Privacidade dos alunos: o que todo docente deve saber sobre IA e RGPD

A conversa habitual na sala dos professores, quando alguém menciona ferramentas de IA, costuma saltar a pergunta mais importante: o que acontece aos dados dos alunos. A resposta curta é que acontece tudo, e que esse tudo está regulado por uma normativa que não é opcional nem interpretável.

Este artigo não é um tratado jurídico. É o guia prático de que um docente precisa para tomar decisões razoáveis: que tipos de dados manuseia sem reparar, que obrigações tem a sua escola em relação a eles, que perguntas fazer a qualquer ferramenta antes de a usar com um único trabalho real, e onde está a linha que não se deve atravessar.

O que conta como dado pessoal do aluno#

A primeira coisa a entender — e que muitos docentes deixam passar — é a amplitude da definição. O RGPD considera dado pessoal qualquer informação que possa ser associada a uma pessoa identificada ou identificável.

Isto inclui o óbvio: nome e apelidos, data de nascimento, número de identificação fiscal ou de cidadão se o tiver, morada, fotografia, telemóvel. Mas também inclui coisas que não parecem "dados" no sentido administrativo:

• As respostas de uma prova: uma redação é um dado pessoal do aluno que a escreveu.
• As notas e os comentários de avaliação.
• As fotografias da sala de aula, mesmo de costas ou só de mãos.
• Os áudios de apresentações gravadas.
• O processo individual, as observações do diretor de turma, os apontamentos da caderneta.

E, dentro dos dados pessoais, há uma categoria especialmente protegida: os dados sensíveis ou "categorias especiais" (art. 9.º RGPD). São dados sobre origem étnica, opiniões políticas, convicções religiosas, filiação sindical, saúde, vida sexual ou orientação sexual, dados genéticos ou biométricos. A proteção adicional que recebem é importante.

Existe uma zona cinzenta frequente: os relatórios psicopedagógicos, as adaptações curriculares, os diagnósticos relacionados com necessidades educativas especiais. Isto é informação de saúde e entra na categoria sensível. Manusear estes dados exige medidas reforçadas.

A camada adicional: são menores#

A tudo o anterior soma-se uma proteção extra quando se fala de menores. Em Portugal, a idade mínima para o consentimento ao tratamento de dados pessoais nos serviços da sociedade da informação é 13 anos (Lei n.º 58/2019, que executa o RGPD). Abaixo dessa idade, o consentimento tem de ser dado pelos titulares das responsabilidades parentais.

Isto significa que um docente do 1.º ciclo, ou dos primeiros anos do 2.º ciclo, manuseia quase exclusivamente dados para os quais os alunos não podem consentir. Qualquer ferramenta que se use com esses dados tem de ter, por trás, um consentimento da família formalizado.

Para maiores de 13, o aluno pode consentir, mas a escola continua a ser o responsável pelo tratamento. A responsabilidade nunca desaparece.

Quem é responsável pelo quê#

Há uma distinção importante que se confunde muitas vezes:

• O responsável pelo tratamento é quem decide que dados se tratam e para quê. Em educação, é quase sempre a escola (ou, indiretamente, a administração de que depende).
• O subcontratante é a ferramenta ou empresa externa que processa esses dados em nome do responsável.

Quando um docente carrega provas para uma ferramenta externa de correção, a escola continua a ser responsável. A ferramenta é subcontratante. Para que essa relação seja legal, tem de existir um contrato de subcontratação assinado entre a escola e a empresa da ferramenta (art. 28.º RGPD). Sem esse contrato, não se pode.

Se uma ferramenta não lhe pode mostrar um contrato de subcontratação padrão pronto para a sua escola assinar, não a use com dados reais de alunos. Ponto.

Este é provavelmente o filtro mais útil que existe. As ferramentas sérias que oferecem serviço a escolas têm este contrato preparado e disponibilizam-no sem fricção. As que não têm, não são opção.

As perguntas a fazer a qualquer ferramenta#

Antes de carregar um único trabalho real numa plataforma externa de IA, há um questionário curto a aplicar. Se alguma resposta não o convencer, procure alternativa:

1. Onde são armazenados fisicamente os dados?#

Isto importa porque o RGPD limita a transferência internacional de dados para fora do Espaço Económico Europeu. Se os servidores estão nos EUA, na Índia ou em qualquer país sem nível adequado de proteção, é necessário ou um mecanismo legal específico (cláusulas contratuais-tipo, decisões de adequação) ou evitar essa ferramenta.

A resposta ideal é "na UE". A resposta aceitável é "nos EUA com cláusulas contratuais-tipo e certificação de quadro específico". A resposta vaga ("na nuvem") é razão para não continuar.

2. Quanto tempo são conservados?#

O princípio da minimização diz que se deve conservar apenas o necessário para a finalidade declarada. Uma ferramenta que conserva as suas provas corrigidas indefinidamente, ou que não especifica o prazo, não respeita este princípio.

O razoável é que os dados sejam conservados durante a relação contratual com a escola e que sejam eliminados automaticamente ao terminá-la (ou após um período definido).

3. São usados para treinar modelos?#

Esta é crítica em ferramentas de IA. Alguns serviços usam os dados que recebem para melhorar os seus modelos. Se a resposta for sim — mesmo que os dados estejam "anonimizados", o que tecnicamente é complicado —, não são opção para dados de menores.

A resposta esperada é um não inequívoco, idealmente garantido contratualmente: "os dados do cliente nunca são utilizados para treino de modelos".

4. Que medidas de segurança técnica há?#

Cifragem em repouso, cifragem em trânsito (HTTPS), controlos de acesso, registos de auditoria. São as medidas básicas. Uma ferramenta que não consegue descrevê-las ou que as descreve vagamente não tem um nível de segurança sério.

5. O que acontece se uma família exercer os seus direitos?#

O RGPD dá às famílias — ou aos alunos com idade para consentir — direitos concretos: acesso, retificação, apagamento, portabilidade. Se uma família perguntar que dados seus há numa plataforma, a sua escola tem de poder responder. Isto significa que a ferramenta tem de ter um processo claro para a escola atender estes pedidos.

Anonimização: a nuance importante#

Uma solução por vezes proposta como atalho é "carrego anonimizado". A ideia é eliminar o nome do aluno e enviar só o conteúdo da prova.

Esta prática reduz o risco mas não é anonimização em sentido estrito do RGPD. Anonimizar a sério implica que seja impossível — não apenas difícil — reidentificar o titular. Uma prova com respostas únicas, com informação pessoal entre as linhas, com o contexto do ano e a data, é reidentificável quase sempre.

O que se faz ao "tirar o nome" chama-se pseudonimização, e os dados pseudonimizados continuam a ser pessoais para efeitos do RGPD. Reduzem o risco mas não eliminam as obrigações.

Para que a anonimização fosse real, seria necessário quebrar o vínculo com o contexto da turma inteira, os colegas, as datas. Impossível na prática da correção académica.

A linha vermelha: dados sensíveis e ferramentas não certificadas#

Há um consenso bastante claro no setor educativo sobre onde está a linha que não se deve atravessar:

• Relatórios psicopedagógicos, diagnósticos, informação de saúde: nunca a ferramentas externas que não tenham certificação específica para dados de saúde.
• Imagens e áudios identificáveis de alunos: só a ferramentas que cumpram estritamente as cinco perguntas anteriores e com consentimento explícito das famílias para essa finalidade concreta.
• Dados de menores de 13 sem consentimento familiar específico para o uso da ferramenta: diretamente, não.

Atravessar estas linhas não é um risco abstrato. A CNPD sanciona, as famílias reclamam, as escolas perdem a confiança.

O que se pode fazer com razoável segurança#

Nem tudo é restrição. Há um amplo espaço em que a IA traz valor real com risco controlado:

• Materiais gerados pelo docente (exercícios, esquemas, exemplos) que não contêm dados dos alunos. Aqui não há problema RGPD.
• Trabalhos dos alunos passados a ferramentas com contrato de subcontratação assinado, cláusulas claras, armazenamento na UE e compromisso explícito de não treino.
• Análises agregadas e estatísticas de turma sem nível de identificação individual.

A diferença entre um uso legalmente correto e um problemático não está na tecnologia. Está no enquadramento contratual e técnico em torno da tecnologia.

Uma conversa pendente na maioria das escolas#

Uma observação final, sem dramatismos. A realidade prática da maioria das escolas em 2026 é que a IA entrou pela porta dos fundos. Docentes que individualmente experimentam ferramentas, carregam trabalhos, obtêm resultados úteis, e seguem em frente sem que a direção, o encarregado de proteção de dados da escola ou as famílias tenham visibilidade.

Isto não é sustentável. A conversa tem de acontecer em algum momento, e convém que aconteça antes de ser forçada por uma reclamação ou uma inspeção. A conversa útil inclui a direção, o encarregado de proteção de dados, um representante das famílias e os docentes que usam ou querem usar ferramentas de IA.

O resultado dessa conversa não tem de ser proibir a IA. Pode ser um quadro claro de que ferramentas estão aprovadas para que tipo de dados, com que informação às famílias e com que procedimentos.

O medo paralisante e a liberdade caótica são as duas piores opções. Há um meio-termo razoável, e vale a pena construí-lo em conjunto.