AI Compliance

AI compliance soa a projeto jurídico. Para a maioria das equipas de marketing é um problema de arquivo. As regras que se aplicam a uma campanha feita com IA são, na maioria, as regras que já se aplicavam antes: nada de alegações falsas, nada de dados pessoais onde não pertencem, nada de música ou rostos que não tem direito a usar. O que mudou foi a velocidade. Uma equipa consegue agora produzir numa tarde o que antes levava um mês, e a papelada não acelerou com ela.

Este artigo não é aconselhamento jurídico. As leis variam de país para país e ainda estão a mudar. É uma lista de trabalho do que verificar, do que guardar e de onde as equipas costumam ser apanhadas, para que a conversa com a sua equipa jurídica comece a partir de factos e não de capturas de ecrã.

O que a AI compliance cobre realmente

Há quatro áreas que surgem em quase todas as revisões. Mantenha-as separadas, porque têm responsáveis diferentes e soluções diferentes.

• Dados. O que entrou no prompt. Listas de clientes, números ainda não publicados, dados pessoais, o briefing de um cliente sob NDA.
• Direitos. O que saiu e o que foi usado para o fazer. Música, vozes, rostos, logótipos e a licença da ferramenta no plano que paga.
• Divulgação. Quando é preciso informar o público ou uma plataforma de que algo é sintético ou foi feito com IA.
• Alegações. Se as palavras são verdadeiras. Um modelo escreve um preço, uma estatística ou uma alegação de saúde com total confiança.

A maioria dos incidentes não tem nada de exótico. Alguém colou uma folha de cálculo numa ferramenta de chat gratuita. Uma voz foi clonada sem uma autorização assinada. Um testemunho gerado parecia de um cliente real. Cada um destes casos viola uma regra que já existia.

As regras de que vai ouvir falar

Na Europa, a principal é o AI Act da UE. Entrou em vigor em agosto de 2024 e aplica-se por fases. As proibições de certas práticas e o dever de garantir que quem usa IA tem literacia em IA suficiente aplicam-se desde fevereiro de 2025. As obrigações para fornecedores de modelos de uso geral seguiram-se em agosto de 2025. Os deveres de transparência sobre deepfakes e conteúdo gerado por IA estavam previstos a partir de agosto de 2026, e partes do calendário têm estado em revisão em Bruxelas. Confirme as datas atuais antes de as escrever numa política.

Para uma equipa de marketing que usa IA em vez de a construir, as partes que mais importam dizem-se depressa. Forme as pessoas que usam as ferramentas. Identifique imagens, áudio e vídeo sintéticos realistas de pessoas, lugares ou acontecimentos reais quando a lei ou a plataforma o exigirem. Não use IA para manipular ou enganar. A maior parte do trabalho de anúncios e conteúdo não é de alto risco segundo o AI Act, mas um chatbot que fala com clientes ou um sistema que pontua leads merece um olhar mais atento.

O RGPD continua por baixo de tudo isto. Dados pessoais num prompt são tratamento de dados. Precisa de uma base legal, de um acordo de tratamento de dados com o fornecedor e de uma resposta clara sobre onde os dados ficam guardados e se são usados para treino. A nossa posição está na declaração RGPD e na página de proteção de dados e confiança.

Fora da UE o cenário é uma manta de retalhos. Nos Estados Unidos, as regras de proteção do consumidor já abrangem a IA: avaliações e testemunhos falsos, incluindo os escritos por IA, são proibidos, e alegações enganosas sobre o que um produto consegue fazer são tratadas como qualquer outra alegação enganosa. Vários estados têm regras próprias sobre deepfakes, clonagem de voz e anúncios políticos. As plataformas acrescentam uma camada por cima. Meta, TikTok e YouTube pedem todos uma etiqueta em conteúdo sintético realista, e um anúncio que a ignore pode ser retirado.

Onde as equipas de marketing são apanhadas

• Dados de clientes ou colaboradores colados numa conta pessoal de um plano gratuito.
• Uma voz clonada ou um rosto gerado que parece uma pessoa real, sem consentimento arquivado.
• Música, modelos ou efeitos licenciados para publicações orgânicas e depois usados num anúncio pago.
• Avaliações, citações ou números de casos de estudo que um modelo inventou.
• Uma imagem de produto fotorrealista que mostra algo que o produto não faz.
• Nenhum registo de que ferramenta criou um ativo, por isso ninguém consegue responder a um pedido de remoção ou a uma auditoria.

As questões de direitos costumam depender da ferramenta. Tratámo-las para voz em ElevenLabs e para edição e música em CapCut. O padrão é o mesmo em todo o lado: o plano gratuito e o plano pago nem sempre dão os mesmos direitos, e os termos mudam. Leia os termos do plano de onde exporta, este mês.

Uma checklist simples de AI compliance

Cabe numa página. É essa a ideia. Uma política que ninguém abre não protege ninguém.

1. Mantenha uma lista de ferramentas de IA aprovadas, com o plano, o responsável e um acordo de tratamento de dados assinado para cada uma.
2. Escreva o que nunca entra num prompt: dados pessoais, material de clientes sob NDA, dados financeiros não publicados.
3. Obtenha consentimento por escrito antes de clonar uma voz ou gerar a imagem de uma pessoa real.
4. Verifique a licença de música, vozes e modelos face à colocação, incluindo anúncios pagos.
5. Identifique conteúdo sintético realista quando a lei ou a plataforma o exigirem.
6. Verifique cada número, preço, citação e alegação antes de publicar.
7. Guarde um registo por ativo: ferramenta, prompt ou briefing, ficheiros de origem, revisor e data de publicação.
8. Dê a todos os que usam as ferramentas uma formação curta e registe que a fizeram.

Compliance é um registo, não uma sensação

Quando um regulador, um cliente ou uma plataforma faz uma pergunta, a resposta é um ficheiro. Que ferramenta, que plano, que briefing, quem aprovou. Equipas que trabalham com dez logins não conseguem produzir esse ficheiro. Só conseguem dizer que acham que estava tudo bem. É o mesmo problema que descrevemos em AI transformation is a problem of governance: o risco vive nos intervalos entre ferramentas, não dentro de uma só.

A solução é aborrecida e funciona. Menos ferramentas. Um sítio onde briefings, ativos e aprovações vivem juntos. Regras de marca e alegações proibidas escritas uma vez, para que cada gerador leia da mesma lista. O Brand Kit guarda o logótipo, o tom e as alegações que pode e não pode fazer. Os AI Workflows colocam um passo de revisão entre a geração e a publicação. Para equipas maiores, o Enterprise acrescenta os controlos de acesso e os termos de dados sobre os quais uma revisão jurídica vai perguntar.

Perguntas frequentes

Temos de identificar todo o conteúdo feito com IA?

Não. Os deveres centram-se em conteúdo sintético realista que possa ser confundido com real, como um deepfake de uma pessoa ou de um acontecimento, e em certos textos publicados para informar o público. Uma descrição de produto assistida por IA ou uma ilustração estilizada normalmente não estão abrangidas. As regras das plataformas podem ser mais exigentes do que a lei, por isso verifique as duas.

AI compliance é o mesmo que governança de IA?

Sobrepõem-se. Compliance é cumprir as regras que se aplicam a si. Governança é a forma como organiza o trabalho para conseguir cumpri-las: responsáveis, ferramentas aprovadas, passos de revisão e registos. Uma boa governança torna a compliance barata.

Quem deve ser responsável pela AI compliance numa equipa de marketing?

Uma pessoa com nome, normalmente de marketing operations, a trabalhar com o departamento jurídico e o encarregado de proteção de dados. O jurídico define as regras. Marketing operations garante que as ferramentas, a checklist e os registos existem mesmo.

Conclusão

AI compliance são sobretudo regras antigas a uma velocidade nova. Saiba o que entra no prompt, saiba que direitos saem, identifique o que precisa de etiqueta, verifique cada alegação e guarde o registo. Se a sua equipa consegue responder que ferramenta fez isto, com que dados e quem aprovou, está à frente da maioria. Comece já com o Content24, ou leia brand voice across AI tools para o lado da marca do mesmo problema.