Construindo um Tutor de IA ou um Produto Edtech na Armênia: Dados de Crianças, Contratos Escolares e Treinamento de Modelos

Um tutor de IA que processa dados de alunos menores de 16 anos na Armênia precisa de uma base legal para cada uso desses dados e, quando essa base for o consentimento, um dos pais ou outro representante legal deve fornecê-lo. As regras estão na Lei HO-49-N sobre Proteção de Dados Pessoais de 18 de maio de 2015, em vigor desde 1º de julho de 2015 e consolidada mais recentemente com vigência a partir de 15 de agosto de 2026. A Armênia não possui uma legislação específica sobre dados para tecnologia educacional ou IA, portanto, a lei geral define quem é o responsável em uma implementação escolar, se os registros de bate-papo podem treinar um modelo e se os desenvolvedores em Yerevan podem acessar registros mantidos no exterior.

Para obter informações gerais, consulte nossos guias sobre a lei de dados pessoais da Armênia para empresas estrangeiras e sobre as bases legais e os requisitos de consentimento . Esta página aborda as mudanças ocorridas quando os titulares dos dados são crianças e o produto é um tutor de IA.

Quem é o responsável: a escola, o fornecedor ou o incorporador?

A legislação armênia não utiliza os termos "controlador" e "processador" do RGPD. Ela usa dois termos próprios. O processador de dados (Artigo 3(1)(5)) é quem organiza ou realiza o processamento; em uma implementação escolar, normalmente é a própria escola. A pessoa autorizada (Artigo 3(1)(16)) é alguém que o processador de dados designa, por contrato ou por lei, para processar dados em seu nome; um fornecedor de tecnologia educacional que presta serviços a uma escola geralmente se enquadra nessa categoria. Seus contratos devem nomear expressamente essas funções, pois uma designação no estilo do RGPD em um modelo em inglês não corresponde exatamente às definições armênias.

Nos termos do Artigo 14, a escola permanece responsável pelo tratamento de dados no âmbito da sua atribuição. O prestador de serviços só pode tratar os dados dos alunos no âmbito dessa atribuição. Se a própria atribuição violar a lei, o prestador de serviços deve informar a escola por escrito e recusar-se a executá-la. As mesmas regras aplicam-se quando a entidade contratante for uma escola pública ou municipal (Artigo 14(4)).

A função acompanha a atividade. Um fornecedor que utiliza dados de alunos para seus próprios fins, como análises para outros clientes, publicidade ou treinamento de um modelo geral, está organizando o processamento para si próprio e provavelmente será um processador de dados por direito próprio para essa atividade, com sua própria necessidade de uma base legal.

Onde se encaixa o desenvolvedor de software

O processamento inclui armazenamento, acesso e alteração, portanto, uma equipe de desenvolvimento que pode visualizar registros identificáveis ​​de alunos faz parte da cadeia, independentemente de seu cargo. A lei não prevê um regime expresso de subcontratação, e não foi encontrada nenhuma interpretação da Agência sobre se um fornecedor pode contratar um desenvolvedor sem a aprovação específica da escola. A conduta cautelosa é nomear o desenvolvedor e o nível de acesso que ele possui na solicitação por escrito da escola, exigir a aprovação por escrito da escola para qualquer outro fornecedor e vincular o desenvolvedor às mesmas restrições que o fornecedor.

Uma escola pode fornecer dados de alunos a um fornecedor comercial sem o consentimento dos pais?

Não foi encontrada nenhuma base legal expressa na área da educação que permita a uma escola divulgar dados de alunos a um fornecedor comercial sem consentimento. Os instrumentos educacionais identificados, incluindo a Lei de Educação Geral HO-160-N e as portarias do Ministério sobre registros escolares, tratam de registros escolares e sistemas de informação estatais, e um deles afirma que os dados dos alunos são tratados de acordo com a lei de proteção de dados pessoais. Portanto, aplicam-se as regras gerais: o tratamento sem consentimento só é permitido quando previsto em lei expressamente (artigo 9.º, n.º 5), e a divulgação a terceiros sem consentimento só é permitida quando prevista em lei e os dados estiverem adequadamente protegidos (artigo 26.º, n.º 1). Um fornecedor que atua estritamente como pessoa autorizada da escola encontra-se numa posição diferente de um terceiro que utiliza os dados para os seus próprios fins, e o seu contrato deve deixar claro qual deles você representa.

O que o contrato escolar deve conter

O artigo 14(2) exige que a atribuição seja feita por escrito e indique:

• os fundamentos e condições legais para o processamento;
• seu propósito;
• a lista de dados pessoais a serem processados;
• as categorias de sujeitos de dados (alunos, pais, professores);
• as pessoas a quem os dados podem ser transferidos;
• as medidas de proteção técnicas e organizacionais;
• Qualquer outra informação necessária.

A atribuição pode constar do contrato de prestação de serviços ou de um anexo de processamento de dados a ele vinculado. Além desse mínimo legal, escolas e fornecedores geralmente adicionam cláusulas que tornam a lei viável na prática:

• Usos proibidos. Análise, publicidade e treinamento de modelos são tratados expressamente em cada um desses tópicos, sendo o treinamento excluído ou tratado de forma independente.
• Direitos dos alunos. O Artigo 20 garante ao titular dos dados o acesso às informações sobre seus dados, geralmente dentro de cinco dias, e exige que dados incorretos ou ilegais sejam corrigidos imediatamente ou, se isso não for possível, dentro de três dias úteis. O fornecedor deve ser capaz de ajudar a escola a cumprir esses prazos.
• Segurança. O artigo 19 exige medidas de criptografia, acesso restrito e confidencialidade que se mantenham mesmo após o término das funções da pessoa.
• Violações. As obrigações relativas a incidentes no Artigo 21(4), descritas abaixo, e um prazo para o fornecedor notificar a escola. A lei não estabelece um prazo entre o fornecedor e a escola, portanto, o contrato deve defini-lo.
• Retenção e exclusão, Acesso do desenvolvedor, transferências internacionais, direitos de auditoria e responsabilidade.

O contrato de fornecimento com a escola não constitui consentimento do aluno. O artigo 9.º, n.º 4, alínea 2), considera que o consentimento só é dado quando os dados são obtidos ao abrigo de um contrato com o titular dos dados e o aluno não é parte no contrato da escola com você.

Consentimento para crianças menores de 16 anos

O artigo 9.º, n.º 9, prevê que, quando o titular dos dados for menor de 16 anos, não tiver capacidade jurídica ou tiver capacidade limitada, o consentimento para o tratamento dos dados será dado pelo seu representante legal. O limite é de 16 anos, pelo que os alunos com 16 e 17 anos dão o seu consentimento por si próprios. A lei refere-se ao representante legal: não exige que ambos os pais assinem, não define qual dos pais prevalece em caso de desacordo e não designa a escola como representante. Uma escola pode obter o consentimento dos pais em seu nome, mas o consentimento é dos pais.

Para os fluxos de integração, três disposições são importantes:

• Forma (Artigo 9(7)). O consentimento pode ser dado por escrito, eletronicamente e confirmado por uma assinatura digital eletrônica ou, se dado oralmente, comprovado por atos que o demonstrem de forma confiável. Ainda não está definido se uma caixa de seleção não assinada atende a esse padrão.
• Prova (Artigo 9(8)). O responsável pelo tratamento dos dados tem o ônus de comprovar que o consentimento foi dado. Guarde o registro, a versão do aviso exibida e a data e hora.
• Aviso (Artigo 10). Antes de dar o consentimento, os pais devem ser informados sobre a base legal e a finalidade do tratamento dos dados, quais dados são coletados e as operações realizadas com eles, quem pode receber os dados, quem os está processando e onde, como solicitar a correção ou exclusão, por quanto tempo o consentimento é válido e como retirá-lo e quais as consequências disso.

O Tribunal de Cassação decidiu que o consentimento deve ser livre, específico, informado e inequívoco, e não pode ser inferido de uma mera referência a um conjunto de regras (processo ED/12041/02/19, 24 de junho de 2022). As orientações da Agência sobre dados de crianças acrescentam que o consentimento não é livre quando a sua recusa acarreta consequências negativas, o que representa um problema para qualquer produto que condicione o acesso ao trabalho escolar a uma utilização não relacionada dos dados da criança.

As conversas dos alunos podem ser usadas para treinar seu modelo?

Somente com uma base legal que abranja especificamente o treinamento. A legislação armênia não prevê permissão geral, isenção ou exceção para pesquisa para o treinamento de modelos de IA em dados pessoais, e não possui fundamento de legítimo interesse nos moldes do GDPR. O Artigo 4(2) estabelece que os dados processados ​​para fins específicos não podem ser usados ​​para outros fins sem o consentimento do titular dos dados, e o Artigo 5(3) proíbe o processamento que seja desnecessário ou incompatível com a finalidade. Ministrar aulas particulares a um aluno e desenvolver um modelo são finalidades distintas, portanto, o consentimento para a primeira não se estende à segunda, e um fornecedor que trabalha sob encomenda de uma escola não pode derivar uma finalidade de treinamento disso (Artigo 14).

O treinamento que é divulgado e consentido desde o início pode ser um dos propósitos originais. Uma frase genérica como "podemos usar seus dados para melhorar nossos serviços" provavelmente não será específica o suficiente, dada a posição da Agência de que o consentimento sem a finalidade precisa não é aceitável. Se a personalização do mesmo tutor para a mesma criança se enquadra no propósito da tutoria, e onde o treinamento de um modelo compartilhado começa, depende dos fatos e não foi abordado pelo órgão regulador.

Anonimização

O artigo 5.º, n.º 4, proíbe o tratamento de dados pessoais quando a finalidade possa ser alcançada com dados despersonalizados. Despersonalização significa que é impossível determinar a quem pertencem os dados (artigo 3.º, n.º 1, alínea 9)), pelo que a remoção de nomes de um registo de conversa em que uma criança descreve a sua escola, família ou saúde não cumpre esse requisito. Ainda não existe nenhuma norma arménia que defina qual o nível de anonimização suficiente para conversas em texto livre.

Solicitar uma cópia dos seus dados pessoais.

Nos termos do Artigo 21(6), após receber uma declaração de desistência por escrito e assinada ou com assinatura eletrônica, o responsável pelo tratamento de dados deve interromper o processamento e destruir os dados no prazo de dez dias úteis, salvo disposição legal em contrário ou acordo entre as partes, e deve informar o titular dos dados no prazo de três dias úteis após a destruição. Ainda não há decisão judicial ou da Agência sobre se um modelo já treinado com os dados deve ser retreinado ou se os dados devem ser removidos, e seu processo de treinamento deve ser estruturado de forma a contemplar ambas as hipóteses.

Conteúdo sensível

As crianças contam coisas aos tutores. Informações sobre saúde, religião, etnia e similares são categorias especiais que só podem ser processadas com consentimento, a menos que a lei disponha de outra forma (Artigo 12), e características de voz ou faciais podem ser consideradas dados biométricos (Artigo 13). Ainda não está definido se perfis inferidos, como uma dificuldade de aprendizagem identificada ou uma avaliação emocional, são considerados dados de categoria especial.

Desenvolvedores na Armênia, dados de alunos no exterior

O artigo 27 regula as transferências de dados pessoais para outro país e funciona em camadas:

1. A transferência precisa de uma base: o consentimento do titular dos dados, ou a transferência resulta ou é necessária para os fins do processamento (artigo 27(1)).
2. Não é necessária autorização da Agência se o destino garantir um nível de proteção suficiente, o que se considera ser o caso quando a transferência segue um tratado internacional ou o país está na lista que a Agência publica oficialmente (artigo 27(2)).
3. Para qualquer outro país, os dados só podem ser transferidos com a autorização da Agência, ao abrigo de um contrato cujas salvaguardas a Agência tenha aprovado como suficientes (artigo 27.º, n.º 3). O consentimento do titular dos dados não substitui esta autorização.
4. O pedido deve ser feito por escrito antes da transferência, indicando o país, o destinatário e a sua forma jurídica, os dados, as finalidades e o contrato ou projeto de contrato. A Agência deve conceder ou recusar o pedido no prazo de 30 dias (artigo 27.º, n.º 4).

A lista atual foi definida pela Decisão N ԱՏՊՊ-001/24 do Chefe da Agência, adotada em 8 de julho de 2024 e em vigor desde 10 de julho de 2024; a base de dados jurídica oficial ARLIS mostra-a em vigor, sem alterações posteriores, conforme verificado em 27 de outubro de 2026. Ela nomeia 53 países, incluindo todos os 27 Estados-Membros da UE, o Reino Unido, a Suíça, o Japão, a República da Coreia e Singapura. A entrada referente aos Estados Unidos limita-se a “Estados Unidos da América (organizações)”, portanto, confirme se um determinado destinatário dos EUA se enquadra nessa categoria. A Agência deve rever a lista pelo menos uma vez por ano e publicar qualquer alteração (artigo 27.º, n.º 5), portanto, verifique-a novamente antes de a utilizar para uma nova transferência.

Duas situações surgem repetidamente. Um produto armênio que envia dados de alunos para servidores em nuvem ou para um provedor de modelos de IA no exterior está realizando uma transferência e precisa da lista, de um tratado ou de uma permissão. Uma equipe de desenvolvimento armênia que acessa registros que uma empresa matriz estrangeira mantém sobre alunos estrangeiros levanta uma questão diferente: a equipe armênia provavelmente está atuando como pessoa autorizada da empresa matriz, portanto, as regras de cessão por escrito do Artigo 14 se aplicam na Armênia, enquanto a lei estrangeira de proteção de dados rege a transferência da própria empresa matriz para a Armênia. Não foram encontradas orientações da Agência sobre acesso remoto ou roteamento transitório, portanto, mapeie os fluxos de dados reais antes de decidir o que se aplica.

Notificação à agência, segurança e violações

A Armênia não possui um sistema universal de registro de processadores de dados. A notificação à Agência sobre o seu processamento é voluntária, conforme o Artigo 23(1), e torna-se obrigatória caso a Agência a exija (Artigo 23(2)). A exceção são os dados biométricos ou de categoria especial: você deve notificar a Agência antes de iniciar o processamento desses dados (Artigo 23(3)). A Agência aprovou um novo formulário de notificação em junho de 2026.

Caso ocorra vazamento de dados pessoais de um sistema eletrônico, o Artigo 21(4) exige que o responsável pelo tratamento de dados publique um aviso imediatamente e, simultaneamente, comunique o vazamento à polícia e à Agência. Não há prazo de 72 horas nem limite de risco como os previstos no RGPD. A Lei HO-447-N, em vigor desde 4 de janeiro de 2026, revogou partes do Artigo 19 e transferiu os requisitos técnicos de segurança para sistemas de informação para as normas governamentais e das agências, portanto, verifique as leis de implementação vigentes ao elaborar seus controles de segurança.

Um projeto de lei que criaria uma comissão independente de proteção de dados e introduziria a figura do encarregado de proteção de dados e avaliações de impacto está em análise. Ainda não foi promulgado.

Vendas para os EUA e UE

Um produto fabricado na Armênia e utilizado por crianças no exterior também está sujeito às normas de cada mercado em que é comercializado. Nos Estados Unidos, a versão alterada da Lei de Proteção da Privacidade Online das Crianças (COPPA) foi publicada em 22 de abril de 2025 (90 FR 16918), entrou em vigor em 23 de junho de 2025 e tem data geral de conformidade em 22 de abril de 2026. Na União Europeia, o Regulamento Geral de Proteção de Dados (RGPD) estabelece sua própria idade mínima para o consentimento de crianças a serviços online, que pode variar entre os Estados-Membros. É necessário consultar um advogado em cada mercado de destino para obter essas normas; a legislação armênia não as substitui, e a conformidade com elas não satisfaz as normas armênias mencionadas acima.

Para uma comparação mais abrangente dos dois regimes, consulte GDPR vs. regras de proteção de dados armênias . Se seus engenheiros também usam assistentes de codificação de IA em projetos de clientes, nosso guia sobre ferramentas de IA, contratos com clientes e dados aborda a perspectiva do fornecedor. Antes do lançamento, mapeie cada fluxo de dados em relação às quatro perguntas acima: quem é o processador de dados, qual é a base legal, para onde os dados vão e se o treinamento está incluído.

Perguntas frequentes

Última atualização: 20 outubro 2026