Fuga de dados com IA: por onde saem nas suas aplicações

Nas aplicações próprias, a fuga de dados com IA raramente é um ataque. É a aplicação a fazer o que lhe pediram: junta o nome, o NIF e o processo do cliente num pedido, manda-o à API do modelo e guarda uma cópia nos registos. Cada passo deixa os dados num sítio novo, e a soma desses sítios é a fuga.

O Nonimo Gateway instala-se nos seus próprios servidores. Ver os planos e falar connosco.

Trava-se com quatro gestos, por esta ordem: mandar menos, trocar o que identifica por marcadores antes da chamada, guardar a chave dessa troca em casa e repor os dados reais só quando a resposta volta. Antes disso, convém saber por onde saem.

Por onde se dá a fuga de dados com IA

Pense numa aplicação simples de um escritório de advogados: lê o correio que chega, classifica-o por processo e propõe uma resposta. Num só pedido, os dados de um cliente podem acabar em cinco sítios.

canal	o que leva	onde fica
o prompt	o texto do correio, com nomes, contactos e factos do processo	no fornecedor do modelo
os registos	o pedido e a resposta completos, para depuração	nos seus servidores, no gateway, na ferramenta de observabilidade
o RAG	excertos de outros documentos do processo, juntos ao pedido	no índice de pesquisa e, depois, no prompt
as chamadas a ferramentas	argumentos como o nome do cliente ou a data de uma diligência	no pedido, na resposta e nos registos da ferramenta
a conservação no fornecedor	o que o fornecedor guarda para vigiar abusos ou manter estado	nos servidores do fornecedor, durante o prazo dele

Fonte: canais habituais numa aplicação que chama uma API de modelos de linguagem.

O prompt

É o canal óbvio e o que mais pesa. Tudo o que vai no texto do pedido sai da sua rede. Quem programou a aplicação raramente pensou no conteúdo: o código junta o correio inteiro porque é mais fácil do que escolher as frases úteis. O artigo 5.º, n.º 1, alínea c), do RGPD pede o contrário: dados «adequados, pertinentes e limitados ao que é necessário».

Os registos

É o canal que ninguém decide. A aplicação regista o pedido para depurar erros; o gateway regista-o para contabilizar custos; a ferramenta de observabilidade guarda-o para mostrar latências. Três cópias, três prazos, três listas de pessoas com acesso. A CNPD inclui na Diretriz/2023/1 «ativar e conservar os registos de auditoria (log)», mas não pede que esses registos guardem o texto do processo: para saber quem fez o quê e quando, o conteúdo não faz falta.

Alguns produtos já separam as duas coisas. O LiteLLM tem um modo de guardrail que mascara só antes de registar (documentação do LiteLLM), e o plugin AI Sanitizer do Kong tem, desde a versão 3.13, uma opção para manter fora dos registos os itens sanitizados (histórico do plugin). Na AWS, a documentação do Bedrock Guardrails avisa que o campo input dos registos no CloudWatch guarda sempre o pedido original (documentação da AWS).

O RAG

Quando a aplicação responde com base nos seus documentos, vai buscar excertos a um índice e cola-os no pedido. Não sai apenas o cliente que escreveu o correio: saem também as partes contrárias, as testemunhas e os valores que estavam nos excertos escolhidos. E o próprio índice é uma cópia pesquisável dos documentos, com as mesmas obrigações que o arquivo original.

As chamadas a ferramentas

Se o modelo pode marcar uma reunião ou consultar a agenda, os argumentos dessas chamadas levam nomes e datas, e o resultado da ferramenta volta ao modelo no pedido seguinte. É um canal que muitos filtros não veem: a AWS, por exemplo, diz que o filtro de informação sensível do Bedrock Guardrails não avalia argumentos nem resultados de chamadas a ferramentas (mesma página).

A conservação no fornecedor

O fornecedor do modelo também guarda. Segundo a documentação da OpenAI, os dados enviados pela API não são usados para treino por omissão, mas os registos de monitorização de abuso podem incluir pedidos e respostas e ficam até 30 dias, salvo obrigação legal. As respostas guardadas da Responses API ficam pelo menos 30 dias por omissão (OpenAI, os seus dados).

até 30 dias

O que isto significa para um escritório que trabalha com os modelos da OpenAI está explicado no guia sobre o que o ChatGPT faz com os seus dados.

Um pedido real, cinco cópias

Um exemplo inventado. A aplicação do escritório recebe este correio às 9h12:

Bom dia, Dra. Teresa. Sou o Rui Albergaria Nogueira, NIF 000 000 001. A minha ex-mulher, Sofia Castelões, voltou a não pagar a pensão de alimentos de setembro. O meu contacto é o 900 000 000. Podemos falar esta semana?

Sem nenhuma proteção, o texto inteiro vai no prompt. O RAG junta dois parágrafos da sentença de regulação das responsabilidades parentais, com os nomes das crianças. O modelo chama a ferramenta de agenda com o nome do cliente. A aplicação regista o pedido; o gateway também. A OpenAI guarda-o nos registos de abuso até 30 dias. Ao fim do dia, dados de um processo de família, incluindo os de dois menores, estão em cinco sítios, e só um deles é o arquivo do escritório.

Com os dados trocados antes da chamada, o modelo recebe «[NOME_1]», «[NOME_2]», «[TELEFONE_1]» e um marcador para o número fiscal. Classifica o correio e propõe a resposta da mesma forma, porque não precisa de saber quem é o Rui para perceber que o assunto é uma pensão em atraso. Os registos a jusante guardam marcadores. A correspondência fica no servidor do escritório.

Como travar a fuga de dados com IA

Os quatro gestos, aplicados à aplicação acima:

1. Minimize o que a aplicação envia. Mande o corpo do correio, não a assinatura nem o histórico. Limite o RAG aos excertos necessários. É o que pede o artigo 5.º do RGPD e o que mais reduz o risco, e não custa nada.
2. Pseudonimize antes da chamada. Troque nomes, contactos e números por marcadores no pedido, nos excertos do RAG e nos argumentos das ferramentas. O artigo 32.º do RGPD nomeia a pseudonimização como medida de segurança; o que ela muda e o que não muda está no guia sobre pseudonimização no RGPD.
3. Guarde a chave em casa. A correspondência entre marcadores e dados reais nunca deve sair dos seus servidores, nem ir para os registos.
4. Reponha só na resposta. Quando a resposta volta, troque os marcadores pelos valores reais antes de a entregar ao utilizador, também quando a resposta chega em streaming.

Se algo escapar na mesma, a pergunta seguinte é se tem de avisar a CNPD. O artigo 33.º manda notificar sem demora injustificada e, sempre que possível, até 72 horas; o guia sobre violação de dados numa IA ajuda a decidir. E a regra escrita sobre o que pode entrar em cada ferramenta cabe numa política de utilização de IA.

Para comparar ferramentas que fazem os passos 2 a 4, há uma visão geral (em inglês) de software de redação de dados pessoais e páginas sobre o Kong AI Gateway e os guardrails do LiteLLM.

Nonimo Gateway: os passos 2 a 4 num só sítio

O Nonimo Gateway é um proxy de privacidade que faz a troca antes de o pedido chegar à API do modelo e repõe os dados reais na resposta. Instala-se nos seus próprios servidores, e a correspondência fica lá. É compatível com a API da OpenAI: muda o base_url e usa a sua própria chave.

Reconhece os documentos e números nacionais de cada país que serve e tem um plugin para o LiteLLM. Os planos e preços estão na página do Nonimo Gateway. Onde fica em relação a um gateway está no guia o que é um AI gateway; se está a pensar alojar o modelo, leia primeiro LLM local ou proxy de privacidade.

Comece pelos registos

Abra os registos da sua aplicação de IA e procure o nome de um cliente. Se o encontrar, os dados já estão numa cópia que ninguém decidiu guardar, e é quase certo que o mesmo texto seguiu para o fornecedor. Corte primeiro o que não é preciso e pseudonimize o resto antes da chamada. Veja os planos do Nonimo Gateway e fale connosco.

Fontes

Verificadas a 20 de outubro de 2026.

• Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados, versão portuguesa, EUR-Lex. Artigo 4.º, n.º 12, violação de dados pessoais; artigo 5.º, n.º 1, alínea c), minimização; artigo 32.º, n.º 1, alínea a), pseudonimização e cifragem; artigo 33.º, n.º 1, notificação à autoridade de controlo e prazo de 72 horas.
• CNPD, Diretriz/2023/1, sobre medidas organizativas e de segurança, aprovada a 10 de janeiro de 2023. N.º 20, B, ii, d), vi, ativar e conservar os registos de auditoria.
• OpenAI, Your data. Ausência de treino por omissão, registos de monitorização de abuso até 30 dias e respostas guardadas da Responses API.
• LiteLLM, guardrails. Modo que mascara apenas antes do registo.
• Kong, AI Sanitizer, histórico de versões. Opção para não registar os itens sanitizados, na versão 3.13.
• AWS, Bedrock Guardrails, filtros de informação sensível. Pedido original no campo input dos registos e chamadas a ferramentas fora da avaliação.