Quem é responsável por um website na era da Inteligência Artificial?

Quando encontramos um website que apresenta informações, serviços ou produtos aliciantes e promissores, podemos sentir-nos tentados a clicar, experimentar ou até comprar sem a devida atenção e sem antes questionarmos quem está verdadeiramente por detrás daquela montra.

Hoje, com a Inteligência Artificial, criar um website, produzir conteúdos, gerar imagens ou desenvolver novas funcionalidades tornou-se mais rápido e acessível. Mas esta facilidade não elimina uma questão essencial: quem assume a responsabilidade pelo que é publicado?

Um avanço muito rápido

O mundo está a avançar rapidamente para a digitalização e para a automação. Com esta evolução, é necessário estabelecer regras para evitar o uso indevido de dados pessoais, a exploração comercial de informação privada, a propagação de notícias falsas, a usurpação de identidade, as burlas e outras formas de abuso.

Na criação de documentação, procuro sempre identificar o autor e o editor. Não o faço por vaidade ou para afirmar que o trabalho é meu. Faço-o porque a informação deve ser identificada, classificada e organizada. Daqui a alguns anos, pode já ninguém se lembrar de quem produziu um documento, em que contexto foi criado ou quem aprovou a sua publicação.

Quando escrevo um artigo para o LinkedIn, procuro indicar as fontes consultadas. Se utilizo Inteligência Artificial como apoio, considero correto referi-lo. A IA pode ajudar na pesquisa, na organização ou na revisão, mas deve existir uma pessoa responsável pelo resultado final.

Num website, esta responsabilidade é ainda mais importante.

Um visitante deve conseguir perceber quem publica o site, que entidade presta o serviço, como pode contactá-la e quem é responsável pelo tratamento dos dados pessoais.

Quando existe uma empresa, devem estar acessíveis informações como a firma, o tipo de sociedade, a sede, o número de identificação, o registo comercial e, quando aplicável, o capital social.

Não se trata apenas de uma boa prática. Em Portugal, o artigo 171.º do Código das Sociedades Comerciais exige que as sociedades incluam determinadas informações nos seus websites e restantes atos externos.

O artigo 10.º do Decreto-Lei n.º 7/2004 estabelece também a obrigação de disponibilização permanente de informações por parte dos prestadores de serviços da sociedade da informação e de comércio eletrónico.

Informações obrigatórias

Os prestadores devem disponibilizar em linha, de forma fácil e direta, elementos que incluam:

• Identificação: nome ou denominação social;
• Endereços: endereço geográfico do estabelecimento e endereço eletrónico para contacto direto;
• Registos públicos: dados de registo comercial ou profissional equivalente;
• Dados reguladores: informações sobre a atividade regulada, quando aplicável, e respetiva ordem ou entidade de supervisão.

O cumprimento destas obrigações é relevante para prestadores de serviços digitais e operadores de comércio eletrónico em Portugal. A omissão de informação legalmente exigida pode constituir uma contraordenação.

O artigo 10.º do Decreto-Lei n.º 7/2004 obriga os prestadores de serviços online a manter permanentemente acessíveis elementos que permitam a sua identificação e contacto.

Se o website recolher dados através de formulários, inscrições, compras, áreas reservadas ou outras funcionalidades, a política de privacidade deve identificar claramente o responsável pelo tratamento e explicar, em linguagem compreensível, que dados são recolhidos, para que fins, durante quanto tempo e com quem podem ser partilhados.

Uma política de cookies ou um texto genérico sobre privacidade não resolve a falta de identificação da entidade responsável.

Tenho encontrado websites onde existe apenas um endereço de correio eletrónico. Não apresentam uma designação social, uma morada, um número de identificação ou uma pessoa responsável. Alguns publicam uma política de cookies e um texto sobre tratamento de dados, mas não permitem perceber claramente quem controla o site ou quem responde pelo tratamento da informação.

Também acontece o domínio estar registado através de um serviço que não revela publicamente o titular. Este facto, isoladamente, não significa que exista uma ilegalidade, porque a ocultação pública de dados no registo de domínios pode resultar de regras de privacidade.

No entanto, essa proteção não dispensa o próprio website de apresentar as informações legalmente exigidas.

A identidade do fornecedor de alojamento também não tem de aparecer obrigatoriamente em todos os websites. O que deve estar claro para o utilizador é a identidade da entidade responsável pelo site e pelo tratamento dos dados.

Os fornecedores que tratam dados por sua conta devem estar devidamente contratualizados e ser comunicados quando a legislação o exigir.

E quando o conteúdo é criado com Inteligência Artificial?

A utilização de IA não elimina a responsabilidade do autor, do editor ou da entidade que publica.

Antes da publicação, alguém deve confirmar os factos, verificar as fontes, avaliar os direitos sobre textos e imagens e garantir que não foram introduzidos na ferramenta dados pessoais, documentos confidenciais ou informação comercial reservada .

Esta questão ganha ainda mais importância num momento em que ferramentas de Inteligência Artificial conseguem produzir textos, imagens, vídeos e até partes significativas de um website.

Desde 2 de agosto de 2026, o artigo 50.º do Regulamento Europeu da Inteligência Artificial estabelece obrigações de transparência para determinadas utilizações de IA.

Entre as situações abrangidas encontram-se a interação direta com determinados sistemas de Inteligência Artificial, conteúdos sintéticos, deepfakes, sistemas de reconhecimento de emoções ou categorização biométrica e determinadas publicações geradas ou manipuladas por IA sobre matérias de interesse público.

No caso de textos gerados ou manipulados por IA que informem o público sobre matérias de interesse geral, existem obrigações específicas de transparência, embora a legislação preveja exceções, nomeadamente quando existe revisão ou controlo editorial humano e uma pessoa ou entidade assume a responsabilidade pela publicação.

Isto não significa que todos os textos apoiados por IA tenham obrigatoriamente de receber a mesma identificação.

Ainda assim, quando a IA teve uma intervenção relevante, indicar esse apoio é uma prática de transparência que ajuda o leitor a avaliar o conteúdo.

As empresas que utilizam IA profissionalmente também devem preparar os seus colaboradores. O artigo 4.º do Regulamento Europeu da Inteligência Artificial exige medidas destinadas a garantir um nível adequado de literacia em IA às pessoas que operam ou utilizam estes sistemas em nome das organizações.

O que fazer quando um website não identifica os responsáveis?

O primeiro passo é procurar o aviso legal, os termos, a política de privacidade e os contactos.

Quando existe uma empresa identificada, a informação pode ser comparada com o respetivo registo comercial.

Se o website tratar dados pessoais sem identificar claramente o responsável, ou se existirem indícios de tratamento irregular, a situação pode ser comunicada à Comissão Nacional de Proteção de Dados .

Quando estejam em causa práticas comerciais, prestação de serviços, comércio eletrónico ou outras matérias da sua competência, pode também ser apresentada uma queixa ou denúncia à ASAE . A própria ASAE indica que, quando os factos comunicados não sejam da sua competência, a denúncia pode ser encaminhada para a entidade competente.

Em determinadas situações relacionadas com serviços digitais e prestadores de serviços intermediários, a ANACOM pode também ter competências, nomeadamente enquanto Coordenador dos Serviços Digitais em Portugal.

No entanto, quando o problema é precisamente não ser possível identificar quem gere o website ou qual é o prestador responsável, esta via pode ser mais difícil. As reclamações neste âmbito são dirigidas contra prestadores de serviços intermediários e, por isso, é particularmente importante reunir toda a informação que possa ajudar a identificar a entidade: domínio, endereço completo da página, contactos apresentados no site, mensagens recebidas, capturas de ecrã e outros elementos técnicos ou documentais disponíveis.

Antes de apresentar qualquer participação ou denúncia, convém guardar o endereço completo, as páginas consultadas, capturas de ecrã e a data da verificação.

Foi esse o procedimento que segui nos casos em que não consegui identificar quem tratava os dados pessoais recolhidos pelo website: reuni a informação disponível e apresentei a situação à CNPD para avaliação.

As regras devem ser cumpridas por todos.

Uma empresa que se identifica, mantém documentação legal, protege os dados e assume a responsabilidade pelo que publica não pode ficar em desvantagem perante entidades que operam apenas através de um domínio e de um endereço de correio eletrónico.

Um website é uma publicação e um ponto de contacto com o público. Quem o utiliza tem o direito de saber com quem está a comunicar e quem responde pela informação e pelos dados recolhidos.

E a utilização de Inteligência Artificial não altera esse princípio: a tecnologia pode apoiar a criação e gestão de um website, mas continua a ter de existir alguém que assume a responsabilidade pelo resultado.