Plataforma de IA soberana na UE.

O que significa realmente «soberano na UE»

A IA soberana na UE é mais do que «região UE» em fornecedores de nuvem norte-americanos. A soberania europeia verdadeira exige quatro camadas: primeiro, empresa da UE como fornecedor (pessoa coletiva de direito da UE, não subsidiária norte-americana), segundo, infraestrutura de alojamento na UE (servidores num Estado-Membro da UE, não região de nuvem norte-americana), terceiro, processamento de LLM na UE (inferência em servidores da UE, contratualmente garantido, sem treino com dados de clientes), quarto, contrato de subcontratação completo nos termos do art. 28.º do RGPD com lista transparente de subcontratantes. Nos hiperescaladores norte-americanos, o ponto um já é problemático, as empresas-mãe são sujeitas norte-americanas, a jurisdição segue o direito norte-americano (Cloud Act 2018). «Região UE» apenas desloca a localização do servidor, não a soberania jurídica.

Schrems II + art. 28.º do RGPD, a realidade jurídica 2026

O acórdão Schrems II do Tribunal de Justiça da União Europeia de 2020 classificou as transferências de dados pessoais para países terceiros nos EUA como fundamentalmente problemáticas. As clarificações do EDPB de 2024 vieram apertar: garantias adicionais (TIA, cifragem, auditorias de subcontratantes) são obrigatórias, os fornecedores de nuvem norte-americanos com empresa-mãe norte-americana têm de ser justificados individualmente. Para consultórios, escritórios de advogados, bancos e todas as PME com dados pessoais em fluxos de trabalho de IA, isto torna-se a partir de 2026 num ponto de rutura regulatório. Uma stack soberana na UE contorna o problema desde o início, sem transferências para países terceiros, sem declaração de TIA, sem necessidade de auditoria de nuvem norte-americana.

AI Act art. 50.º, obrigação de transparência a partir de 02.08.2026

O artigo 50.º do Regulamento de IA da UE 2024/1689 obriga os fornecedores, a partir de 02.08.2026, ao aviso em interações de IA no contacto com o cliente final. Em concreto: as chamadas de IA têm de ser identificadas como IA na frase de abertura, os chats de IA precisam de um banner de aviso visível, os e-mails de IA de um aviso-padrão. As infrações podem acarretar coimas até 15 milhões de € ou 3% do volume de negócios anual mundial. Nos fornecedores norte-americanos, a implementação da conformidade fica do lado do comprador, tens de integrar o aviso em cada fluxo de trabalho. A rinqo fá-lo automaticamente em todos os canais.

A stack totalmente na UE da rinqo em detalhe

Alojamento: Hetzner Online GmbH, Falkenstein e Nuremberga, contrato de subcontratação alemão nos termos do art. 28.º do RGPD. App + API + base de dados + base de dados vetorial + fila + serviço de voz, todos em hardware da Hetzner. Pipeline de voz: operado por conta própria em hardware da Hetzner, telefonia através de centros de dados da UE (Dublin e Frankfurt). LLM: modelos de IA com tratamento de dados contratualmente garantido na UE (EU Data Boundary, sem treino com dados de clientes), um fornecedor de recurso puramente europeu como failover opt-in (subcontratante só com a opção ativada). STT: reconhecimento de voz em configuração UE com contrato de subcontratação; reconhecimento de voz em servidores próprios na Alemanha como fase de expansão. TTS: um fornecedor alemão de síntese de voz, alojado na UE, ligação por API. A lista completa de subcontratantes está documentada em /security.

Quando a soberania na UE é obrigatória, e quando não

Obrigatória: consultórios com dados de pacientes, escritórios de advogados com conversas com clientes, bancos/seguradoras com dados financeiros, todos os setores com sigilo profissional (contabilidade, notariado, profissões de saúde), administração pública. Fortemente recomendada: todas as PME da região DACH com dados de colaboradores em fluxos de trabalho de IA. Opcional: aplicações puramente relacionadas com produtos sem dados pessoais (por exemplo, bots de FAQ anónimos em páginas de marketing). Quem não serve claramente este filtro arrisca a partir de 2026 requisitos de auditoria mais apertados, objeções da BfDI e coimas ao abrigo do EU AI Act e do RGPD.

Soberania digital: porque a localização do servidor se tornou assunto da direção

Soberania digital significa: tu controlas quem, segundo que direito, acede aos dados da tua empresa. Durante anos, isto foi um tema para os departamentos de TI. O US CLOUD Act tornou-o assunto da direção: as autoridades norte-americanas podem obrigar fornecedores norte-americanos a entregar dados, independentemente de onde os servidores estejam. Um centro de dados em Frankfurt não protege, portanto, se o parceiro contratual for uma empresa norte-americana. Por isso, hoje é a gestão que decide sobre a localização do servidor, já não apenas o TI. Na prática, a soberania digital assenta em três critérios. Primeiro, servidores na UE: os teus dados são tratados e armazenados em servidores na UE. Segundo, parceiro contratual da UE: o teu interlocutor no contrato de subcontratação está sujeito ao direito europeu, não ao CLOUD Act. Terceiro, capacidade de saída: podes exportar os teus dados e mudar de fornecedor sem que o teu negócio pare. Se falta um dos três critérios, a soberania fica incompleta, por muito bem que soe o marketing. Nos sistemas de IA, isto pesa a dobrar, porque telefonemas, chats e e-mails com dados de clientes atravessam o sistema. Por isso, pergunta a cada fornecedor exatamente estes três pontos. Na rinqo, as respostas são assim: alojamento na Hetzner em Falkenstein e Nuremberga (ISO 27001:2022), contrato de subcontratação nos termos do art. 28.º do RGPD, processamento de modelo de linguagem contratualmente garantido dentro da EU Data Boundary. Os teus dados não são usados para treino de modelos. A stack completa está documentada, cada componente com fornecedor e região.

• Servidores na UE: processamento e armazenamento em servidores na UE
• Parceiro contratual da UE: o interlocutor no contrato de subcontratação está sujeito ao direito europeu, não ao CLOUD Act
• Capacidade de saída: dados exportáveis, mudança de fornecedor sem paragem do negócio

IA local vs. nuvem europeia: a escolha realista para PME

Para a maioria das PME, a nuvem europeia é o caminho praticável para uma IA conforme com o RGPD. A IA local, ou seja, modelos de linguagem próprios em hardware próprio, é a forma máxima de controlo: nenhuns dados saem de casa, sem parceiro contratual externo, sem tema de país terceiro. Vista com honestidade, este controlo tem o seu preço. Os modelos de linguagem potentes precisam de servidores GPU, cuja aquisição e custos de eletricidade suportas tu próprio. A isto acresce a operação, a monitorização, as atualizações de modelo, os patches de segurança e o pessoal que responde por tudo isso de forma permanente. Um agente telefónico exige adicionalmente operação em tempo real e ligação de telefonia, isto é operação contínua, não um projeto de fim de semana. A IA local compensa, por isso, sobretudo para empresas com equipa de TI própria e requisitos especiais. A nuvem europeia entrega as vantagens de soberania sem esse esforço de operação: servidores na UE, parceiro contratual da UE, contrato de subcontratação nos termos do art. 28.º do RGPD, e o fornecedor suporta a operação e as atualizações. A rinqo optou conscientemente por este caminho. O alojamento é na Hetzner em Falkenstein e Nuremberga (ISO 27001:2022). O processamento do modelo de linguagem corre contratualmente garantido dentro da EU Data Boundary, sem treino com os teus dados. Um fornecedor de recurso puramente europeu está disponível como failover opt-in. A configuração demora cerca de 10 minutos, quatro agentes (telefone, chat, e-mail, Agente Pessoal) trabalham em 17 idiomas, a partir de 99 € sem IVA por mês. A conta sóbria é: controlo total contra operação calculável. Para telefone, chat e e-mail no dia a dia das PME, ganha quase sempre a nuvem.