Os riscos da IA nas empresas, na Suíça

Os riscos relacionados com a IA nas empresas não são monolíticos. Distribuem-se por quatro famílias distintas, cada uma com as suas causas, consequências e alavancas de controlo. Compreender este mapeamento é o primeiro passo antes de qualquer implantação.

A Suíça ainda não dispõe de uma lei específica sobre IA. A abordagem adotada é a da neutralidade tecnológica: as leis existentes aplicam-se. Isso significa que três conjuntos legais enquadram diretamente o uso da IA nas empresas.

A nova Lei Federal sobre Proteção de Dados (nLPD, em vigor desde setembro de 2023) é diretamente aplicável aos tratamentos por IA. Ela impõe transparência sobre a finalidade e as fontes dos dados, análise de impacto em caso de riscos elevados, e direito à revisão humana das decisões automatizadas (art. 21 nLPD). As sanções podem atingir 250'000 CHF e implicam a responsabilidade pessoal dos dirigentes.

O Código das Obrigações (art. 41 CO) impõe à empresa utilizadora a obrigação de reparar qualquer dano causado por um sistema de IA que explore. A empresa é responsável, não o sistema. A Lei Federal sobre a Responsabilidade pelo Produto (LRFP) pode igualmente aplicar-se se a IA for qualificada como componente defeituoso.

O AI Act europeu, adotado em março de 2024 e entrando progressivamente em aplicação até 2026, diz respeito diretamente às empresas suíças que operam no mercado europeu ou cujos sistemas de IA são implementados na UE. Classifica as IA em quatro níveis de risco (inaceitável, elevado, limitado, mínimo) e impõe obrigações de documentação, auditoria e marcação CE para os sistemas de alto risco.

A IA generativa produz resultados estatisticamente prováveis, não necessariamente exatos. O fenómeno das alucinações, em que o modelo gera informações falsas apresentadas com confiança, está documentado em todos os grandes modelos atuais. Em contexto profissional, isso pode traduzir-se em contratos mal redigidos, análises financeiras incorretas, respostas erradas a clientes ou decisões médicas deficientes.

A dependência operacional é um risco frequentemente subestimado. Quando um processo crítico depende inteiramente de um sistema de IA de um fornecedor externo, uma falha, uma modificação das condições de utilização ou um aumento de preços pode desorganizar a atividade. Sem um plano de continuidade, a vulnerabilidade é estrutural.

Um modelo treinado com dados históricos herda os vieses desses dados. Em contexto de recrutamento, concessão de crédito, tarifação de seguros ou avaliação de desempenho, um algoritmo tendencioso pode conduzir a decisões discriminatórias no sentido do direito suíço e europeu, mesmo sem intenção de prejudicar.

A ausência de controlo humano sobre essas decisões agrava o risco: a discriminação não é visível no processo, apenas aparece nos resultados. Na Suíça, a nLPD impõe que as decisões automatizadas com efeitos jurídicos significativos sobre uma pessoa sejam sujeitas a um direito de revisão humana.

A maioria das ferramentas de IA de grande consumo (ChatGPT, Copilot, Gemini) trata os dados em servidores localizados nos Estados Unidos. Quando um colaborador introduz informações confidenciais, dados de clientes, segredos comerciais ou dados pessoais nessas ferramentas, esses dados saem do perímetro da empresa e potencialmente da jurisdição suíça e europeia.

A capacidade de computação mundial continua muito concentrada nos Estados Unidos, deixando a Europa numa dependência estrutural face aos hyperscalers americanos. Esta realidade cria um risco de soberania que as empresas suíças, nomeadamente nos setores regulados (finanças, saúde, seguros, administração), já não podem ignorar.

O alojamento dos dados é um critério de segurança, não apenas de conforto. Existem alternativas, nomeadamente modelos open source alojados em infraestrutura europeia, que permitem tratar dados sensíveis sem os transferir para fora da UE.

Muitas empresas suíças adotaram a IA, mas a estratégia continua frequentemente a ficar para trás. A adoção sem governança é ela própria um risco: os usos multiplicam-se de forma não coordenada, as responsabilidades permanecem difusas e nenhum quadro define quais os dados que podem ser partilhados com quais ferramentas.

O lock-in de fornecedor é uma forma de dependência estratégica. Quando os processos de uma empresa assentam numa ferramenta de IA proprietária, migrar para uma alternativa torna-se dispendioso, arriscado e tecnicamente complexo. A longo prazo, o fornecedor detém um poder de mercado que corrói a capacidade de negociação da empresa.

A falta de competências internas é um dos primeiros obstáculos a uma adoção estruturada. As PME geralmente não conseguem constituir sozinhas uma equipa de governança de IA. O acompanhamento externo, seja consultoria, formação ou prestador técnico, é por isso um fator de redução do risco, não um luxo.

A Suíça opta por uma abordagem de neutralidade tecnológica: sem lei de IA única, mas com aplicação das leis setoriais existentes. Concretamente, em 2025-2026, os seguintes textos aplicam-se diretamente aos usos de IA nas empresas:

O PFPDT (autoridade federal de proteção de dados) confirmou que a nLPD é diretamente aplicável aos tratamentos por IA, sem ambiguidade. A autoridade monitoriza nomeadamente os casos de reconhecimento facial, vigilância comportamental e tratamento de dados sensíveis por sistemas automatizados.

Para as empresas expostas à UE, o AI Act acrescenta-se como camada regulatória. As primeiras proibições (nível de risco inaceitável) entraram em vigor em fevereiro de 2025. As obrigações para sistemas de alto risco aplicam-se progressivamente até agosto de 2026.

A gestão dos riscos de IA não exige parar tudo nem refazer tudo. Requer uma abordagem estruturada, proporcional à dimensão e ao setor da organização. Aqui estão as etapas prioritárias identificadas pelos profissionais suíços da área.

Para as empresas suíças que desejam implementar ferramentas de IA de negócio, portais de clientes, software interno ou agentes de IA sem transferir os seus dados para hyperscalers americanos, a Kleap propõe uma abordagem assente em três princípios.

Primeiro princípio: infraestrutura europeia. As implementações assentam na Hetzner (Alemanha, certificada ISO 27001) e em modelos open source cujos dados não saem da UE e não são reutilizados para treinar modelos de terceiros.

Segundo princípio: acompanhamento. A Kleap não vende uma ferramenta, mas propõe um resultado entregue por uma equipa. Três vias estão disponíveis: construção chave na mão via a agência parceira Lionscreative, ligação a um prestador especializado, ou implementação Kleap Empresa em modo guiado.

Terceiro princípio: rastreabilidade. As ações dos sistemas de IA implementados são auditáveis. Os dirigentes podem documentar as decisões para responder às exigências da nLPD e preparar a conformidade com o AI Act.