Posso colar dados de hóspedes no ChatGPT ou noutra IA? O que dizem o RGPD e as autoridades de proteção de dados (2026)

Atualizado: 10 de novembro de 2026

Copiar o e-mail de um hóspede para o ChatGPT para redigir a resposta, ou colar a lista de chegadas para a IA a organizar, poupa tempo. Mas esse e-mail e essa lista são dados pessoais pelos quais o seu alojamento é responsável. Este guia resume o que dizem o Regulamento Geral sobre a Proteção de Dados (RGPD), as autoridades de Espanha, Itália, Portugal e Grécia, o Comité Europeu para a Proteção de Dados (CEPD) e as condições oficiais da OpenAI, da Google e da Microsoft, verificadas a 10 de novembro de 2026. O que não conseguimos confirmar está assinalado como «não confirmado». Não é aconselhamento jurídico: perante uma dúvida concreta, consulte o seu consultor ou o seu encarregado da proteção de dados.

A resposta curta

O essencial:

Não há uma proibição geral de usar IA, mas o RGPD aplica-se na mesma: apenas os dados necessários, segurança adequada e um fornecedor que atue como subcontratante com contrato.
Nas versões pessoais ou gratuitas dos assistentes não assina esse contrato e, segundo as próprias condições, o que escreve pode ser usado para treino ou lido por um revisor humano.
As versões empresariais (ChatGPT Business ou Enterprise, Copilot com conta de trabalho, a API) não treinam com os seus dados por predefinição e oferecem um acordo de tratamento de dados (DPA).
Regra prática: sem versão empresarial com DPA, não cole nada que identifique um hóspede. Nunca cartão de cidadão, passaporte ou cartões de pagamento.
Se usar IA com dados de hóspedes, registe-o no registo das atividades de tratamento e na sua informação de privacidade.

O que diz o RGPD

Os artigos que importam quando um funcionário cola dados de um hóspede numa IA:

Art. 5.º, n.º 1, alínea c), minimização: os dados devem ser «adequados, pertinentes e limitados ao que é necessário». Para melhorar o tom de um e-mail, a IA não precisa do nome nem do número da reserva.
Art. 5.º, n.º 1, alínea f), e art. 32.º: segurança adequada com medidas técnicas e organizativas; o art. 32.º refere expressamente a pseudonimização e a cifragem.
Art. 6.º, n.º 1: todo o tratamento precisa de um dos seis fundamentos de licitude (por exemplo, a execução do contrato de reserva). A comodidade não é fundamento.
Art. 28.º: só pode recorrer a subcontratantes que apresentem «garantias suficientes», com um contrato que estabeleça que tratam os dados segundo as suas instruções documentadas, com confidencialidade, e que os apagam ou devolvem no fim.
Art. 30.º: o registo das atividades deve incluir as categorias de destinatários e as transferências para países terceiros.
Arts. 44.º a 46.º: se os dados saírem do Espaço Económico Europeu (muitos fornecedores de IA são norte-americanos), é necessária uma decisão de adequação da Comissão ou garantias como as cláusulas-tipo. Verifique que mecanismo indica o DPA do fornecedor.

Versão gratuita ou pessoal e versão empresarial

O que dizem as condições oficiais de cada fornecedor:

OpenAI (ChatGPT): nos serviços individuais «podemos usar o seu conteúdo para treinar os nossos modelos», salvo se o desativar nos controlos de dados ou no portal de privacidade; os chats temporários não são usados para treino. Nos produtos empresariais (Team ou Business, Enterprise e API) não treina por predefinição, oferece um Data Processing Addendum e, para clientes elegíveis de Enterprise, Edu e API, o armazenamento dos dados na Europa.
Google (Gemini): na app pessoal, uma parte dos chats é lida por revisores humanos e a Google pede que não introduza dados confidenciais ou que não queira que um revisor veja. Se desativar a «Atividade» (Keep Activity), os chats futuros não treinam os seus modelos, mas são guardados durante 72 horas. Com conta de trabalho podem aplicar-se outras condições; quais exatamente no Google Workspace: não confirmado.
Microsoft (Copilot e Copilot Chat): quando usado por uma organização, rege-se pelo Data Protection Addendum e pelos Product Terms, com a Microsoft como subcontratante, e os prompts e respostas não treinam os modelos fundacionais. Atenção: nas pesquisas na web que o Copilot faz (Bing), a Microsoft atua como responsável independente. Condições do Copilot com conta pessoal: não confirmado.
Desativar o treino numa conta pessoal reduz riscos, mas não transforma o fornecedor no seu subcontratante com contrato do art. 28.º.

O que disseram as autoridades

Nenhuma autoridade publicou orientações específicas para alojamentos; isto é o mais próximo:

CNPD (Portugal): em abril de 2025 divulgou o guia do CEPD sobre os riscos dos grandes modelos de linguagem, que segundo a CNPD «introduzem significativos riscos à privacidade»; entre os exemplos está um chatbot de apoio a clientes. Uma orientação da CNPD específica sobre colar dados em chatbots: não encontrada.
AEPD (Espanha): nas recomendações para utilizadores de chatbots pede que não se deem dados pessoais de terceiros «se houver dúvidas de que o tratamento vai ultrapassar o âmbito doméstico», que se partilhe o mínimo e que se verifique se o chatbot continua a aprender com as conversas. Um alojamento não é âmbito doméstico. Em abril de 2023 abriu uma investigação oficiosa à OpenAI.
Garante (Itália): a 2 de novembro de 2024 (provvedimento n.º 755) aplicou à OpenAI uma coima de 15 milhões de euros, entre outros motivos por treinar o ChatGPT com dados de utilizadores sem fundamento jurídico adequado e por não notificar uma violação de março de 2023. O Tribunal de Roma anulou a decisão a 18 de março de 2026 porque, desde fevereiro de 2024, a autoridade competente era a irlandesa; não apreciou o mérito. Se houve recurso: não confirmado.
CEPD: o seu grupo de trabalho sobre o ChatGPT (relatório de maio de 2024) lembrou que o que os utilizadores escrevem é usado para treino e que a responsabilidade pelo RGPD não pode ser transferida para os utilizadores. O seu Parecer 28/2024 (18 de dezembro de 2024) trata dos dados pessoais nos modelos de IA e dirige-se sobretudo a quem os desenvolve.
ΑΠΔΠΧ (Grécia): publicou em abril de 2025 material formativo sobre IA e RGPD. Um guia grego específico sobre colar dados em chatbots: não encontrado.

O que pode colar e o que não

Conselhos práticos que decorrem das normas e das condições dos fornecedores:

Anonimize antes de colar: retire nome, e-mail, telefone, número de reserva e datas exatas; escreva «hóspede A, chega no dia X». Para melhorar o tom de uma resposta, basta o texto sem dados.
Nunca cole nem carregue fotos de cartão de cidadão ou passaporte, números de cartão nem listas enviadas ao SIBA. Nenhuma tarefa de IA precisa deles.
Cuidado especial com dados de saúde (alergias, mobilidade reduzida, gravidez) e com dados de menores.
Não carregue exportações completas do PMS (listas de chegadas, bases de clientes) numa conta pessoal.
Use contas da empresa, não a conta pessoal de cada funcionário, e desative o treino sempre que possível.

Se vai usar IA com dados de hóspedes

Passos razoáveis antes de começar:

Escolha uma versão empresarial e assine ou aceite o respetivo DPA; guarde-o com os outros contratos de subcontratação.
Verifique no DPA onde ficam os dados, durante quanto tempo e com que mecanismo de transferência (arts. 44.º a 46.º).
Atualize o registo das atividades: o fornecedor de IA como destinatário e, se for o caso, a transferência para fora do EEE.
Atualize a informação de privacidade (destinatários e transferências) e escreva uma regra interna curta: que ferramenta, para quê e que dados nunca.
Forme a receção e as reservas: a maioria dos riscos vem de um copiar e colar à pressa.

Como ajuda a iQuota

A iQuota publica os dados do seu alojamento, não os dos seus hóspedes, para que os assistentes de IA que os viajantes já usam os leiam corretamente:

A página de reserva criada pela iQuota não pede documento de identificação nem dados de cartão: o pagamento é feito no alojamento.
Ninguém pode garantir que uma IA concreta o mostre ou recomende.

Para ler a seguir

Guias relacionados:

A política de privacidade do seu alojamento e a cópia dos documentos dos hóspedes: /politica-privacidade-alojamento-copia-documentos-hospedes-2026.
O chatbot de IA do seu alojamento e o Regulamento europeu da IA: /chatbot-ia-site-alojamento-regulamento-ia-aviso-2026.

Quer que as IA deem os seus dados e condições reais, com reserva direta e sem comissão? Os primeiros 30 hotéis entram grátis até 30 de junho de 2027.

Ver o programa Founding Hotels (em inglês)

Perguntas frequentes

Posso usar o ChatGPT gratuito para responder a e-mails de hóspedes?

Sim, se não colar dados que identifiquem o hóspede: retire nome, e-mail, telefone e número de reserva. Com dados pessoais, o prudente é uma versão empresarial com contrato de subcontratação (DPA).

Basta desativar o treino na minha conta pessoal?

Ajuda, mas não substitui o contrato de subcontratação do art. 28.º do RGPD. No Gemini, além disso, os chats são guardados 72 horas mesmo com a atividade desativada.

O que aconteceu à coima do Garante à OpenAI?

O Garante aplicou 15 milhões de euros em 2024 (provvedimento n.º 755). O Tribunal de Roma anulou-a a 18 de março de 2026 por incompetência, sem se pronunciar sobre o mérito.

Tenho de o indicar na política de privacidade?

Se um fornecedor de IA trata dados dos seus hóspedes, é um destinatário e pode haver transferência para fora do EEE: deve constar do registo das atividades e da informação de privacidade.

E se um funcionário já colou dados numa IA pessoal?

Avalie com o seu consultor: pode ser uma violação de dados que tem de ser documentada e, consoante o risco, notificada à CNPD. Apague a conversa e reveja a regra interna.

Fontes

Mais guias para hotéis

Mais guias para hotéis →

Español · English · Italiano · Ελληνικά