A 31 de outubro de 2026, a SDAIA publicou um estudo de 47 páginas intitulado «Dados sintéticos: oportunidades, desafios e mecanismos de governação». Os dados sintéticos são gerados por algoritmos para imitar as propriedades estatísticas dos seus registos reais sem conter informação sobre pessoas reais. A sua empresa pode usá-los de três formas: para testar os sistemas e treinar os modelos sem expor os registos dos clientes, para gerar casos raros que lhe faltam, como a fraude, e para partilhar informação com um programador ou parceiro de forma mais segura. Mas o estudo avisa que não garantem uma privacidade absoluta: ficam sujeitos à Lei de Proteção de Dados Pessoais se permitirem identificar pessoas.
O que disse a SDAIA?
Segundo o anúncio da SDAIA, os dados sintéticos podem acelerar a inovação, reduzir os custos de recolha e preparação e facilitar a partilha de informação entre entidades, sobretudo em setores que lidam com informação sensível, como a saúde e os serviços financeiros. Mas o próprio estudo sublinha que gerar registos que imitam os reais não elimina necessariamente os riscos de reidentificação de pessoas nem os enviesamentos estatísticos. O estudo assenta a governação em quatro dimensões: proteção da privacidade, qualidade dos dados, equidade e redução de enviesamentos, e transparência.
A ideia não é nova: o estudo refere que a primeira utilização sistemática para proteger a privacidade foi em 1993, para preservar a confidencialidade do recenseamento norte-americano, e que o grande salto chegou em 2014 com as redes adversariais generativas (GAN). O que mudou é que a IA generativa os tornou mais fáceis e baratos de produzir.
3 tipos de dados sintéticos
| Tipo | O que é | Quando convém à sua empresa |
|---|---|---|
| Totalmente sintéticos | Todos os registos são gerados; não resta nenhum registo real | Quando a privacidade é o mais importante, ou para representar casos que ainda não aconteceram |
| Parcialmente sintéticos | Registos reais em que os campos sensíveis, como o nome, o rendimento e a localização, são substituídos por valores gerados | Quando precisa do realismo dos registos reais protegendo os campos sensíveis; são menos seguros do que o primeiro tipo |
| Híbridos | Uma mistura de registos reais e sintéticos | Quando quer aumentar um conjunto pequeno ou representar casos raros |
Segundo o estudo, são gerados de três maneiras: com regras escritas por si, como uma distribuição de idades dos clientes; com modelos estatísticos que aprendem as relações entre variáveis; ou com modelos de IA generativa, adequados a imagens, textos e outros conteúdos complexos.
Como pode a sua empresa aproveitá-los?
- Testar sistemas sem informação de clientes. O seu ambiente de desenvolvimento e testes não precisa dos nomes nem dos telemóveis reais dos clientes. Gere clientes, faturas e transações sintéticos que se pareçam com os reais no formato e na distribuição, e mantenha os registos reais apenas em produção. Garanta que os registos de teste não apontam para domínios ou endereços reais; na história do nome de empresa fictício que coincidiu com um domínio real vimos o que acontece quando isso sucede.
- Treinar modelos com casos raros. O estudo refere que o setor financeiro os usa para gerar transações raras na deteção de fraude e branqueamento de capitais. A mesma ideia serve se tiver poucos casos de fraude, devoluções ou avarias para treinar um modelo.
- Representar melhor os grupos pequenos. Se os seus registos pendem para uma cidade ou um segmento de clientes, os dados sintéticos ajudam a equilibrá-los para que o modelo não discrimine os restantes.
- Partilhar com um programador ou parceiro. Entregue ao fornecedor ou à empresa de software dados sintéticos para construir e testar, em vez de lhe dar uma cópia da sua base de clientes.
Os dados sintéticos ficam fora da Lei de Proteção de Dados Pessoais?
Não automaticamente. O estudo explica que os dados sintéticos não são mencionados expressamente na Lei de Proteção de Dados Pessoais nem no seu regulamento de execução, mas o artigo 9 do regulamento estabelece que a informação anonimizada não é pessoal. Tudo depende, portanto, da reidentificação: se for possível identificar uma pessoa direta ou indiretamente, ficam sujeitos à lei; se não for, são tratados como anónimos. Por isso o estudo pede que se avalie o risco de reidentificação, sobretudo em amostras pequenas e casos raros, fáceis de associar a pessoas.
O estudo lembra ainda que em 2023 a SDAIA lançou o primeiro ambiente regulatório de testes da região para dados e privacidade, um espaço para testar tecnologias que reforçam a privacidade, incluindo os dados sintéticos, sem violar os requisitos de privacidade.
4 riscos a ter em conta
- A reidentificação. O modelo gerador pode memorizar padrões precisos ou raros dos registos reais e expor uma pessoa concreta.
- Falta de realismo. Os dados sintéticos podem deixar escapar valores atípicos e pormenores finos: o modelo funciona nos testes e falha com os clientes reais.
- Degradação do modelo. Treinar modelos vezes sem conta com conteúdo gerado por outros modelos faz-lhes perder diversidade aos poucos, o que o estudo chama colapso do modelo.
- Reprodução de enviesamentos. Se os seus registos originais forem enviesados, os dados sintéticos podem herdar esse enviesamento ou até ampliá-lo.
Passos práticos do roteiro da SDAIA
O estudo propõe um roteiro de 3 fases e 6 passos, do qual retiramos o que se adapta a uma empresa média:
- Defina primeiro o objetivo. Quer usá-los para testar software, treinar um modelo ou partilhá-los com terceiros? O objetivo define a precisão e a privacidade necessárias e a ferramenta adequada.
- Nomeie um responsável e defina regras internas. Quem aprova a sua geração e utilização, e quem responde pela sua qualidade. Se já aplica a governação de dados segundo a SDAIA, acrescente-lhe os dados sintéticos.
- Verifique a qualidade e a privacidade antes de usar. Compare o conjunto sintético com o real, teste se alguém conseguiria reidentificar pessoas e avalie o modelo final com registos reais independentes.
- Documente o processo de geração. Registe a origem dos registos originais, a ferramenta ou o modelo usado e as definições, para que o trabalho possa ser revisto mais tarde.
- Exija transparência aos fornecedores. Se comprar dados sintéticos ou uma ferramenta de geração, peça documentação sobre as fontes, o modelo usado, os enviesamentos conhecidos e os seus limites.
Estes passos articulam-se com o quadro nacional de gestão de riscos da IA. Na Origami ajudamos as empresas a montar ambientes de teste com dados sintéticos, separados dos registos reais dos clientes. Fale connosco se quiser começar connosco.
Fontes
Perguntas frequentes
O que são dados sintéticos?
São registos gerados por algoritmos ou modelos de IA para imitar as propriedades estatísticas dos dados reais, sem conter informação identificativa de pessoas ou entidades reais, segundo a definição do estudo da SDAIA.
Os dados sintéticos são totalmente seguros para a privacidade?
Não. A SDAIA sublinha que não eliminam necessariamente o risco de reidentificar pessoas, sobretudo se o modelo gerador memorizou padrões raros dos registos reais, por isso avalie esse risco antes de os usar.
A Lei de Proteção de Dados Pessoais aplica-se aos dados sintéticos?
Depende da reidentificação. O artigo 9 do regulamento de execução diz que a informação anonimizada não é pessoal, mas, se for possível identificar uma pessoa a partir dela, fica sujeita à lei.
Por onde deve começar uma PME?
Pelo ambiente de testes: substitua os registos reais de clientes no desenvolvimento e nos testes por dados sintéticos, nomeie um responsável e documente a forma como são gerados.
