilizador deve confirmar de forma independente a respetiva exatidão.

As ações executadas por Claude também podem não funcionar como esperado.

E os dados de Claude Free, Pro e Max?

Nos produtos consumer, a Anthropic permite ao utilizador escolher se autoriza a utilização dos seus materiais para melhoria dos modelos.

Mesmo em caso de opt-out, existem exceções indicadas nos Termos, nomeadamente quando o utilizador fornece feedback ou quando determinados materiais são sinalizados para revisão de segurança.

Na atualização anunciada em 2025, a Anthropic explicou que novos chats abrangidos pela opção de melhoria dos modelos podem ficar sujeitos a uma retenção de cinco anos, enquanto os utilizadores que não optam por essa utilização continuam no regime de 30 dias, sujeito às exceções aplicáveis.

O que muda com Claude Team?

Claude Team é uma oferta para equipas e entra no universo Claude for Work.

Os Commercial Terms da Anthropic estabelecem que:

• o cliente mantém todos os direitos sobre os inputs;
• o cliente é proprietário dos outputs na medida permitida pela lei;
• a Anthropic não reivindica direitos sobre Customer Content;
• a Anthropic não pode treinar modelos com Customer Content dos serviços;
• a DPA é incorporada nos Termos;
• Customer Content é expressamente informação confidencial;
• o cliente continua responsável pela adequação e verificação dos outputs.

Que controlos já existem no Team?

A oferta Team atual inclui, entre outros:

• faturação e administração centralizadas;
• SSO;
• controlos administrativos para conectores;
• pesquisa empresarial;
• não utilização do conteúdo para treino dos modelos por predefinição.

Isto significa que, tal como acontece com ChatGPT Business, uma empresa não precisa automaticamente de chegar a Enterprise apenas para sair do enquadramento consumer.

O que acrescenta Claude Enterprise?

A oferta Enterprise atual acrescenta capacidades de governação e compliance como:

• RBAC;
• SCIM;
• audit logs;
• Compliance API;
• Analytics API;
• retenção personalizada;
• controlos de acesso ao nível da rede;
• IP allowlisting;
• opções de chaves de encriptação controladas pelo cliente em ofertas aplicáveis.

O que é particularmente importante na Compliance API?

A documentação Enterprise da Anthropic indica que a Compliance API pode permitir acesso programático a dados de utilização, incluindo logs de atividade, históricos de chat e conteúdo de ficheiros.

Isto pode apoiar compliance, investigações internas, eDiscovery e mecanismos de DLP.

Enterprise elimina automaticamente os históricos?

Não.

Claude Enterprise permite controlos personalizados de retenção. A retenção precisa, contudo, de ser configurada de acordo com a política da organização e com as capacidades da edição adquirida.

E a API da Anthropic?

A API é um caso interessante: os Commercial Terms aplicam-se às API keys e às ofertas que façam referência a esses termos.

Isto significa que uma pessoa singular pode utilizar a API e estar sob termos comerciais, apesar de não ser uma grande empresa.

O que interessa juridicamente não é apenas “quem é o utilizador?”, mas também qual produto foi contratado e que contrato esse produto incorpora.

Existe indemnização de propriedade intelectual?

Sim, nos Commercial Terms existe uma obrigação de defesa e indemnização em determinadas reclamações de terceiros relacionadas com a utilização paga dos serviços ou outputs.

Existem exclusões importantes, como:

• modificações feitas pelo cliente;
• combinação com tecnologia ou conteúdo externo;
• problemas resultantes dos inputs fornecidos pelo cliente;
• utilização que o cliente sabia ou devia saber que infringia direitos;
• determinadas utilizações de marcas em comércio.

A Anthropic garante exatidão ou disponibilidade?

Não. Os Commercial Terms declaram que os serviços e outputs são fornecidos “as is” e “as available” e não garantem que os outputs sejam exatos, completos ou livres de erros.

O contrato também contém limites de responsabilidade. Regra geral, e sujeito às exceções do próprio contrato, a responsabilidade está limitada às taxas pagas pelo cliente nos 12 meses anteriores.

A Anthropic pode suspender uma organização?

Sim. Os Commercial Terms permitem suspensão, por exemplo, em caso de risco ou ataque aos serviços, utilização em violação dos termos ou políticas, proibição legal ou determinadas situações relacionadas com fornecedores necessários à prestação do serviço.

Que lei se aplica a clientes empresariais no EEE?

Os Commercial Terms atuais indicam a lei da Irlanda para clientes no EEE, Suíça ou Reino Unido e preveem mecanismos de resolução de litígios específicos, incluindo arbitragem.

Google: Google AI Pro é o mesmo que Gemini empresarial?

Google AI Pro e Ultra são planos empresariais?

Não na sua versão de consumidor.

A documentação atual do Google One indica que, para subscrever Google AI Pro ou Google AI Ultra pessoais, é necessário iniciar sessão com uma Conta Google pessoal.

Portanto, pagar Google AI Pro não é equivalente a contratar uma edição empresarial do Google Workspace.

Ter uma conta @empresa.pt significa que Gemini tem proteção empresarial?

Não.

A Google distingue explicitamente dois cenários para contas profissionais:

Gemini como serviço adicional

Algumas edições ou contas profissionais podem aceder às Apps Gemini como serviço adicional.

Neste cenário aplicam-se os Termos de Utilização gerais da Google e o Aviso de Privacidade das Apps Gemini.

A própria documentação da Google indica que, neste regime, os chats podem ser revistos por revisores humanos e usados para melhorar produtos, serviços e tecnologias de aprendizagem automática.

Gemini como serviço principal do Workspace

Quando a licença Workspace inclui as Apps Gemini como serviço principal, a Google apresenta segurança e privacidade de nível empresarial.

Nesse regime, os chats e ficheiros carregados não são revistos por revisores humanos nem usados para melhorar os modelos de IA generativa nos termos descritos pela Google.

Que edições já têm proteção empresarial?

A documentação atual inclui várias edições Workspace onde Gemini é serviço principal, incluindo Business Starter, Business Standard, Business Plus e diferentes edições Enterprise.

Ou seja, não é necessário comprar Workspace Enterprise apenas para obter a proteção empresarial fundamental do Gemini.

O Business Starter já tem Gemini empresarial?

Sim. A página atual de preços do Workspace apresenta no Business Starter a app Gemini com segurança e privacidade de nível empresarial e afirma que os dados da empresa não são usados para treinar modelos.

O Business Standard aumenta o acesso e integra Gemini de forma mais ampla em Gmail, Docs, Drive, Sheets, Meet e outras aplicações.

Business Plus adiciona capacidades como Vault, retenção, eDiscovery e controlos de segurança mais avançados.

Então para que serve Workspace Enterprise?

Enterprise acrescenta ou amplia mecanismos como:

• DLP;
• Context-Aware Access;
• Enterprise Data Regions;
• Cloud Identity Premium;
• gestão empresarial de endpoints;
• classificação de informação;
• controlos adicionais de segurança e compliance;
• maior escala organizacional.

O Google AI Ultra também existe no contexto empresarial?

É importante distinguir o produto pessoal do suplemento empresarial.

A Google disponibiliza atualmente níveis adicionais como AI Expanded Access e AI Ultra Access for Business para contas Workspace elegíveis.

Por isso, “Google AI Ultra” sem indicar se é a subscrição Google One pessoal ou o acesso empresarial pode criar confusão.

O que dizem os Termos do Workspace sobre os outputs?

Nos Workspace Service Specific Terms, a Google define o conteúdo gerado pelos serviços generativos abrangidos como Customer Data.

A Google declara que não reivindica direitos de propriedade sobre nova propriedade intelectual criada nesses outputs.

Também alerta que diferentes clientes podem receber outputs iguais ou semelhantes.

O Google Workspace usa Customer Data para treinar Gemini?

Os Service Specific Terms estabelecem que a Google não utilizará Customer Data para treinar ou fazer fine-tuning dos modelos generativos que suportam os serviços de IA do Workspace sem autorização ou instrução prévia do cliente.

O output pode ser utilizado sem validação?

Não.

Os Termos dizem que os serviços generativos podem produzir outputs inexatos ou ofensivos e que não foram concebidos para substituir aconselhamento médico, jurídico, financeiro ou profissional.

Existe indemnização de propriedade intelectual?

Para determinados serviços pagos classificados como Generative AI Indemnified Services, os Termos estendem obrigações de indemnização da Google a determinadas reclamações relativas a outputs não modificados e também a determinadas alegações sobre dados de treino.

A proteção tem condições e exclusões. Pode, por exemplo, não aplicar-se se o cliente souber que o output é provavelmente infrator, contornar mecanismos fornecidos pela Google ou continuar a usá-lo depois de uma reclamação.

Como funcionam as Data Regions?

Aqui existe uma nuance importante.

Os Termos atuais identificam prompts e outputs do Gemini in Workspace entre os tipos de “Located Data”.

Mas a Data Regions Policy aplica-se apenas às edições expressamente abrangidas. Nos Service Specific Terms atuais, Google Workspace Enterprise Plus aparece entre as edições empresariais abrangidas para esta política.

Dados que não estejam abrangidos pela política podem ser armazenados ou processados onde a Google ou os seus subprocessadores mantenham instalações, sujeitos à DPA.

E as funcionalidades Preview, Beta ou Pre-GA?

Este é um dos pontos contratuais mais relevantes no Google Workspace.

Os Termos Pre-GA permitem que funcionalidades identificadas como Early Access, Alpha, Beta, Preview, Experimental ou semelhante tenham condições próprias.

A Google prevê que Customer Test Data, incluindo dados pessoais, possa ser usado para fornecer, testar, analisar, desenvolver e melhorar essas ofertas nos termos definidos nessa secção.

Além disso:

• essas ofertas podem não permitir eliminação normal durante o período de teste;
• podem não estar sujeitas aos requisitos normais de localização de dados;
• não estão abrangidas pelo SLA;
• não estão abrangidas pela indemnização Google, salvo condições específicas;
• podem ser alteradas, suspensas ou descontinuadas sem aviso.

E os agentes?

Os Termos atuais do Workspace têm uma secção própria para Agentic AI Services.

A Google coloca no cliente a responsabilidade por:

• ações e tarefas executadas pelo agente;
• determinar se o agente é adequado ao caso de uso;
• autorizar acesso a dados, aplicações e sistemas;
• exercer julgamento e supervisão em ambientes de produção.

Isto é particularmente importante porque as ações executadas pelo agente não são tratadas simplesmente como “Generated Output”.

Microsoft: o que muda entre Copilot pessoal, Microsoft Copilot Chat e Microsoft Copilot?

O Copilot pessoal está sob o mesmo contrato?

Não.

Os serviços consumer da Microsoft estão abrangidos pelo Microsoft Services Agreement e pela Microsoft Privacy Statement, juntamente com condições específicas aplicáveis aos serviços de IA.

Uma experiência consumer não deve ser confundida com o regime empresarial do Microsoft 365.

O que é Microsoft Copilot Chat no contexto empresarial?

Microsoft Copilot Chat é uma experiência de prompt e resposta incluída automaticamente em várias subscrições Microsoft 365 elegíveis, sem custo adicional para o chat baseado na Web.

Os prompts e respostas recebem Enterprise Data Protection.

Isto significa que os compromissos da Microsoft DPA e dos Product Terms se aplicam aos Customer Data abrangidos, com a Microsoft a atuar como subcontratante.

Os prompts e respostas são usados para treinar os modelos?

A Microsoft declara que prompts e respostas do Copilot Chat empresarial não são usados para treinar os foundation models.

No Microsoft Copilot completo, prompts, respostas e dados acedidos através do Microsoft Graph também não são utilizados para treinar os foundation LLMs.

Então porque é necessária uma licença Microsoft Copilot?

Porque Copilot Chat e Microsoft Copilot completo não têm o mesmo acesso ao contexto organizacional.

O chat baseado na Web está incluído nas licenças Microsoft 365 elegíveis.

O chat baseado no trabalho, com acesso sistemático à informação que a conta Microsoft Entra consegue consultar, está associado à licença Microsoft Copilot.

O produto completo utiliza o Microsoft Graph para trabalhar com informação como:

• emails;
• chats;
• ficheiros;
• calendário;
• reuniões;
• contactos;
• informação de contexto disponível ao utilizador.

Copilot passa a ver tudo na empresa?

Não. A Microsoft afirma que Copilot só apresenta informação à qual o utilizador já possui, pelo menos, permissão de visualização.

Mas isto não elimina o risco de oversharing.

Se um trabalhador já tiver permissões excessivas numa biblioteca SharePoint ou numa pasta OneDrive, Copilot pode tornar aquela informação muito mais fácil de encontrar.

O que deve ser revisto antes da implementação?

• permissões SharePoint;
• grupos Microsoft 365;
• Teams;
• OneDrive;
• partilhas externas;
• conteúdo obsoleto;
• etiquetas de sensibilidade;
• DLP;
• políticas de retenção.

Os prompts ficam registados?

Sim.

Com Enterprise Data Protection, prompts e respostas do Copilot Chat são registados e podem ficar disponíveis para auditoria e eDiscovery.

A Microsoft explica que as interações podem ser geridas através de mecanismos Microsoft Purview, consoante o licenciamento e configuração.

E a pesquisa Web?

Existe uma separação importante.

Quando Copilot gera uma consulta para o Bing, essa consulta é tratada por um serviço separado do Microsoft 365.

A Microsoft explica que:

• a query enviada ao Bing é normalmente uma pequena expressão gerada a partir do prompt;
• não inclui identificadores de utilizador ou tenant;
• não envia normalmente o prompt completo, salvo quando este é muito curto;
• não envia o ficheiro completo;
• o Bing atua sob um regime de tratamento diferente.

Para essas queries Web, a Microsoft atua como responsável pelo tratamento, ao contrário do regime de subcontratante aplicável aos prompts e respostas dentro do perímetro Microsoft 365.

E o EU Data Boundary?

A Microsoft afirma que Microsoft Copilot é um serviço abrangido pelos compromissos do EU Data Boundary para clientes aplicáveis na União Europeia.

Contudo, as queries de pesquisa Web enviadas ao Bing não estão abrangidas pelo EU Data Boundary da mesma forma.

Existe ainda outra nuance atual: a própria documentação da Microsoft assinala que determinados modelos fornecidos pela Anthropic enquanto subprocessador estão atualmente excluídos do EU Data Boundary.

Isto demonstra novamente porque a pergunta “os dados ficam na Europa?” deve ser feita ao nível da funcionalidade e do modelo concreto.

A Microsoft pode usar modelos OpenAI e Anthropic dentro do Copilot?

Sim. A documentação atual explica que a Microsoft pode disponibilizar modelos de fornecedores como OpenAI e Anthropic em experiências empresariais.

Nesses casos, esses fornecedores podem atuar como subprocessadores da Microsoft sob o enquadramento empresarial aplicável, embora algumas funcionalidades Preview possam ter exceções específicas.

E agentes de terceiros?

Quando um agente é disponibilizado através do Microsoft 365, o administrador pode consultar as permissões, acesso a dados, termos e política de privacidade do agente.

A Microsoft recomenda verificar estes documentos porque um agente pode introduzir um novo fornecedor ou fluxo de informação.

Existe proteção de propriedade intelectual?

A Microsoft possui o Customer Copyright Commitment.

Nos produtos comerciais abrangidos, a Microsoft compromete-se, em determinadas circunstâncias, a defender o cliente contra reclamações de copyright relacionadas com a utilização de Copilot ou do respetivo output e a suportar determinadas condenações ou acordos.

A cobertura depende das condições do produto e da utilização dos mecanismos de proteção exigidos.

Quem é dono do output?

A Microsoft afirma que não reivindica propriedade sobre o output.

Também salienta que não determina se cada output específico é juridicamente protegido por direitos de autor ou oponível a outros utilizadores.

Tal como noutras plataformas, outputs iguais ou substancialmente semelhantes podem ser gerados para vários clientes.

Como se comparam OpenAI, Anthropic, Google e Microsoft para uma implementação empresarial?

Os planos e funcionalidades mudam. Esta tabela deve ser usada para orientar a leitura dos contratos, não como substituto da documentação oficial ou do Order Form efetivamente contratado.

Business ou Enterprise: quando precisa realmente de cada um?

Enterprise é sempre “mais privado”?

A expressão pode ser enganadora.

Enterprise pode oferecer mais compromissos perante o fornecedor, mas também mais administração, retenção, logs, auditoria e capacidade de acesso pela própria organização.

Em muitos casos, a característica distintiva de Enterprise é governabilidade, e não simplesmente privacidade.

Faz sentido comprar contas pessoais aos trabalhadores?

Imagine 40 trabalhadores com contas individuais.

• uns ativam treino e outros desativam;
• uns usam email pessoal e outros email profissional;
• uns ligam Google Drive ou GitHub;
• outros instalam conectores;
• não existe uma configuração uniforme;
• não existe um processo consistente de offboarding;
• uma pessoa pode sair da empresa com uma conta que contém trabalho da organização.

Este tipo de utilização não governada é frequentemente designado por Shadow AI.

Usar o email da empresa resolve o problema?

Não.

E se a empresa pagar a subscrição com o cartão da empresa?

Também não é suficiente.

Quem paga a fatura e que Termos regulam o serviço são questões diferentes.

Uma subscrição individual paga por despesas pode continuar contratualmente a ser uma subscrição individual.

O que acontece quando o trabalhador sai?

Esta é uma das melhores formas de perceber a diferença entre conta pessoal e workspace empresarial.

Numa implementação empresarial, a organização pode conseguir suspender o utilizador, revogar acesso, aplicar retenção, transferir responsabilidades ou eliminar conteúdo de acordo com as capacidades do produto.

Numa conta pessoal, esse controlo pode simplesmente não existir.

Quem é responsável pelo input e quem fica com o output?

Inputs

Os contratos colocam normalmente no utilizador ou cliente a responsabilidade por garantir que possui os direitos, licenças, permissões e autorizações necessários para fornecer o input.

Um trabalhador ter acesso a um documento não significa automaticamente que o possa enviar para um serviço externo.

Pode haver:

• dados pessoais;
• segredo profissional;
• informação confidencial;
• direitos de autor;
• propriedade intelectual de terceiros;
• obrigações de NDA;
• limitações contratuais impostas por clientes;
• regras internas de classificação da informação.

Outputs

OpenAI e Anthropic atribuem contratualmente ao cliente os seus eventuais direitos sobre outputs nos serviços empresariais, na medida permitida pela lei.

O Google considera o Generated Output abrangido como Customer Data e não reivindica propriedade sobre nova propriedade intelectual criada no output.

A Microsoft não reivindica propriedade sobre o output.

Isso significa que o output está protegido por direitos de autor?

Não necessariamente.

Uma cláusula contratual entre fornecedor e cliente não decide automaticamente se o output cumpre os requisitos legais para proteção por copyright ou direitos de autor.

O output é exclusivo?

Não deve presumir que sim.

OpenAI, Google e Microsoft chamam explicitamente a atenção para a possibilidade de diferentes utilizadores receberem conteúdo igual ou semelhante. O mesmo risco resulta naturalmente do funcionamento de sistemas generativos.

O fornecedor garante que o output está correto?

Não.

Os contratos das quatro plataformas incluem advertências fortes relativamente à precisão e fiabilidade.

A organização continua responsável por validar o resultado antes de:

• o enviar a um cliente;
• publicar;
• o incorporar num produto;
• o usar numa decisão;
• executar código;
• seguir recomendações jurídicas, financeiras ou médicas.

E a indemnização de propriedade intelectual?

Alguns contratos empresariais oferecem proteção adicional em determinadas reclamações de terceiros.

Mas indemnização não significa que todo o output esteja livre de risco.

As coberturas têm exclusões e condições. A empresa continua, por exemplo, responsável por não utilizar inputs que não tem direito de fornecer.

Depois de escolher um plano empresarial, o que pode colocar na IA?

As classificações abaixo são orientações práticas de leitura e não classificações jurídicas de “permitido” ou “proibido”.

Para aprofundar esta matéria, consulte o que não deve colocar no ChatGPT ou noutras ferramentas de IA .

Casos do dia a dia

Os dados ficam na Europa?

Data residency e inference residency não são sinónimos

Data residency refere-se normalmente à localização de determinadas categorias de dados armazenados.

Inference residency refere-se à região onde determinada inferência é executada.

OpenAI

A comparação atual da OpenAI apresenta a residência de dados em regiões suportadas como uma capacidade Enterprise, não como uma capacidade standard do Business.

Mesmo quando existe residência regional, deve verificar o âmbito exato e eventuais exceções operacionais.

Google

Os Service Specific Terms incluem prompts e outputs do Gemini in Workspace entre os dados que podem integrar a Data Regions Policy.

Mas apenas as edições expressamente abrangidas beneficiam dessa política. Atualmente, Google Workspace Enterprise Plus surge entre as edições empresariais abrangidas.

Microsoft

A Microsoft possui compromissos de residência e EU Data Boundary para serviços empresariais abrangidos.

Mas a pesquisa Web enviada ao Bing tem um enquadramento distinto.

Além disso, determinados modelos de subprocessadores podem ter exceções específicas ao EU Data Boundary.

Anthropic

A disponibilidade de controlos geográficos depende da oferta concreta e deve ser confirmada na documentação Enterprise, na DPA e no contrato aplicável.

Subprocessadores

Mesmo que a informação principal seja armazenada numa região europeia, podem existir subprocessadores envolvidos em componentes da prestação do serviço.

Por isso, a lista de subprocessadores deve fazer parte do vendor assessment.

Segurança, retenção, auditoria e offboarding também fazem parte dos Termos

Retenção

Pergunte:

• quanto tempo ficam os chats?
• o administrador pode alterar esse período?
• a retenção começa na criação ou na última atividade?
• existem diferentes retenções para logs, chats e ficheiros?
• o que é eliminado quando uma conta é removida?
• existem exceções legais, de segurança ou backup?

Auditoria

Uma organização regulada pode precisar de saber:

• quem usou IA;
• quando;
• que recursos foram consultados;
• que agentes foram usados;
• que ações ocorreram;
• se a informação pode ser pesquisada para eDiscovery.

Incidentes

A DPA é um dos documentos onde normalmente devem ser verificados os compromissos relativos a medidas de segurança, incidentes de dados pessoais, subprocessadores e assistência ao cliente.

Não basta verificar um selo de segurança na página comercial.

Offboarding

Quando um trabalhador sai da organização, a empresa deve conseguir responder a quatro perguntas:

1. quem desativa o acesso?
2. quando fica efetivamente revogado?
3. o conteúdo permanece?
4. quem passa a controlá-lo?

É aqui que SCIM, identidade centralizada, retenção e administração empresarial deixam de ser funcionalidades abstratas e passam a resolver um problema operacional real.

Agentes, conectores e funcionalidades Beta têm os mesmos Termos?

Conectores

Uma plataforma de IA pode ligar-se a:

• Google Drive;
• SharePoint;
• OneDrive;
• Slack;
• GitHub;
• CRM;
• email;
• ERP;
• serviços de terceiros;
• bases de conhecimento internas.

A organização deve verificar:

• que permissões são concedidas;
• que dados podem sair do sistema de origem;
• se existe um terceiro adicional;
• que termos esse terceiro aplica;
• como se revoga o acesso.

Agentes

Um agente pode executar ações e não apenas produzir texto.

Pode:

• enviar uma mensagem;
• criar um documento;
• editar um ficheiro;
• consultar uma base de dados;
• executar código;
• agir num CRM;
• iniciar outro workflow.

Quanto maior a autonomia, mais importantes se tornam:

• permissões mínimas;
• limites de ação;
• aprovação humana;
• logging;
• rollback;
• segregação de funções.

Beta, Preview e Pre-GA

As quatro plataformas introduzem funcionalidades novas com muita frequência.

A organização deve verificar se a funcionalidade é:

• GA ou produção;
• Beta;
• Preview;
• Early Access;
• Pre-GA;
• Experimental.

Onde entram o RGPD e o AI Act?

O RGPD regula o tratamento de dados pessoais.

O AI Act acrescenta regras relacionadas com sistemas e utilizações de Inteligência Artificial.

Quem é responsável pelo tratamento?

Em muitas implementações empresariais, a organização determina a finalidade da utilização e atua como responsável pelo tratamento.

O fornecedor pode atuar como subcontratante para o tratamento abrangido pela DPA.

Mas esta relação pode variar consoante a funcionalidade. O exemplo das pesquisas Web do Microsoft Copilot mostra como um componente pode ter um papel diferente.

Uma DPA significa que o tratamento é legal?

Não.

A DPA regula a relação entre as partes.

Não responde sozinha a perguntas como:

• podemos usar IA para selecionar candidatos?
• podemos avaliar trabalhadores?
• podemos colocar dados médicos?
• devemos informar os titulares?
• precisamos de consentimento ou de outra base de licitude?
• precisamos de uma AIPD?

Quando pode ser necessária uma AIPD?

Uma AIPD pode ser necessária quando o tratamento é suscetível de resultar num elevado risco para os direitos e liberdades das pessoas.

A necessidade depende do tratamento concreto, não do facto de o fornecedor se chamar OpenAI, Google, Microsoft ou Anthropic.

E o AI Act?

O AI Act não diz simplesmente “não coloque dados pessoais no ChatGPT”. Essa é uma simplificação incorreta.

O regulamento estabelece obrigações diferentes consoante o sistema, a finalidade, o papel da organização e o nível de risco.

Certas utilizações em recrutamento, gestão de trabalhadores ou educação podem ter enquadramentos particularmente exigentes.

Ter Enterprise não transforma uma prática proibida ou de alto risco numa prática automaticamente permitida.

Para uma leitura mais ampla do enquadramento europeu, consulte Inteligência Artificial na Europa .

Matriz de procurement: o que deve confirmar antes de escolher o fornecedor?

Não transforme esta tabela num exercício de “quem tem mais vistos”

A melhor solução depende do contexto.

Uma organização totalmente baseada em Google Workspace pode obter mais valor e uma implementação mais simples com Gemini do que com uma plataforma externa, mesmo que outra ferramenta seja melhor num benchmark de raciocínio.

Da mesma forma, uma empresa com Microsoft 365, Purview, Entra e SharePoint pode beneficiar da governação integrada do Copilot.

Outra organização pode preferir ChatGPT ou Claude pela experiência de utilização, modelos, agentes ou flexibilidade.

O objetivo do procurement é encontrar o melhor equilíbrio entre capacidade, contrato, segurança, integração, governação, risco e custo.

Que nível deve a sua organização avaliar primeiro?

Checklist para implementar uma ferramenta de IA na empresa

1. Que produto exato estamos a contratar?
2. Que edição ou plano?
3. Que Termos regulam esse produto?
4. É um contrato consumer ou empresarial?
5. Quem é a entidade contratante?
6. Existe DPA?
7. Qual é o papel do fornecedor no tratamento?
8. Os dados da organização são utilizados para treino?
9. Que informação é Customer Data ou Customer Content?
10. Que direitos temos sobre os inputs?
11. Que direitos temos sobre os outputs?
12. Os outputs podem não ser exclusivos?
13. Existe indemnização de propriedade intelectual?
14. Que exclusões tem essa indemnização?
15. Que limitações de responsabilidade existem?
16. Quem administra os utilizadores?
17. Existe SSO?
18. Existe MFA?
19. Existe SCIM?
20. Existe RBAC?
21. Como funciona o offboarding?
22. Existem audit logs?
23. Existe eDiscovery?
24. Existe Compliance API?
25. É possível configurar retenção?
26. Que retenção existe por predefinição?
27. Que opções de data residency existem?
28. Existe inference residency?
29. Que subprocessadores são utilizados?
30. Como são notificadas alterações de subprocessadores?
31. Que obrigações existem em caso de incidente de segurança?
32. Que serviços de terceiros podem receber dados?
33. Que conectores podem ser ativados?
34. Os administradores conseguem controlar conectores?
35. Existem agentes?
36. Que ações podem esses agentes executar?
37. As funcionalidades Beta ou Preview têm condições diferentes?
38. Existem SLA?
39. Existe suporte empresarial?
40. A organização precisa de termos personalizados?
41. Que política interna de IA será criada?
42. Quem pode usar a ferramenta?
43. Que categorias de informação podem ser enviadas?
44. Que categorias ficam proibidas?
45. Que casos de uso precisam de aprovação prévia?
46. Quem valida outputs críticos?
47. Quem revê permissões dos sistemas ligados?
48. Os trabalhadores receberam formação?
49. Existe um processo para Shadow AI?
50. O tratamento pode exigir AIPD?
51. O caso de uso pode ser abrangido por regras específicas do AI Act?

Quando deve envolver jurídico, DPO, compliance ou IT?

Perguntas frequentes

Continue a explorar

Glossário

Fontes oficiais e documentos consultados

Os Termos, planos e funcionalidades foram revistos em 23 de agosto de 2026. Antes de uma contratação, consulte sempre a versão mais recente e, quando exista, o Order Form ou contrato negociado pela sua organização.