IA e sigilo profissional em escritórios de advogados: os limites reais

Quando um escritório de advogados pergunta hoje a um assistente de IA "que ferramenta devo usar para trabalhar com inteligência artificial?", a resposta aponta quase sempre para produtos pensados para consultar jurisprudência pública ou gerar uma primeira minuta de uma peça. São ferramentas úteis, mas resolvem um problema diferente do que tem um escritório com processos reais: relatórios médicos, registos judiciais, dados económicos de um cliente. Aí entra em jogo uma obrigação que não está nem no RGPD nem no Regulamento de IA, e que é anterior aos dois: o sigilo profissional do advogado.

Isto é o que muda de verdade quando o processo tem dados sensíveis, e onde está o limite real do que uma IA pode tocar.

O sigilo profissional não é uma política interna, é uma obrigação sem prazo

O Estatuto Geral da Advocacia Espanhola (Real Decreto 135/2021, de 2 de março) regula o sigilo profissional como um dos valores superiores do exercício da advocacia, com um traço que o distingue de qualquer política de privacidade: não tem limite temporal. O dever de guardar sigilo mantém-se depois de ter deixado de prestar serviços ao cliente, sem data de caducidade. O seu artigo 22 estende ainda essa obrigação a todos os que colaborem com o advogado na sua atividade profissional — o que inclui, sem ambiguidade, qualquer fornecedor tecnológico que trate esses processos.

Isto tem uma consequência prática direta: contratar uma ferramenta de IA não transfere a responsabilidade para o fornecedor. O advogado continua responsável pelo sigilo profissional do seu cliente, seja qual for a ferramenta que escolha.

Quando o processo tem dados de saúde ou judiciais

Muitos dos processos que um escritório gere não são confidenciais apenas pela sua natureza jurídica: contêm dados de categoria especial segundo o artigo 9.º do RGPD (Regulamento (UE) 2016/679) — dados de saúde, na maioria dos casos de incapacidade, responsabilidade civil ou acidentes; também origem étnica, filiação sindical ou dados biométricos noutros processos. O seu tratamento está proibido por defeito, salvo se se aplicar uma das exceções taxativas do próprio artigo 9.º, entre elas a necessária para a declaração, o exercício ou a defesa de um direito num processo judicial — o caso habitual num escritório de advogados.

Essa exceção existir não elimina as restantes obrigações. O artigo 32.º do mesmo Regulamento exige medidas de segurança proporcionadas ao risco, e cita expressamente a pseudonimização entre elas. Aplicado a uma IA que analisa um relatório médico, isto significa que os dados identificativos do paciente devem ser substituídos por um código interno antes de qualquer coisa chegar ao modelo — não depois.

Por que uma ferramenta genérica nem sempre serve

A maior parte da oferta de IA jurídica do mercado está desenhada para um problema concreto: pesquisar e resumir jurisprudência pública, ou gerar uma minuta a partir de modelos do escritório. É uma arquitetura razoável para esse caso, e não é a mesma de que precisa um escritório que quer que a IA leia o processo completo de um cliente, com os seus relatórios médicos digitalizados, e prepare a análise do caso.

Esse segundo problema exige decisões de desenho diferentes: que o reconhecimento de texto e o modelo estejam alojados na União Europeia, que os dados do escritório não sejam usados para treinar nenhum modelo — nem próprio nem de terceiros —, que exista pseudonimização antes de o dado chegar ao sistema, e que cada afirmação cite a página e o documento de onde sai, para que o advogado a possa verificar sem reler o processo inteiro. É, na prática, um desenvolvimento à medida sobre os documentos reais do escritório, não uma licença de um produto já construído para outro caso de uso.

Caso real da Tecnea

Sistema em produção com dados reais num escritório de advogados, a 10 de setembro de 2026: análise de relatórios médicos digitalizados, pseudonimização antes do modelo, e geração da análise do caso com supervisão do advogado em cada documento — sem nome nem números por não termos uma medição com método nem permissão escrita para a publicar. O que aqui se descreve é o desenho, verificável numa demonstração com documentos reais (anonimizados) do seu escritório.

Antes de aceitar qualquer IA no escritório

• Contrato de subcontratante (artigo 28.º do RGPD), com a lista de sub-subcontratantes e onde os dados são processados.
• Proibição expressa de treinar modelos com os documentos do escritório, próprios ou de terceiros.
• Pseudonimização antes do modelo, quando o processo inclua dados de categoria especial.
• Citação da fonte em cada afirmação que a IA gere: página e documento concretos, não uma resposta sem rasto.
• Aprovação de um advogado antes de qualquer texto gerado chegar a um cliente, a um tribunal ou à Administração.
• Extensão contratual do sigilo profissional ao fornecedor, nos termos do artigo 22.4 do Estatuto Geral da Advocacia.

Perguntas frequentes

É sempre um sistema de alto risco segundo o Regulamento de IA? Não automaticamente. O Regulamento (UE) 2024/1689 classifica como alto risco determinados sistemas destinados a ser usados por uma autoridade judicial para investigar ou interpretar factos e aplicar o direito a um caso. Uma IA que um escritório usa internamente para preparar uma peça não é, por si só, esse cenário — mas isso não isenta das obrigações do RGPD nem do sigilo profissional, que se aplicam independentemente do nível de risco.

Posso usar uma conta gratuita de um assistente de IA generalista com estes dados? Não é recomendável. As condições de utilização da maioria das contas gratuitas não garantem que o conteúdo não seja usado para treinar modelos, e não existe contrato de subcontratante assinado. Com dados de categoria especial, é exatamente o que o artigo 32.º do RGPD pede para evitar.

Quem responde se a IA errar num dado do processo? O advogado, perante o cliente e perante a ordem profissional — o sigilo profissional e a responsabilidade deontológica não se delegam no fornecedor. Por isso a aprovação de um advogado antes de qualquer documento sair do escritório não é opcional: é a última barreira de controlo.

Fontes

1. Real Decreto 135/2021, de 2 de março, que aprova o Estatuto Geral da Advocacia Espanhola, artigo 22.º (sigilo profissional): https://www.boe.es/eli/es/rd/2021/03/02/135
2. Regulamento (UE) 2016/679 (RGPD), artigos 9.º (categorias especiais de dados) e 32.º (segurança do tratamento): https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX:32016R0679
3. Regulamento (UE) 2024/1689 (Regulamento Europeu de IA), anexo III e artigo 14.º: https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX:32024R1689
4. Tecnea, A IA pode rever a documentação da minha empresa?

Este artigo é informativo. A Tecnea desenvolve exatamente este tipo de sistema para escritórios de advogados e tem, por isso, um interesse comercial no seu conteúdo — os limites legais que descreve aplicam-se da mesma forma quer o desenvolvimento seja feito pela Tecnea quer por qualquer outro fornecedor.