Onde a IA do Bitrix24 Processa seus Dados e Como Manter a Conformidade

Como o CoPilot processa dados: provedores, fluxo e o que verificar

O Bitrix24 CoPilot opera via provedores de IA terceiros, não em infraestrutura própria do Bitrix24. Conforme os Termos de Uso das Ferramentas de IA do Bitrix24 (atualizados em 7 ago 2026, seção 1.1), "o CoPilot opera usando Tecnologias de IA fornecidas por Provedores de IA terceiros". O processamento ocorre nos servidores desses provedores, não nos servidores do Bitrix24.

Quando um colaborador usa o CoPilot - seja para redigir um e-mail, preencher campos do CRM ou transcrever uma chamada - o texto ou áudio enviado (chamado de "Request" nos termos oficiais) é transmitido ao provedor de IA correspondente. Para a OpenAI, os Termos deixam claro: "Qualquer Solicitação que você enviar será transmitida para os EUA para processamento por esse Provedor de IA" (seção 8.1).

Os provedores ativos no Bitrix24 internacional, conforme a documentação oficial verificada em 5 de outubro de 2026, são:

• gpt-4o-2024-11-20 (OpenAI) - geração de texto, preenchimento de campos do CRM, resumos de chamadas, scripts de recompra, análise de chamadas
• Dall-E-3 (OpenAI) - geração de imagens
• AudioAssistant AI - transcrição de chamadas no CRM e mensagens de áudio em chats
• AudioCall - transcrição de videochamadas

Para verificar qual provedor está ativo em cada conversa: acesse o chat do CoPilot no Messenger → clique no nome do chat → "Provedor". Esse caminho está documentado no helpdesk oficial do Bitrix24.

Dois pontos que a documentação oficial enfatiza e que merecem atenção especial de times de compliance:

1. Os dados que você fornecer são processados diretamente pela tecnologia de IA, e não pelo fornecedor do Bitrix24 (seção 1.3 dos Termos).
2. "NENHUMA AÇÃO ADICIONAL É EXIGIDA DOS USUÁRIOS PARA ATIVAR AS FERRAMENTAS DE IA" - agentes de IA podem estar ativos desde a criação da conta (seção 1.3), e a transcrição de chamadas pode ser iniciada a partir do primeiro uso da função (seção 7.2).

Isso significa que a ativação passiva é o padrão - e que um administrador precisa agir proativamente para restringir o uso onde necessário.

---

A hospedagem da conta e o processamento de IA são a mesma coisa?

A região onde sua conta Bitrix24 está hospedada e a região onde o CoPilot processa os dados são independentes. Mesmo que sua conta esteja em Frankfurt (UE), os prompts enviados ao CoPilot são transmitidos aos servidores dos provedores de IA - incluindo servidores nos EUA para o caso da OpenAI.

A hospedagem das contas segue esta lógica, conforme informações oficiais verificadas em 5 de outubro de 2026 (página GDPR e lista de subprocessadores do Bitrix24, última atualização 30 jul 2025):

As certificações ISO 27001 e SOC listadas na página de segurança do Bitrix24 pertencem à AWS como provedora de infraestrutura - não ao Bitrix24 diretamente.

A entidade contratante também varia por região:

• Brasil: entidade do fornecedor nos EUA
• Portugal: entidade do fornecedor no Chipre
• EAU e Arábia Saudita: entidade do fornecedor no Bahrein

Esse detalhe é relevante para a definição do controlador e processador no contexto de leis locais de proteção de dados.

---

O que é retido e o que pode ser usado para treino de modelos

O Bitrix24 armazena os dados enviados ao CoPilot por até 14 dias para fins técnicos e depois os exclui - mas os Termos de Uso permitem que os provedores de IA usem o conteúdo para melhoria de suas tecnologias, conforme as próprias políticas de cada provedor.

Há três camadas distintas de retenção que precisam ser consideradas:

1. Bitrix24: armazena os dados da solicitação por até 14 dias para fins técnicos, depois exclui. O histórico do chat do CoPilot fica salvo na conta do usuário.

2. Provedores de IA terceiros: os Termos (seção 6.1) informam que "os Provedores de IA podem usar Seu Conteúdo, inclusive para fins de fornecimento, manutenção, desenvolvimento e melhoria de suas Tecnologias de IA, conforme descrito nos Termos dos respectivos Provedores de IA". Isso significa que é necessário revisar as políticas de uso de dados da OpenAI e de cada provedor ativo.

3. Licença outorgada ao fornecedor: ao usar as ferramentas de IA, o cliente concede ao fornecedor do Bitrix24 uma licença perpétua, mundial, não exclusiva e sem royalties para usar as Solicitações e o Conteúdo "para fins de fornecimento, manutenção e melhoria das Ferramentas de IA" (seção 5 dos Termos).

Não é correto afirmar que os dados nunca são usados para treino - isso depende dos termos de cada provedor terceiro (seção 6.1) e da licença concedida ao fornecedor do Bitrix24 para melhorar as Ferramentas de IA (seção 5).

---

Tabela: cenário de IA → quem processa → o que verificar

Cada função de IA no Bitrix24 envolve um provedor diferente e, portanto, diferentes obrigações de verificação. A tabela abaixo consolida os cenários mais comuns com base na documentação oficial verificada em 5 de outubro de 2026.

Para chamadas com análise de desempenho de colaboradores, o AI Act (Regulamento UE 2024/1689) classifica no Anexo III ponto 4(b) os sistemas de IA usados "para monitorar e avaliar o desempenho e o comportamento de pessoas" em relações de trabalho como de alto risco - o que pode exigir avaliação jurídica adicional para empresas na UE. Consulte também a análise de chamadas com IA no Bitrix24 para entender os cenários práticos.

---

Como desligar ou restringir a IA por área no Bitrix24?

Por padrão, todos os colaboradores podem usar o CoPilot desde o momento da criação da conta. O administrador pode restringir ou desativar funcionalidades de IA por área em Configurações → Preferências do CoPilot - sem necessidade de alteração técnica adicional.

As opções disponíveis para o administrador, conforme documentação oficial atualizada em 23 set 2026, incluem:

• Escolher quais ferramentas usam geração de texto e imagem pelo CoPilot
• Ativar ou desativar o CoPilot no CRM especificamente
• Permitir ou restringir o chat do CoPilot para colaboradores
• Selecionar o provedor de IA (quando aplicável)
• Ativar ou desativar o MCP externo (desativado por padrão)

Apenas administradores podem alterar essas configurações. Colaboradores comuns não têm acesso ao painel de preferências do CoPilot.

Um ponto crítico: a transcrição de chamadas pode ser iniciada automaticamente a partir do primeiro uso da função (Termos, seção 7.2). O administrador deve verificar e configurar esse comportamento antes que qualquer colaborador realize chamadas com clientes, especialmente em jurisdições onde há exigência legal de consentimento para gravação.

O cliente também assume a responsabilidade de garantir que possui os consentimentos e direitos necessários para transferir dados aos provedores de IA (Termos, seção 7.2(4)).

---

Bitrix24 self-hosted e a IA do CoPilot: o que muda - e o que não muda

No Bitrix24 self-hosted, os dados da conta ficam no servidor da empresa - mas os prompts do CoPilot ainda saem do perímetro. A versão on-premise requer a versão 24.700.0+ da plataforma, o módulo AI Integration e acesso de saída aos endereços de proxy de IA do Bitrix24 (ai-proxy-de.bitrix.info e hosts relacionados).

Isso é documentado oficialmente e tem uma implicação direta para times de compliance: mesmo no on-premise, o CoPilot não é uma IA local. Os prompts enviados ao CoPilot trafegam pelos proxies do Bitrix24 até os provedores terceiros. Não existe opção documentada oficialmente para executar o CoPilot em um modelo local operado pelo cliente na versão self-hosted.

O que é possível para quem precisa de IA inteiramente dentro do perímetro:

• Aplicativos customizados via Alaio Vibecode BYOK: é possível conectar seu próprio endpoint compatível com OpenAI - incluindo um servidor corporativo vLLM ou Ollama - através do Vibecode com BYOK (Bring Your Own Key). As requisições passam pelo proxy do Vibecode com logging.
• Integrações customizadas via parceiro: um parceiro pode desenvolver uma integração que use seu próprio endpoint de IA sem passar pelos servidores do Bitrix24.
• REST method ai.engine.*: existe apenas na versão cloud, não no on-premise.

Para empresas em setores regulados (saúde, finanças, setor público) que consideram o self-hosted como caminho para conformidade, é importante distinguir: a soberania de dados da conta é garantida pelo on-premise, mas a soberania de dados das interações com o CoPilot requer uma estratégia adicional. Veja uma comparação mais detalhada em CRM em Conformidade com LGPD/GDPR: Por Que Bitrix24 Self-Hosted Vence.

---

Alaio Vibecode e BitrixGPT 5.5 para aplicativos próprios

O Alaio Vibecode - ainda em beta e disponível apenas para pessoas jurídicas - permite que desenvolvedores construam aplicativos usando modelos próprios da família BitrixGPT, com acesso via API do Vibecode. O BitrixGPT é a família de modelos do Bitrix24 para desenvolvedores, diferente do CoPilot.

Conforme informações verificadas em 5 de outubro de 2026:

• BitrixGPT 5.5: modelo flagship com contexto de 262K tokens, suporte a visão, disponível gratuitamente via API do Vibecode
• BitrixGPT 5.5 Thinking: variante com raciocínio em cadeia (chain-of-thought)
• BitrixGPT 5.5 Agent: variante otimizada para agentes
• Também disponíveis: GPT-OSS 120B e Gemma 4 26B (modelos open source)

No Alaio Vibecode com BYOK, as requisições passam pelo proxy do Vibecode com logging. Terceiros podem usar o conteúdo conforme suas próprias regras. A região de processamento do BitrixGPT 5.5 não está publicada oficialmente.

O Vibecode é para construção de aplicativos e automações customizadas - não é o canal de acesso ao CoPilot dentro do Bitrix24 padrão. Nenhuma fonte oficial indica que o CoPilot utiliza o BitrixGPT como modelo subjacente.

Para explorar o que é possível construir nessa plataforma, veja VibeCode no Bitrix24: Como Agentes de IA Criam Aplicativos Sem Programação.

---

Obrigações regulatórias: LGPD, GDPR, AI Act e PDPL dos EAU

Antes de ativar o CoPilot em produção, o responsável pelo tratamento de dados precisa verificar a base legal para a transferência internacional - tanto para a hospedagem da conta quanto para o processamento pela IA. As principais regulações que se aplicam variam por região, mas todas exigem análise antes da ativação.

O Acordo de Processamento de Dados (DPA) do Bitrix24 (versão de 29 nov 2024) estabelece que o fornecedor do Bitrix24 é o processador e o cliente é o controlador dos dados pessoais da conta. Novos subprocessadores são comunicados com pelo menos 10 dias de antecedência onde o GDPR se aplica. A exclusão dos dados ocorre em até 90 dias após o encerramento do contrato. O DPA menciona LGPD e GDPR entre as leis aplicáveis, mas não menciona explicitamente a PDPL dos EAU ou da Arábia Saudita - o que reforça a necessidade de análise adicional para clientes nessas jurisdições. Revise a lista completa de subprocessadores em www.bitrix24.com/upload/DPA/Bitrix24_Infrastructure_and_Sub.pdf (atualizada em 30 jul 2025).

LGPD (Brasil)

A Lei 13.709/2018 (LGPD) regula o tratamento de dados pessoais no Brasil. O artigo 33 permite transferência internacional apenas em casos previstos, incluindo cláusulas contratuais padrão e consentimento destacado específico. O artigo 20 garante ao titular o direito de revisar decisões automatizadas - relevante para qualquer uso de IA que afete decisões sobre pessoas. A ANPD aprovou cláusulas contratuais padrão pela Resolução CD/ANPD 19/2024. Empresas brasileiras precisam verificar se o DPA do Bitrix24 e os termos dos provedores de IA atendem a esses requisitos.

GDPR (União Europeia / Portugal)

O GDPR exige, pelo artigo 28, que processadores e subprocessadores sejam autorizados e operem sob contratos adequados. Os artigos 44 a 46 tratam de transferências internacionais, exigindo decisão de adequação ou salvaguardas como cláusulas contratuais padrão. Clientes em Portugal devem notar que, conforme a lista de subprocessadores, clientes da Espanha e de Portugal são atendidos pela região dos EUA - e que o processamento de IA também ocorre nos EUA. A contratação é feita com a entidade do fornecedor no Chipre.

EU AI Act

O Regulamento (UE) 2024/1689 (AI Act), em vigor desde 1 ago 2024, tem obrigações escalonadas:

• Práticas proibidas e literacia em IA: desde 2 fev 2025
• Regras para IA de uso geral: desde 2 ago 2025
• Artigo 50 (transparência): desde 2 ago 2026 - pessoas devem ser informadas quando interagem com um sistema de IA; conteúdo gerado por IA deve ser marcado. Para sistemas generativos colocados no mercado antes de 2 ago 2026, a obrigação de marcação (Art. 50(2)) entra em vigor em 2 dez 2026.
• O Regulamento (UE) 2026/1744 "Digital Omnibus on AI" (8 jul 2026) adiou obrigações de alto risco: sistemas do Anexo III até 2 dez 2027 e do Anexo I até 2 ago 2028.

PDPL dos EAU

O Decreto-Lei Federal No. 45 de 2021 (PDPL), em vigor desde 2 jan 2022, exige pelo artigo 22 que transferências internacionais sejam feitas para países com proteção adequada aprovada pelo Escritório de Dados dos EAU. O artigo 23 prevê exceções como contratos e consentimento expresso do titular. Zonas francas com legislação própria (DIFC, ADGM) estão fora do escopo da PDPL federal. O DPA do Bitrix24 não menciona explicitamente a PDPL dos EAU - clientes nos Emirados devem verificar a adequação junto a assessoria jurídica local. Veja também UAE PDPL and Data Residency: Which CRM Keeps Your Data In-Country?.

PDPL da Arábia Saudita

A PDPL saudita (SDAIA), pelo artigo 29 e o Regulamento de Transferência Internacional, exige que a transferência não afete a segurança nacional, que haja nível adequado de proteção, que os dados sejam minimizados e que o controlador realize uma avaliação de risco antes da transferência. Salvaguardas aceitáveis incluem cláusulas contratuais padrão e regras corporativas vinculantes.

O Termo de Uso das Ferramentas de IA do Bitrix24 proíbe explicitamente o uso da IA para "tomar decisões que produzam efeitos jurídicos sobre indivíduos, ou efeitos igualmente significativos, sem envolvimento humano significativo" (seção 1.4) - alinhado com os princípios dessas regulações, mas a responsabilidade de garantir conformidade é do controlador.

---

Leia também: IA Empresarial no Bitrix24: Como Implantar o CoPilot em uma Grande Empresa

Leia também: AI Act da UE e IA no CRM: Obrigações para Empresas que Usam Bitrix24 em 2026-2027

Checklist de conformidade antes de ativar a IA em produção

Antes de liberar o CoPilot para os colaboradores em ambiente de produção, percorra os itens abaixo. O objetivo é garantir que a ativação seja consciente, documentada e dentro das obrigações legais aplicáveis à sua organização.

Governança e documentação

• Identificar a base legal para transferência internacional dos dados processados pela IA (cláusulas contratuais padrão, consentimento específico ou outro mecanismo previsto na regulação aplicável - LGPD art. 33, GDPR art. 44-46, PDPL arts. 22-23)
• Revisar e assinar o DPA do Bitrix24 (BitrixDPA.pdf, 29 nov 2024)
• Revisar a lista de subprocessadores do Bitrix24 e confirmar que os provedores de IA estão incluídos
• Atualizar a política de privacidade da empresa para refletir o uso de IA e a transferência internacional de dados
• Verificar os Termos do provedor de IA (ex.: OpenAI) quanto ao uso do conteúdo para melhoria de modelos (Termos, seção 6.1) e decidir se esse uso é aceitável para a organização
• Para decisões automatizadas que afetam titulares: verificar obrigações do LGPD art. 20 e GDPR art. 22

Configuração técnica

• Acessar Configurações → Preferências do CoPilot e definir quais ferramentas ficam ativas por padrão
• Desativar o CoPilot em módulos onde dados sensíveis são processados (saúde, finanças, dados de menores) até avaliação jurídica
• Verificar se a transcrição automática de chamadas está desativada nos casos em que consentimento prévio é exigido pela legislação local
• Confirmar se o MCP externo está desativado (padrão) ou, se ativo, documentar o provedor e a base legal
• Verificar o provedor ativo em cada chat do CoPilot: Messenger → CoPilot chat → nome do chat → Provedor

Minimização de dados e treinamento de colaboradores

• Instruir colaboradores a não inserir dados pessoais desnecessários em prompts de IA (documentos de identidade, dados médicos, dados financeiros sensíveis)
• Definir quais funções têm acesso às ferramentas de IA no CRM e restringir por papel onde necessário
• Para análise de desempenho de colaboradores via chamadas: avaliar obrigações do AI Act Anexo III 4(b) e legislação trabalhista local

Para empresas com requisitos de residência de dados

• Para clientes .com.br ou .com: confirmar que a conta está hospedada nos EUA (Virginia) e avaliar se isso atende à política de dados da organização
• Para migração para datacenter da UE (Frankfurt): solicitar via helpdesk do Bitrix24
• Para IA inteiramente dentro do perímetro: avaliar integração via Alaio Vibecode BYOK com endpoint próprio, ou integração customizada via parceiro

Para orientação sobre hardening geral da instância self-hosted, consulte o Hardening de Segurança para Bitrix24 Self-Hosted: Checklist de 25 Pontos. Para uma análise completa de quando o on-premise faz sentido do ponto de vista de conformidade, veja Bitrix24 On-Premise para Conformidade LGPD: Soberania de Dados no Seu Servidor.

O fluxo abaixo mostra como os dados percorrem os diferentes componentes de IA dependendo do cenário de implantação escolhido.