Shadow IT e ferramentas de IA não aprovadas nas universidades: como as encontrar, triar e aprovar

Todas as universidades usam software que os serviços centrais de informática nunca analisaram: assistentes de IA gratuitos, extensões de navegador, ferramentas de inquéritos pagas por um projeto de investigação, bots de transcrição que entram nas reuniões. Este guia explica por que razão isto acontece, quais são os riscos à luz do RGPD e da NIS2, como encontrar estas ferramentas com as consolas de administração que já tem e como criar um processo de aprovação que os investigadores efetivamente utilizem.

Publicado a 9 de outubro de 2026 · Fontes verificadas a 9 de outubro de 2026

Também disponível em: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Español

1. O que é shadow IT, e o que é shadow AI?

Shadow IT é o software, os serviços de nuvem ou o hardware usados no trabalho universitário sem passar pela análise habitual da instituição por parte da informática, da segurança da informação, da proteção de dados e dos serviços de compras. Shadow AI é a parte que envolve serviços de IA: chatbots, assistentes de escrita, bots de reuniões e ferramentas de transcrição, tradução e pesquisa bibliográfica. Nenhum dos termos pressupõe má-fé. A maior parte do shadow IT começa porque alguém precisava de fazer o seu trabalho.

Um grupo de investigação da University of Maryland, Baltimore County, que estudou o shadow IT no ensino superior através de um estudo de caso e de um inquérito a profissionais de informática, descreve-o como software ou hardware num sistema ou rede que fica fora do processo de análise habitual da unidade de informática responsável. O mesmo trabalho enumera possíveis fatores de suscetibilidade a incidentes de segurança relacionados, incluindo o grau de descentralização da informática e a atitude da instituição perante o shadow IT.

Numa universidade europeia, os exemplos típicos incluem:

• um docente que usa um gerador gratuito de testes com IA com uma lista de estudantes da turma;
• um grupo de investigação que faz entrevistas através de uma aplicação de transcrição para consumidores;
• um departamento que paga uma ferramenta de inquéritos em linha com um cartão de compras;
• uma aplicação "iniciar sessão com a Microsoft" ou "iniciar sessão com o Google" a que um trabalhador deu acesso à sua caixa de correio, calendário ou ficheiros;
• uma extensão de navegador que lê todas as páginas abertas pelo utilizador para corrigir a gramática ou resumir texto;
• um assistente de reuniões com IA que entra em reuniões em linha e as grava.

2. Por que razão o shadow IT é endémico nas universidades

As universidades estão entre as organizações mais descentralizadas da Europa. Isso é uma vantagem para a investigação e o ensino, e é a razão pela qual um processo central de aprovação andará sempre atrás do que as pessoas usam.

• Liberdade académica e autonomia local. Os investigadores escolhem os seus métodos e ferramentas, e as faculdades e departamentos têm muitas vezes pessoal e orçamento de informática próprios.
• Compras financiadas por projetos. Os projetos de investigação compram serviços com verbas do projeto, por vezes através de um cartão de compras ou de um pedido de reembolso de despesas, que podem nunca chegar aos serviços centrais de compras nem ao encarregado da proteção de dados.
• Versões gratuitas. Muitas ferramentas são gratuitas para utilizadores individuais. Sem compra, não há passo de contratação, mas as obrigações do RGPD seguem os dados, não a fatura.
• Extensões de navegador e suplementos. Instalam-se em segundos, precisam muitas vezes de permissões amplas para ler o conteúdo das páginas e são invisíveis para os inventários de software tradicionais.
• Consentimento OAuth. No Microsoft Entra ID, a documentação da Microsoft indica que, por predefinição, "all users are allowed to consent to applications for permissions that don't require administrator consent" (todos os utilizadores podem consentir em aplicações para permissões que não exigem consentimento de administrador). Um utilizador pode, assim, ligar uma aplicação de terceiros à sua própria caixa de correio sem que mais ninguém o veja.
• Assistentes de IA. A IA generativa chegou mais depressa do que os ciclos de contratação. As universidades responderam com orientações e serviços institucionais, mas as ferramentas para consumidores continuam à distância de um separador do navegador.
• Investigadores visitantes, estudantes e parceiros externos. Trazem as suas próprias ferramentas e contas, e a colaboração entre instituições faz com que os dados circulem por serviços que nenhuma universidade aprovou individualmente.

Análise do Validemic O shadow IT é também um sinal. Quando muitas pessoas usam a mesma ferramenta não aprovada, isso significa normalmente que a instituição não oferece uma alternativa aceitável, ou que o processo de aprovação é demasiado lento ou difícil de encontrar. Trate os resultados da deteção como uma lista de necessidades não satisfeitas, além de uma lista de riscos.

3. Os riscos: RGPD, transferências, treino de IA, segurança, acessibilidade, licenças, NIS2

O risco não é que as ferramentas não aprovadas sejam sempre piores do que as aprovadas. É que ninguém as verificou, pelo que ninguém consegue demonstrar que as obrigações abaixo são cumpridas.

Obrigações do responsável pelo tratamento no RGPD (artigos 24.º, 28.º e 32.º)

Quando o pessoal usa uma ferramenta no trabalho universitário, a universidade é normalmente a responsável por esse tratamento. O artigo 24.º do RGPD exige que o responsável pelo tratamento aplique medidas técnicas e organizativas adequadas e esteja em condições de demonstrar que o tratamento é realizado em conformidade com o regulamento. O artigo 28.º, n.º 1, determina que o responsável pelo tratamento "recorre apenas a subcontratantes que apresentem garantias suficientes", e o artigo 28.º, n.º 3, exige um contrato escrito com cada subcontratante. O artigo 32.º exige uma segurança adequada ao risco. Uma ferramenta gratuita aceite com um clique numa licença para consumidores normalmente não tem qualquer contrato do artigo 28.º com a universidade, e um registo das atividades de tratamento (art. 30.º) que não inclua a ferramenta está incompleto. A nossa página sobre o RGPD apresenta estes artigos na íntegra.

A autoridade neerlandesa de proteção de dados (Autoriteit Persoonsgegevens, AP) tirou a conclusão prática para os chatbots de IA. No seu alerta de 6 de agosto de 2024, afirmou: "Often, employees use the chatbots on their own initiative and contrary to the agreements made with the employer." (Muitas vezes, os trabalhadores usam os chatbots por iniciativa própria e contra o acordado com a entidade empregadora.) Se forem introduzidos dados pessoais nessa situação, a AP considera que existe uma violação de dados; quando a utilização de chatbots é política da organização, "it is not a data breach, but often not permitted by law" (não é uma violação de dados, mas muitas vezes não é permitida por lei). As violações podem ter de ser notificadas no prazo de 72 horas (art. 33.º). Veja o nosso guia sobre a resposta a violações de dados nas universidades.

Transferências internacionais

Muitas ferramentas gratuitas são operadas a partir de fora do Espaço Económico Europeu. O capítulo V do RGPD (a partir do art. 44.º) só permite transferências com um instrumento de transferência, como uma decisão de adequação ou cláusulas contratuais-tipo. Uma pessoa que se regista num serviço para consumidores não os estabelece em nome da universidade. O nosso guia sobre o Quadro de Privacidade de Dados UE-EUA e a ferramenta de mecanismos de transferência explicam as opções.

Treino de IA com dados carregados

A AP alertou que "Most companies behind the chatbots store all data entered" (a maioria das empresas por trás dos chatbots guarda todos os dados introduzidos), muitas vezes sem que a pessoa que os introduz se aperceba. A Universidade de Copenhaga informou os seus trabalhadores, em maio de 2024, de que a maioria das ferramentas de IA generativa guarda o que os utilizadores introduzem e o usa para desenvolver os modelos subjacentes, e pediu ao pessoal que usasse apenas a ferramenta licenciada pela instituição. O centro de IA de Oxford observa que as versões para consumidores obrigam os utilizadores a acompanhar a política do fornecedor e a recusar, eles próprios, o treino. Os planos contam: os planos para educação e empresas têm muitas vezes condições de treino e de conservação diferentes das dos planos gratuitos. As nossas fichas sobre ChatGPT, Grammarly, Otter.ai, DeepSeek e Microsoft Copilot resumem, por plano, o que cada fornecedor documenta publicamente.

Segurança

Aplicações não analisadas com acesso OAuth a caixas de correio ou ficheiros são uma via de ataque. A própria documentação da Microsoft sobre o Defender for Cloud Apps observa que as aplicações OAuth "often behave unnoticed" (muitas vezes passam despercebidas) enquanto detêm permissões amplas sobre dados de outras aplicações. As extensões de navegador podem ler e alterar o conteúdo das páginas, incluindo páginas de sistemas da universidade. As ferramentas desenvolvidas internamente também são um risco: o estudo de caso da UMBC encontrou vulnerabilidades típicas, como cross-site scripting e injeção de SQL, num sistema interno de gestão de financiamentos.

Acessibilidade

As universidades públicas são, em geral, organismos do setor público para efeitos da Diretiva (UE) 2016/2102 relativa à acessibilidade dos sítios web e das aplicações móveis de organismos do setor público. Uma ferramenta que um docente obriga todos os estudantes a usar, mas cuja acessibilidade ninguém verificou, pode excluir estudantes com deficiência. Veja a nossa página sobre a Diretiva relativa à acessibilidade da Web.

Violação de licenças

As condições para consumidores são escritas para particulares. Podem limitar a utilização a fins não comerciais ou pessoais, conceder ao fornecedor direitos amplos sobre os conteúdos carregados ou proibir o carregamento de material que não pertença ao utilizador. O pessoal que carrega conteúdos licenciados da biblioteca, manuscritos não publicados ou dados de terceiros pode violar a licença ou os direitos dos autores. As condições da Universidade de Utrecht para ferramentas de IA não aprovadas, por exemplo, pedem ao pessoal que não carregue material protegido por direitos de autor, confidencial ou proprietário, nem entrevistas gravadas.

Obrigações da NIS2 relativas à cadeia de abastecimento, quando aplicável

A NIS2 (Diretiva (UE) 2022/2555) permite aos Estados-Membros incluir as instituições de ensino no âmbito, "em especial quando realizam atividades críticas no domínio da investigação" (art. 2.º, n.º 5, alínea b)), e os organismos de investigação podem estar abrangidos por direito próprio. As entidades abrangidas têm de adotar medidas de gestão de riscos que incluem a "segurança da cadeia de abastecimento, incluindo aspetos de segurança respeitantes às relações entre cada entidade e os respetivos fornecedores ou prestadores de serviços diretos" (art. 21.º, n.º 2, alínea d)), bem como a gestão de ativos. Os serviços que ninguém conhece não podem ser abrangidos por essas medidas. Saber se a sua universidade está abrangida depende da transposição nacional; o nosso guia da NIS2 para universidades e a página sobre a NIS2 tratam da situação por país.

Regulamento da IA: literacia no domínio da IA

Nos termos do Regulamento da IA, alterado pelo Regulamento (UE) 2026/1744, os responsáveis pela implantação têm de adotar medidas para promover a literacia no domínio da IA do pessoal que utiliza sistemas de IA (art. 4.º). Uma instituição que não sabe que sistemas de IA o seu pessoal usa terá dificuldade em cumprir esta obrigação. Veja o nosso guia do Regulamento da IA para universidades.

4. O que dizem as autoridades e os organismos do setor

Nenhuma autoridade europeia de proteção de dados emitiu regras específicas sobre shadow IT nas universidades, mas várias publicaram orientações sobre IA generativa que se aplicam diretamente.

As orientações nacionais suecas abrangem áreas para além da proteção de dados, incluindo a contratação pública e o direito do trabalho, o que lembra que a resposta à shadow AI não é apenas um projeto de proteção de dados. Para as restantes autoridades nacionais, consulte diretamente as suas páginas sobre IA; o nosso guia sobre serviços de IA nórdicos trata dos serviços partilhados oferecidos pelas redes nacionais de investigação e ensino.

5. Como encontrar shadow IT: sete técnicas de deteção

Para começar a deteção não é preciso um produto novo. A maioria das universidades já tem os dados na sua plataforma de identidades, no sistema financeiro e nos registos de rede. Combine várias fontes, porque cada uma só vê uma parte da realidade.

Técnica 1: auditoria do consentimento a aplicações OAuth no Microsoft Entra ID

No Microsoft Entra ID, cada aplicação de terceiros a que um utilizador ou administrador deu acesso aparece como aplicação empresarial, com as respetivas permissões. O guia da Microsoft para rever as permissões concedidas a aplicações empresariais explica como ver o consentimento de administrador e o consentimento de utilizador por aplicação. Atenção a um limite: as permissões concedidas por utilizadores não podem ser revogadas no separador de consentimento de utilizador do portal; a Microsoft remete para o Microsoft Graph ou o PowerShell.

1. Exportar a lista de aplicações empresariais com permissões delegadas, o número de utilizadores que consentiram e o editor.
2. Assinalar as aplicações com acesso a correio, ficheiros, calendários ou ao diretório, as aplicações de editores não verificados e as aplicações com muitos utilizadores.
3. Alterar a definição de consentimento de utilizador. A Microsoft recomenda permitir o consentimento de utilizador "only for applications that have been published by a verified publisher" (apenas para aplicações publicadas por um editor verificado), e a sua política predefinida limita-o ainda mais às permissões que classificar como de baixo impacto (veja Configure how users consent to applications).
4. Ativar o fluxo de consentimento de administrador, para que os utilizadores que não podem consentir possam enviar um pedido. A Microsoft descreve-o como o envio do pedido por correio eletrónico aos administradores designados como revisores, que decidem, sendo o utilizador depois notificado. Este passa a ser a porta de entrada da sua via rápida.

Alterar as definições de consentimento só afeta os consentimentos futuros; a Microsoft observa que as concessões existentes se mantêm inalteradas, pelo que são necessárias tanto a auditoria como a alteração da política.

Técnica 2: acesso de aplicações de terceiros no Google Workspace

Os administradores do Google Workspace gerem as aplicações de terceiros nos controlos de API. A página de ajuda da Google Control which apps access Google Workspace data descreve uma lista de aplicações que acederam a dados Google, com o número de utilizadores e os serviços pedidos, e quatro níveis de acesso por aplicação: Trusted, Limited, Specific Google data e Blocked. Os administradores podem também definir o que acontece às aplicações não configuradas, restringir âmbitos de alto risco em serviços como o Gmail e o Drive e permitir que os utilizadores peçam acesso a uma aplicação, que fica então pendente de análise. As edições para educação têm definições próprias para utilizadores com menos de 18 anos. A Google observa que os dados sobre aplicações com acesso podem demorar 24 a 48 horas a aparecer.

Técnica 3: registos de autenticação única

Os registos de início de sessão do Entra ID, da Google ou do próprio fornecedor de identidade da instituição mostram em que prestadores de serviços as pessoas se autenticam, incluindo serviços ligados por federação de identidades. Os registos de SSO só mostram ferramentas que usam as credenciais institucionais, pelo que não revelam ferramentas gratuitas usadas com contas pessoais, mas, em conjunto com a auditoria OAuth, mostram as ferramentas usadas com um endereço de correio da universidade na página de início de sessão do próprio fornecedor.

Técnica 4: dados de despesas e de cartões de compras

Peça aos serviços financeiros um extrato anual das transações com cartão e dos pedidos de reembolso de despesas com nomes de comerciantes que pareçam subscrições de software. Agrupe por fornecedor e por centro de custos. É muitas vezes a única forma de encontrar serviços pagos com verbas de projetos de investigação. Diz-lhe também com quem falar, porque cada transação tem um titular do cartão ou requerente identificado.

Técnica 5: DNS, proxy e CASB

Os registos agregados de DNS ou de proxy web mostram que serviços de nuvem são acedidos a partir da rede do campus. Um cloud access security broker (CASB) acrescenta um catálogo e classificações de risco. A Microsoft descreve o Defender for Cloud Apps como usando o tráfego de rede e um catálogo de aplicações para identificar as aplicações em uso, avaliando as aplicações detetadas face a "more than 90 risk indicators" (mais de 90 indicadores de risco). Outros produtos CASB funcionam de forma semelhante. As redes universitárias são abertas e muitas pessoas trabalham fora do campus, pelo que isto deve ser visto como uma amostra e não como um inventário completo.

A análise de redes e registos é, em si mesma, um tratamento de dados pessoais de trabalhadores e estudantes. Use dados agregados sempre que possível, limite o acesso, defina um prazo de conservação, informe o pessoal na informação sobre privacidade e envolva o EPD e, quando aplicável, as estruturas representativas dos trabalhadores antes de começar. A nossa ferramenta de triagem de AIPD ajuda a decidir se o próprio controlo exige uma AIPD.

Técnica 6: perguntar às pessoas

Um inquérito curto, anónimo por predefinição, dirigido a departamentos e grupos de investigação encontra muitas vezes ferramentas que nenhum registo mostra: software de computador, ferramentas usadas em dispositivos pessoais e serviços usados por parceiros externos num projeto. Faça três perguntas: que ferramentas usa no ensino, na investigação e na gestão que não constam da lista de aprovadas; que dados lá introduz; e de que precisaria da universidade para deixar de as usar. Repita-o todos os anos.

Técnica 7: gestão de extensões de navegador

Nos dispositivos geridos, as políticas do navegador mostram e controlam as extensões. O guia da Microsoft sobre a gestão de extensões do Microsoft Edge com políticas de grupo descreve as políticas ExtensionInstallBlocklist e ExtensionInstallAllowlist (bloquear tudo com "*" e depois permitir as extensões listadas), ExtensionSettings para bloquear extensões que peçam determinadas permissões e runtime_blocked_hosts para impedir que as extensões leiam ou alterem sítios específicos, como o seu sistema de gestão académica. Adicionar uma extensão instalada à lista de bloqueio desativa-a sem a desinstalar. O Chrome oferece políticas equivalentes.

Análise do Validemic Um primeiro passo sensato não é bloquear todas as extensões, o que perturbaria a investigação e o ensino, mas usar runtime_blocked_hosts para manter as extensões afastadas dos sistemas com os dados mais sensíveis (processos dos estudantes, recursos humanos, finanças, plataformas de investigação em saúde) e construir uma lista de permissões a partir do que a deteção mostra que é efetivamente usado.

Está a avaliar um fornecedor? O Validemic analisa a documentação do fornecedor à luz do RGPD e do Regulamento da Inteligência Artificial e indica a fonte de cada conclusão. Experimentar o ambiente de demonstração

6. Um modelo de triagem por dados e integração

Depois de ter uma lista, é preciso decidir onde investir o esforço de análise. Duas perguntas fazem a maior parte do trabalho: quais são os dados mais sensíveis com que a ferramenta vai lidar, e qual o grau de integração com os sistemas da universidade? Use a classificação da informação já existente na instituição, se a tiver (muitas universidades usam três ou quatro classes, por exemplo pública, interna, confidencial e estritamente confidencial ou "vermelha").

Os prazos de decisão são objetivos de planeamento, não requisitos legais. Acrescente dois modificadores. As funcionalidades de IA que geram conteúdos sobre pessoas, avaliam estudantes ou fazem recomendações sobem a ferramenta um nível, porque é preciso verificar a análise de papéis, o uso para treino e a posição face ao Regulamento da IA. Uma ferramenta que muitas pessoas já usam sobe na fila, porque a exposição já existe.

7. Um processo de aprovação em via rápida

A via rápida existe para tornar o caminho aprovado mais rápido do que o não aprovado na maioria dos pedidos. Só funciona se for fácil de encontrar, pedir pouco e dar uma resposta depressa.

1. Uma única porta de entrada. Um único formulário curto, com ligação a partir do portal de serviços de informática, das páginas de orientação sobre IA e da mensagem do fluxo de consentimento de administrador. O questionário sobre ferramentas de IA da Universidade de Utrecht, por comparação, demora cerca de 30 minutos a preencher.
2. Verificar se já existe resposta. Antes de qualquer análise, consultar as três listas. Se a ferramenta já estiver aprovada, ou se houver uma alternativa aprovada adequada, responder no próprio dia.
3. Triar. Aplicar a matriz de dados e integração. Registar o nível e o motivo.
4. Recolher as provas do fornecedor uma única vez. No nível 1, as condições públicas, a política de privacidade e as definições costumam bastar. A partir do nível 2, pedir ao fornecedor o contrato de subcontratação, a lista de subcontratantes ulteriores, o mecanismo de transferência e as provas de segurança. O nosso gerador gratuito de questionários para fornecedores cria um questionário ajustado ao nível.
5. Decidir com condições. A maioria das decisões da via rápida é "aprovada com condições": apenas com credenciais institucionais, treino desativado, sem dados pessoais além das contas de utilizador, apenas para uma unidade curricular ou projeto identificado, revisão ao fim de 12 meses.
6. Publicar o resultado. Acrescentar a ferramenta à lista certa, para que a próxima pessoa tenha uma resposta imediata. Atualizar o registo das atividades de tratamento (veja o nosso modelo de registo).
7. Acompanhar. As condições só valem o que valem as condições do fornecedor. Acompanhar as alterações aos subcontratantes ulteriores e às políticas, e voltar a verificar quando o fornecedor acrescenta funcionalidades de IA. A nossa ferramenta gratuita de alertas de subcontratantes ulteriores pode ajudar.

Clarifique quem decide. Em Utrecht, é a faculdade que usa uma ferramenta aprovada que a paga, normalmente comprando-a diretamente ao fornecedor. Em Cambridge, as ferramentas de IA generativa licenciadas para além das centrais não são proibidas, mas "must be procured in accordance with any applicable procurement policy or process" (têm de ser adquiridas em conformidade com a política ou o procedimento de contratação aplicável), e é o departamento que assume o risco. Ambos os modelos funcionam se estiverem escritos.

8. Aprovadas, aprovadas com condições, não aprovadas

As listas são o resultado mais visível do processo e o principal instrumento para mudar comportamentos. A Universidade de Utrecht usa exatamente três resultados para as ferramentas de IA no ensino: aprovada, aprovada com condições e reprovada. As ferramentas aprovadas podem ser usadas nos termos das suas condições e das condições associadas à aprovação.

Mantenha a lista de "não aprovadas" curta e factual. Uma lista longa de ferramentas proibidas leva as pessoas a procurar a próxima que não conste dela. Uma lista curta com alternativas claras é mais eficaz. Para ver o que outras instituições aprovam, consulte ferramentas de IA aprovadas em universidades europeias e, para a redação de políticas, o nosso modelo de política de IA para universidades.

9. Como fazem as universidades europeias

As páginas abaixo mostram, na prática, os principais elementos: uma alternativa institucional, regras sobre dados ligadas à classificação, uma posição sobre ferramentas não aprovadas e uma via para pedir análise. Foram verificadas em 9 de outubro de 2026.

Análise do Validemic O padrão repete-se de país para país: oferecer primeiro uma boa opção institucional, ligar as regras sobre dados à classificação existente e dizer claramente o que não é permitido. O que menos vezes é publicado é a via de pedido para tudo o resto. Utrecht é um bom exemplo de publicação da via, do questionário e dos resultados possíveis.

10. Comunicar com investigadores e docentes

A maior parte do shadow IT é criada por pessoas que tentam fazer bem o seu trabalho. Uma comunicação que as trate como o problema tende a empurrar a utilização ainda mais para fora de vista. Alguns princípios ajudam:

• Começar pela alternativa. "Use o UU AI-Chat, o Aalto AI Assistant ou o GPT UiO para isto" é mais útil do que "não use o ChatGPT". Cada entrada "não aprovada" deve indicar uma alternativa.
• Fazer regras sobre dados, não sobre marcas. O conselho da AP é que as organizações deixem claro aos trabalhadores que dados podem e não podem introduzir. As regras ligadas a classes de dados continuam válidas quando aparecem novas ferramentas.
• Oferecer uma análise sem culpabilização. Convidar os departamentos a comunicar as ferramentas que já usam e analisá-las sem consequências para quem as comunicou. Os dados de deteção são muito mais úteis quando as pessoas colaboram.
• Responder depressa. Publicar um prazo-objetivo para as decisões da via rápida e reportar o seu cumprimento.
• Explicar o motivo numa frase. "O plano gratuito usa o que introduz para treino e não tem contrato de subcontratação" é compreendido; "não conforme" não é.
• Usar os canais existentes. O apoio à investigação, a biblioteca, os centros de apoio ao ensino e aprendizagem e o pessoal de informática das faculdades têm a confiança dos académicos. Informe-os primeiro.
• Ligar aos processos de investigação. Perguntar pelas ferramentas no plano de gestão de dados e no pedido à comissão de ética, para que a análise das ferramentas aconteça antes da recolha de dados, e não depois.

A formação apoia também a obrigação do Regulamento da IA de adotar medidas de literacia no domínio da IA. O nosso guia o RGPD e as ferramentas de IA na investigação foi escrito para investigadores e pode ser partilhado diretamente.

11. Indicadores que mostram progresso

Escolha um pequeno número de indicadores que possa recolher a partir de sistemas que já tem. Reporte tendências, não números isolados.

12. Um plano a 90 dias

Este plano pressupõe uma equipa pequena com tempo da segurança informática, do gabinete do EPD e dos serviços de compras. Ajuste o âmbito à dimensão da sua instituição.

Ao fim de 90 dias, o trabalho torna-se rotina: o formulário de pedido alimenta a via rápida, a deteção corre mensalmente e as listas são revistas pelo menos uma vez por ano. A revogação de consentimentos existentes e a migração dos utilizadores de ferramentas não aprovadas demoram mais e devem acontecer quando houver uma alternativa disponível.

Fontes

1. Regulamento (UE) 2016/679 (RGPD), artigos 24.º, 28.º, 30.º, 32.º, 33.º e 44.º (consultado em 9 de outubro de 2026).
2. Diretiva (UE) 2022/2555 (NIS2), artigo 2.º, n.º 5, e artigo 21.º (consultado em 9 de outubro de 2026).
3. Regulamento (UE) 2024/1689 (Regulamento da IA), artigo 4.º, e Regulamento (UE) 2026/1744 (Omnibus Digital sobre a IA) (consultado em 9 de outubro de 2026).
4. Diretiva (UE) 2016/2102 relativa à acessibilidade dos sítios web e das aplicações móveis de organismos do setor público (consultado em 9 de outubro de 2026).
5. Autoriteit Persoonsgegevens: Caution: use of AI chatbot may lead to data breaches, 6 de agosto de 2024 (consultado em 9 de outubro de 2026).
6. IMY: GDPR vid användning av generativ AI, IMY-2024-9162, 5 de fevereiro de 2025 (em sueco, consultado em 9 de outubro de 2026).
7. IMY: National guidelines for generative AI in public administration are launched (consultado em 9 de outubro de 2026).
8. CNIL: IA, la CNIL finalise ses recommandations sur le développement des systèmes d'IA, 22 de julho de 2025 (em francês, consultado em 9 de outubro de 2026).
9. Jisc: Generative AI, a primer, atualizado em 1 de fevereiro de 2024 (consultado em 9 de outubro de 2026).
10. Microsoft Learn: Configure the admin consent workflow (consultado em 9 de outubro de 2026).
11. Microsoft Learn: Configure how users consent to applications (consultado em 9 de outubro de 2026).
12. Microsoft Learn: Review permissions granted to enterprise applications (consultado em 9 de outubro de 2026).
13. Google Workspace Admin Help: Control which apps access Google Workspace data (consultado em 9 de outubro de 2026).
14. Microsoft Learn: Overview of Microsoft Defender for Cloud Apps (consultado em 9 de outubro de 2026).
15. Microsoft Learn: Use group policies to manage Microsoft Edge extensions (consultado em 9 de outubro de 2026).
16. UMBC Cyber Defense Lab: Shadow IT in Higher Education: Survey and Case Study for Cybersecurity, 2021 (consultado em 9 de outubro de 2026).
17. Trinity College: Higher Education Community Vendor Assessment Toolkit (HECVAT) (consultado em 9 de outubro de 2026).
18. Universidade de Utrecht: Allow-listing process for AI tools (consultado em 9 de outubro de 2026).
19. Universidade de Utrecht: Conditions of use of AI tools by teachers and educational support staff (consultado em 9 de outubro de 2026).
20. Universidade de Utrecht: AI platforms at UU (consultado em 9 de outubro de 2026).
21. Universidade de Oxford, AI Competency Centre: GenAI tool features (consultado em 9 de outubro de 2026).
22. Universidade de Cambridge: Data protection guidance on AI (consultado em 9 de outubro de 2026).
23. Universidade de Edimburgo: Generative AI guidance for staff (consultado em 9 de outubro de 2026).
24. Universidade de St Andrews: Approved AI software (consultado em 9 de outubro de 2026).
25. Universidade de Reading: Generative AI and AI meeting assistants (consultado em 9 de outubro de 2026).
26. Universidade de Helsínquia: Generative artificial intelligence at the University (consultado em 9 de outubro de 2026).
27. Universidade Aalto: Aalto AI Assistant (consultado em 9 de outubro de 2026).
28. Universidade de Amesterdão: UvA AI Chat (consultado em 9 de outubro de 2026).
29. Universidade de Uppsala: AI tool for students (consultado em 9 de outubro de 2026).
30. KTH Royal Institute of Technology: AI services (consultado em 9 de outubro de 2026).
31. Universidade de Oslo: GPT UiO and red data (consultado em 9 de outubro de 2026).
32. Universidade de Copenhaga: Three guidelines and a new tool for using AI, 8 de maio de 2024 (consultado em 9 de outubro de 2026).
33. Universidade de Aarhus: Microsoft 365 for students (consultado em 9 de outubro de 2026).

Sobre esta página

Fontes verificadas em 9 de outubro de 2026. Lemos a documentação para administradores da Microsoft e da Google, as páginas das autoridades de proteção de dados e as páginas das universidades acima indicadas; os textos jurídicos da UE são citados a partir das versões do Jornal Oficial. As citações em inglês são reproduzidas no original, com uma tradução nossa entre parênteses que não deve ser lida como citação textual. As páginas das universidades mudam com frequência, pelo que convém verificar a versão atual antes de confiar num pormenor. Quando damos a nossa própria interpretação, assinalamo-la como análise do Validemic. Os prazos de decisão na secção de triagem são objetivos de planeamento, não requisitos legais. Esta página contém informação geral e não constitui aconselhamento jurídico; o direito nacional, os acordos com as estruturas representativas dos trabalhadores e as políticas da sua instituição podem acrescentar requisitos, sobretudo quanto ao controlo da utilização das TI pelo pessoal. Se detetar um erro ou quiser sugerir outro exemplo de universidade, contacte-nos e corrigi-lo-emos.