[nonimo]
PT
Descarregar a app

Política de IA no gabinete de contabilidade: modelo pronto

· Atualizado a

Três cláusulas de uma política de IA de um gabinete de contabilidade fictício: contas do gabinete, o que nunca entra e o que entra tapado
Joaquín Trapero

in Especialista em inteligência artificial e proteção de dados, e fundador do Nonimo.

Num gabinete de contabilidade, a política de utilização de IA é a página que diz a cada pessoa com que conta abre uma ferramenta de IA, o que nunca lá põe e quem responde pelo que sai. Nenhuma lei portuguesa lhe dá esse nome.

Várias normas pedem, cada uma à sua maneira, o que ela contém: o Código Deontológico da Ordem, o RGPD, a Lei n.º 58/2019 e o Regulamento da IA. Aqui fica o modelo, em onze cláusulas, e a razão de cada uma. Quem procura a ferramenta, e não a regra, tem a página para contabilistas certificados.

Resposta rápida

A política de IA de um gabinete é um texto curto: contas autorizadas, o que nunca entra, o que entra tapado, quem confirma, registo, formação e assinatura. Nenhuma lei a exige com esse nome, mas o RGPD pede instruções a quem trata dados e o Regulamento da IA pede medidas de literacia.

Modelo de política de utilização de IA para o gabinete

Que cláusulas mudam com o tamanho do gabinete

Escolha o seu caso e preencha estas primeiro. Eu não deixava a 2 nem a 3 para depois: são as que evitam o engano mais caro.

  • Cláusula 1: o responsável é o próprio, com o número de inscrição na Ordem.
  • Cláusula 2: todas as contas que usa, incluindo a da aplicação do telemóvel.
  • Cláusula 8: ninguém a quem avisar, por isso o que conta é a linha no registo no próprio dia.
  • Cláusula 11: assina e data a folha na mesma.
  • Cláusula 1: um responsável com nome, contabilista certificado, que responde pelos colaboradores.
  • Cláusula 2: quem tem acesso a cada conta, pessoa a pessoa.
  • Cláusula 9: uma sessão com data e nomes, antes de alguém usar IA com documentos de clientes.
  • Cláusula 11: uma folha por pessoa, guardada com a versão da política.
  • Cláusula 3: baixas, atestados e quotas sindicais dos trabalhadores do cliente nunca entram.
  • Cláusula 10: sem autorização prévia e por escrito do cliente, os dados dos trabalhadores dele não entram, nem ocultados.
  • Cláusula 7: o código do cliente em cada linha, para lhe mostrar o que entrou se ele perguntar.

Leitura deste guia sobre o modelo abaixo. Responsabilidade pelos colaboradores: Código Deontológico, artigo 5.º. Autorização do cliente: RGPD, artigo 28.º, n.º 2.

Copie o texto, preencha o que está entre parênteses retos e apague o que não se aplica. O modelo não cita artigos, porque é para ser lido por quem trabalha consigo; de onde vem cada cláusula está explicado mais abaixo, e a cláusula 4 e parte da 3 partem do guia sobre dados de clientes no ChatGPT.

Política de utilização de inteligência artificial de [nome do gabinete], versão de [data].

A quem se aplica, e com que ferramentas e contas

  1. A quem se aplica. A todas as pessoas que tratam documentos de clientes por conta do gabinete: sócios, colaboradores, estagiários e prestadores externos. Responsável por esta política: [nome], contabilista certificado n.º [número].

  2. Ferramentas e contas autorizadas. Só se usam as ferramentas desta lista, e só com a conta do gabinete: [ferramenta, plano e quem tem acesso]. Para trabalho de clientes não se usam contas pessoais, gratuitas ou pagas, nem no computador nem no telemóvel. Uma ferramenta nova entra na lista antes de ser usada.

O que nunca entra, e o que só entra ocultado

  1. O que nunca entra. Nem ocultado nem aos bocados: credenciais de acesso de clientes (Portal das Finanças, Segurança Social Direta, banca online), ficheiros SAF-T, baixas médicas, atestados e tudo o que revele saúde, quotas sindicais e o que o contrato com o cliente excluir.

  2. O que só entra ocultado. Nomes, NIF, NISS, número do Cartão de Cidadão, número de utente, IBAN, moradas, datas de nascimento, matrículas e números de processo substituem-se por marcadores antes de colar, sempre o mesmo marcador para a mesma pessoa. Se o que sobra ainda deixar perceber de quem se trata, não entra.

  3. Para que serve. Para redigir, resumir, rever texto e explicar uma norma. Não serve para decidir um enquadramento fiscal ou contributivo, e nada segue para um cliente sem ser confirmado na fonte: Portal das Finanças, Diário da República, ofício circulado.

Quem confirma, o que se regista e o que se faz se algo sair por engano

  1. Quem responde pelo resultado. O que sai da ferramenta é um rascunho. Quem o usa confirma-o, e o contabilista certificado responde por ele como por qualquer outro trabalho do gabinete.

  2. O registo. Cada utilização com um documento de cliente fica numa linha: data, código do cliente, ferramenta, finalidade e se levou dados pessoais depois de ocultados. O código do cliente, nunca o nome.

  3. Se alguma coisa sair por engano. Não se apaga a conversa antes de a registar, e avisa-se [nome] no próprio dia. [nome] decide, com o registo à frente, se é preciso avisar o cliente ou notificar a CNPD.

Formação, pedidos de clientes, revisão e assinatura

  1. Formação. Ninguém usa IA com documentos de clientes sem ter lido esta política e feito [sessão ou formação]. Fica registado quem fez o quê e quando.

  2. Quando um cliente pergunta. Entrega-se uma cópia desta política. Se o contrato com o cliente proibir a IA ou exigir autorização prévia, cumpre-se o contrato. Quando o gabinete trata dados pessoais por conta do cliente, como no processamento de salários, esses dados só entram, mesmo ocultados, com autorização prévia e por escrito do cliente.

  3. Revisão e assinatura. A política revê-se de seis em seis meses, quando entra ou sai uma ferramenta e quando a Ordem publicar orientações sobre IA. Cada pessoa assina e data uma tomada de conhecimento; quem trabalha sozinho assina-a na mesma.

Ferramentas de IA autorizadas: que contas entram na lista

A cláusula 2 fala de contas, não de marcas: a mesma aplicação muda de regras conforme a conta. No Copilot Chat com conta Microsoft Entra, pedidos e respostas ficam na adenda de proteção de dados e não treinam modelos de base, como mostra o guia do Copilot.

A exceção a decidir são as pesquisas na Web que o Copilot envia ao Bing: saem sem identificadores, mas ficam fora da adenda. No Gemini com Google Workspace, o conteúdo não é revisto por humanos nem treina modelos fora do domínio sem autorização; com conta pessoal muda.

Os planos do ChatGPT, um a um, têm guia próprio, ligado logo no início do modelo. Na lista do gabinete, conta pessoal não entra, nem paga. Não é desconfiança das marcas: numa conta pessoal quem aceita os termos é a pessoa, e o gabinete não tem como os controlar.

Esta conta pode entrar na cláusula 2?

Faça o percurso para cada ferramenta que alguém da equipa usa.

A conta é do gabinete e gerida por quem administra o Microsoft 365, o Google Workspace ou o plano de empresa?

As condições do fornecedor dizem que o conteúdo não treina modelos, ou não fora do seu domínio sem autorização?

Há uma adenda de tratamento de dados aceite com esse fornecedor, guardada com a política?

Sabe o que fica fora dessa adenda, como a pesquisa na Web do Copilot, e já decidiu se fica ligada?

Fica fora da lista. Uma conta pessoal, mesmo paga, não é do gabinete.
Fica fora até alguém confirmar o treino nas condições do fornecedor, por escrito.
Ainda não entra. Pode entrar quando a adenda estiver aceite e arquivada.
Ainda não entra. Peça a quem administra a conta que desligue o que fica fora da adenda, ou proíba-o na cláusula 3.
Entra na lista. Escreva na cláusula 2 o plano, quem tem acesso e a data.

A ordem das perguntas é nossa. Treino, adenda e pesquisa na Web seguem as páginas da Microsoft sobre proteção de dados empresariais e da Google sobre privacidade da IA no Workspace (ver Fontes).

Um cliente atento vai olhar para a cláusula 2 por outra razão. Quando processa salários por conta dele, o gabinete é subcontratante, e o RGPD, no n.º 2 do artigo 28.º, não o deixa recorrer a outro subcontratante sem autorização prévia e por escrito do cliente.

Uma conta de IA com adenda de tratamento de dados é isso mesmo, um subcontratante. Vale mais pôr a autorização no contrato de prestação de serviços do que esperar pela pergunta. Com uma autarquia a regra chega pelo contrato público, e o que uma câmara municipal exige a quem lhe presta serviços é mais apertado.

A autorização, escrita no contrato com o cliente

Uma base para quem o assessora adaptar ao contrato de prestação de serviços.

Cláusula de IA

O CLIENTE autoriza o GABINETE a utilizar as ferramentas de inteligência artificial identificadas na política interna de IA do GABINETE, na versão em vigor, só com contas profissionais com adenda de tratamento de dados e sem introduzir dados pessoais que não tenham sido previamente ocultados. O GABINETE informa o CLIENTE de qualquer ferramenta que pretenda acrescentar ou substituir, e o CLIENTE pode opor-se antes de a alteração produzir efeitos.

Texto de exemplo deste guia. O direito de oposição segue o RGPD, artigo 28.º, n.º 2, para a autorização geral.

Documentos de clientes: o que fica fora da IA e o que entra tapado

As cláusulas 3 e 4 fazem duas listas. A primeira não tem exceções: uma senha não se tapa e um atestado revela saúde. A segunda é tudo o que identifica alguém e que uma etiqueta resolve; o detalhe, campo a campo, está nesta lista de dados a retirar.

Nos salários há mais uma razão. A Lei n.º 58/2019, no n.º 2 do seu artigo 28.º, admite que o contabilista certificado trate dados dos trabalhadores do cliente por contrato de prestação de serviços, «sujeito a iguais garantias de sigilo». A política escrita mostra essas garantias.

Um ficheiro SAF-T é onde fecho a porta sem conversa. Leva a faturação de uma empresa, com os NIF dos clientes dela, e nenhuma pergunta de trabalho precisa de tudo aquilo de uma vez.

As quatro gavetas das cláusulas 3 e 4

Em cor, a gaveta que nenhum prazo das Finanças abre.

Na políticaExemplos num gabinetePorquê
Nunca entraSenhas do Portal das Finanças e da Segurança Social Direta, códigos de banca online, ficheiros SAF-T, baixas e atestadosUma credencial não se tapa; um atestado revela saúde, categoria especial do artigo 9.º do RGPD
Só entra tapadoNome, morada, NIF, IBAN, NISS, data de nascimento, n.º do Cartão de Cidadão, matrículaUma etiqueta coerente, como [CLIENTE_1], mantém o sentido sem a pessoa
Depende do contratoDados dos trabalhadores de um cliente, no processamento de saláriosO gabinete é subcontratante: precisa de autorização do cliente (RGPD, artigo 28.º, n.º 2)
Entra como estáTexto de uma norma, um ofício circulado, uma pergunta técnica sem caso realNão há dados pessoais nem factos sujeitos a sigilo

Exemplos pensados para um gabinete pequeno. Categorias especiais: RGPD, artigo 9.º. Subcontratação: RGPD, artigo 28.º, n.º 2. Salários: Lei n.º 58/2019, artigo 28.º, n.º 2.

Literacia em IA: o que o artigo 4.º pede a um gabinete

Desde 2 de fevereiro de 2025, o artigo 4.º do Regulamento (UE) 2024/1689 obriga o «responsável pela implantação», quem usa IA sob a sua autoridade fora de uma atividade pessoal, a tratar da literacia do pessoal. Um gabinete que usa IA com trabalho de clientes cabe aí.

O Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026, reescreveu o artigo: os responsáveis pela implantação «adotam medidas para promover» a literacia, sem obrigação de que alguém atinja um nível específico. As restantes datas do Regulamento, obrigação a obrigação, vêm no calendário para empresas.

Nas perguntas e respostas atualizadas a 20 de outubro de 2026, a Comissão diz que não é preciso certificado, que serve um registo interno e que a fiscalização cabe às autoridades nacionais desde 2 de agosto de 2026. Pagar um curso certificado só por causa deste artigo é dinheiro mal gasto.

O mínimo de literacia em IA do gabinete

Marque o que já está feito e com data.

0 de 5

Ainda não há uma medida que se demonstre. Comece pela leitura da política em equipa.

O Código Deontológico já pedia isto antes do Regulamento da IA. O artigo 6.º, alínea a), manda o contabilista certificado «desenvolver e incrementar os seus conhecimentos e qualificações técnicas e as dos seus colaboradores». A sessão da cláusula 9 cumpre as duas normas com a mesma hora.

Registo de utilização de IA e de formação, numa folha de cálculo

A cláusula 7 pede uma linha por uso com documento de cliente. Leva o código do cliente, nunca o nome: o registo não deve tornar-se mais uma lista de dados pessoais para proteger.

Não é o registo de atividades de tratamento do artigo 30.º do RGPD, nem o substitui. Serve no dia em que algo sai por engano: diz o que entrou, com que conta e quem estava formado, e ajuda a decidir se é preciso notificar a CNPD.

Uma folha com dois separadores chega. Um programa de registo dedicado, para cinco pessoas, é o tipo de burocracia que acaba por ficar em branco.

Dois separadores, um exemplo

Num incidente, é a linha de 7 de novembro que alguém vai pedir para ver.

DataClienteContaPara quêDados
04/11/2026CL-0315Copilot Chat (Entra)Rascunho de resposta a uma notificaçãoNomes tapados
06/11/2026CL-0221Gemini (Workspace)Resumo de um ofício circuladoSem dados pessoais
07/11/2026CL-0408Copilot Chat (Entra)Carta sobre o IRS de um sócioNIF colado sem tapar; avisada Marta Godinho Seixas no próprio dia
DataPessoaFormaçãoDuração
12/10/2026Duarte Calheiros VazLeitura da política em equipa e assinatura1 h
12/10/2026Marta Godinho SeixasLeitura da política em equipa e assinatura1 h

Exemplo inventado: datas, códigos de cliente e nomes são de ficção.

Quem aprova a política e quem a assina no gabinete

Aprova quem responde. O artigo 5.º do Código Deontológico torna o contabilista certificado responsável pelos atos dos colaboradores, e o artigo 6.º, alínea b), manda-o «planear e supervisionar» cada serviço. Uma regra escrita é supervisão sem ninguém a olhar por cima do ombro.

Com trabalhadores, a política é uma instrução do empregador. O artigo 97.º do Código do Trabalho dá-lhe o poder de fixar os termos em que o trabalho é prestado, e o artigo 128.º, n.º 1, alínea e), obriga o trabalhador a cumprir as instruções que não contrariem os seus direitos ou garantias.

Na Deliberação/2019/494, a CNPD lembra que os trabalhadores só consentem livremente em circunstâncias excecionais. Eu não punha uma caixa «aceito» em formulário nenhum: não acrescenta nada à folha de tomada de conhecimento e só dá a ideia errada de que a regra depende do sim de quem a cumpre.

Política assinada ou regulamento interno

As duas servem para dar força à regra; só uma tem formalidades na lei.

Política assinadaRegulamento interno (art. 99.º)
É obrigatória?Não; é uma instrução do empregador (art. 97.º)Não, salvo se um instrumento de regulamentação coletiva negocial a impuser
Quem se ouve antesA lei não fixa ninguémComissão de trabalhadores ou, na falta, comissões intersindicais, sindicais ou delegados sindicais
Quando valeProva-se com a tomada de conhecimento datadaDepois de publicitada, por exemplo afixada na sede e nos locais de trabalho
Se a forma falharSem sanção própriaContraordenação grave, por falta de audição ou de publicitação
Para quemGabinetes de duas a seis pessoasEstruturas maiores ou com representação dos trabalhadores

Código do Trabalho, artigos 97.º, 99.º e 128.º, na versão consolidada da ACT atualizada a 11 de outubro de 2024. A última linha é recomendação nossa, não da lei.

Com a assinatura da cláusula 11, a pessoa compromete-se também a cumprir a regra. Não vale como consentimento para tratamento nenhum, e a política não deve assentar nele. Basta uma folha como esta, uma por pessoa.

TOMADA DE CONHECIMENTO

Li a política de utilização de IA de
[nome do gabinete], versão de [data],
e comprometo-me a cumpri-la e a guardar
confidencialidade sobre o que tratar.

Nome: Telma Valadares Cordeiro
Data: 15/09/2026
Assinatura:

Se o gabinete tiver comissão de trabalhadores ou pensar num regulamento interno, a forma certa é conversa para um advogado laboralista. E quando a regra tiver de se aplicar sozinha em todos os postos, sem depender da assinatura, a página para organizações mostra esse outro caminho.

Nome fictício de um cliente do gabinete trocado por [CLIENTE_1], a etiqueta que a política de IA manda usar nos documentos

Uma política de IA que se cumpre no computador de cada colaborador

A 27 de outubro de 2025, a bastonária disse que a Ordem estava a preparar um manual de procedimentos sobre responsabilidade, ética e sigilo na IA. A notícia da Ordem sobre IA de 5 de novembro de 2026 fala da Secretária Virtual e de um futuro chatbot, não do manual.

A cláusula 11 já manda rever a política quando o manual sair, por isso não há razão para esperar por ele.

A meu ver, a mais frágil é a 4, porque depende de alguém se lembrar de tapar na véspera de um prazo das Finanças, com o cliente ao telefone. O Nonimo põe as etiquetas no lugar dos dados de clientes ainda no computador, antes de o pedido chegar à conta autorizada.

A semana em que a política entra em vigor

Um passo por dia, sem parar o trabalho do gabinete.

Segunda e terça

Perguntar a cada pessoa que ferramentas de IA usa e com que conta, no computador e no telemóvelPassar cada conta pela decisão da cláusula 2 e desligar o que fica fora da adenda

Quarta e quinta

Preencher o modelo com nomes, contas e dataLer a política em equipa, recolher as assinaturas e abrir a folha de registo

Sexta

Marcar na agenda a revisão daqui a seis meses e guardar a versão assinada

Ordem proposta por este guia para um gabinete pequeno. Ajuste os dias à sua agenda.

Guarde também a versão anterior, com data: é ela que prova o que estava em vigor no dia de um engano. Cada cláusula tem mais pormenor nos restantes guias do Nonimo.

Fontes

Consultadas em 10/11/2026.

Perguntas frequentes

É obrigatório ter uma política de IA escrita no gabinete?

Não com esse nome. O RGPD pede que quem trata dados o faça por instrução do responsável, e o Regulamento da IA pede medidas de literacia. Por escrito é a forma de o demonstrar.

O que deve ter uma política de utilização de IA num gabinete de contabilidade?

Contas autorizadas, o que nunca entra, o que entra tapado e quem confirma o resultado. Junte-lhe o registo de uso, a formação, a revisão periódica e a assinatura de cada pessoa.

A assinatura do colaborador na política vale como consentimento?

Não, e a política não deve contar com isso. A CNPD lembra que os trabalhadores só consentem livremente em circunstâncias excecionais. A assinatura prova que a regra foi comunicada.

O pacote Omnibus acabou com a literacia em IA?

Não, manteve-a com outra redação. Desde 27 de julho de 2026, o artigo 4.º pede medidas para promover a literacia, sem exigir um nível específico.

É preciso um certificado de formação em IA para cumprir o artigo 4.º?

Não, a Comissão Europeia diz que não é preciso certificado. Basta um registo interno das sessões e de quem participou, com datas.

Como pode a IA ser utilizada na contabilidade?

Para redigir, resumir, rever texto e explicar uma norma, diz a cláusula 5 do modelo. O enquadramento fiscal ou contributivo decide-o o contabilista, confirmado no Portal das Finanças ou no Diário da República.

A Ordem dos Contabilistas Certificados já tem orientações sobre IA?

Ainda não há manual nas notícias da Ordem. Foi anunciado em outubro de 2025; a notícia de 5 de novembro de 2026 fala da Secretária Virtual e de um chatbot futuro.

O cliente pode proibir o gabinete de usar IA com os seus dados?

Pode, quando o gabinete trata dados por conta dele. O RGPD exige, no n.º 2 do artigo 28.º, autorização prévia e por escrito do cliente para recorrer a outro subcontratante.