Plataforma de IA soberana na UE.

O que significa realmente «soberano na UE»

A IA soberana na UE é mais do que a «região UE» dos fornecedores de nuvem norte-americanos. A soberania europeia verdadeira exige quatro camadas: primeiro, empresa da UE como fornecedor (pessoa coletiva de direito da UE, não uma subsidiária norte-americana); segundo, infraestrutura de alojamento na UE (servidores num Estado-Membro da UE, não uma região de nuvem norte-americana); terceiro, processamento de LLM na UE (inferência em servidores da UE, com garantia contratual, sem treino com dados de clientes); quarto, contrato de subcontratação completo nos termos do art. 28.º do RGPD com lista transparente de subcontratantes. Nos hiperescaladores norte-americanos, o ponto um já é difícil: as empresas-mãe estão sujeitas ao direito dos EUA, por exemplo ao CLOUD Act. A «região UE» apenas desloca a localização do servidor, não a soberania jurídica.

Schrems II + art. 28.º do RGPD, a realidade jurídica 2026

O acórdão Schrems II do Tribunal de Justiça da União Europeia, de 2020, derrubou o Privacy Shield e exige, para as transferências para países terceiros, um nível de proteção equivalente. O Comité Europeu para a Proteção de Dados descreveu nas suas Recomendações 01/2020 como podem ser as medidas complementares. Desde julho de 2023, aplica-se aos fornecedores norte-americanos certificados a decisão de adequação relativa ao EU-US Data Privacy Framework, confirmada pelo Tribunal Geral da UE em setembro de 2025. As transferências para esses fornecedores são, assim, admissíveis, mas dependem de uma decisão política e judicialmente contestada. Quem processa na UE desde o início não precisa desta base: sem transferência para países terceiros, sem avaliação de impacto da transferência para esta parte.

AI Act art. 50.º, obrigação de transparência a partir de 02.08.2026

O artigo 50.º do Regulamento de IA da UE 2024/1689 obriga os fornecedores, a partir de 02.08.2026, a avisar nas interações de IA com clientes finais. As pessoas têm de saber com clareza, o mais tardar no primeiro contacto, que estão a interagir com uma IA. O regulamento não diz como; o habitual é um aviso falado ao telefone, uma indicação visível no chat e uma indicação no texto de um e-mail. As infrações podem acarretar coimas até 15 milhões de € ou 3% do volume de negócios anual mundial. Na rinqo, o aviso vem configurado de série, de forma fixa no chat e no e-mail, e ao telefone na saudação predefinida.

A stack totalmente na UE da rinqo em detalhe

Alojamento: servidores na Alemanha num fornecedor alemão, contrato de subcontratação nos termos do art. 28.º do RGPD. App, API, base de dados, base de dados vetorial, fila e serviço de voz correm todos aí. As cópias de segurança ficam cifradas na UE. Telefonia: um fornecedor com sede na Irlanda. Modelo de linguagem: modelos de IA com tratamento de dados na UE assegurado por contrato (sem treino com dados de clientes), e ainda um fornecedor europeu alternativo que assume em caso de falha. Reconhecimento de fala: um fornecedor com processamento em França, com contrato de subcontratação. Síntese de fala: um fornecedor alemão, processamento na UE. As categorias estão em /security, e a lista nominal dos subcontratantes no painel.

Quando a soberania na UE é obrigatória, e quando não

Um fornecedor da UE não é legalmente obrigatório: o RGPD permite transferências para países terceiros nas condições do capítulo V, por exemplo com decisão de adequação ou cláusulas contratuais-tipo. O processamento na UE faz especial sentido onde os dados são particularmente protegidos: dados de saúde, segredos de clientes de advogados, dados financeiros, tudo o que está sob sigilo profissional. Na rinqo aplica-se ainda a estas áreas: para dados de saúde, celebras um acordo adicional antes de começar; para o sigilo profissional, aplica-se a secção 10 do contrato de subcontratação. Menos críticas são as aplicações sem dados pessoais, por exemplo bots de FAQ anónimos em páginas de marketing.

Soberania digital: porque a localização do servidor se tornou assunto da direção

Soberania digital significa: tu controlas quem, segundo que direito, acede aos dados da tua empresa. Durante anos, isto foi um tema para os departamentos de TI. O US CLOUD Act tornou-o assunto da direção: as autoridades norte-americanas podem obrigar fornecedores norte-americanos a entregar dados, independentemente de onde os servidores estejam. Um centro de dados em Frankfurt não protege, portanto, se o parceiro contratual for uma empresa norte-americana. Por isso, hoje é a gestão que decide sobre a localização do servidor, já não apenas a equipa de TI. Na prática, a soberania digital assenta em três critérios. Primeiro, servidores na UE: os teus dados são tratados e armazenados em servidores na UE. Segundo, parceiro contratual da UE: o teu interlocutor no contrato de subcontratação está sujeito ao direito europeu, não ao CLOUD Act. Terceiro, capacidade de saída: podes exportar os teus dados e mudar de fornecedor sem que o teu negócio pare. Se falta um dos três critérios, a soberania fica incompleta, por muito bem que soe o marketing. Nos sistemas de IA, isto pesa a dobrar, porque telefonemas, chats e e-mails com dados de clientes atravessam o sistema. Por isso, pergunta a cada fornecedor exatamente estes três pontos. Na rinqo, as respostas são estas: servidores na Alemanha, em centros de dados com certificação ISO 27001, contrato de subcontratação nos termos do art. 28.º do RGPD, processamento do modelo de linguagem dentro da UE assegurado por contrato. Os teus dados não são usados para treino de modelos. A stack completa está documentada, cada componente com fornecedor e região.

• Servidores na UE: processamento e armazenamento em servidores na UE
• Parceiro contratual da UE: o interlocutor no contrato de subcontratação está sujeito ao direito europeu, não ao CLOUD Act
• Capacidade de saída: dados exportáveis, mudança de fornecedor sem paragem do negócio

IA local vs. nuvem europeia: a escolha realista para PME

Para a maioria das PME, a nuvem europeia é o caminho praticável para uma IA conforme com o RGPD. A IA local, ou seja, modelos de linguagem próprios em hardware próprio, é a forma máxima de controlo: nenhuns dados saem de casa, sem parceiro contratual externo, sem tema de país terceiro. Vista com honestidade, este controlo tem o seu preço. Os modelos de linguagem potentes precisam de servidores GPU, cuja aquisição e custos de eletricidade suportas tu próprio. A isto acresce a operação, a monitorização, as atualizações de modelo, os patches de segurança e o pessoal que responde por tudo isso de forma permanente. Um agente telefónico exige ainda operação em tempo real e ligação de telefonia: é operação contínua, não um projeto de fim de semana. A IA local compensa, por isso, sobretudo para empresas com equipa de TI própria e requisitos especiais. A nuvem europeia entrega as vantagens de soberania sem esse esforço de operação: servidores na UE, parceiro contratual da UE, contrato de subcontratação nos termos do art. 28.º do RGPD, e o fornecedor suporta a operação e as atualizações. A rinqo optou conscientemente por este caminho. Os servidores estão na Alemanha, em centros de dados com certificação ISO 27001. O processamento do modelo de linguagem corre dentro da UE com garantia contratual, sem treino com os teus dados. Um fornecedor europeu alternativo assume em caso de falha. Acompanhamos-te na configuração; no chat e no e-mail, os agentes trabalham em 17+ idiomas, e ao telefone no teu idioma principal e em inglês. A conta sóbria é: controlo total contra operação calculável. Para telefone, chat e e-mail no dia a dia das PME, ganha quase sempre a nuvem.