Os funcionários podem colocar dados de clientes numa ferramenta de IA?

Dados de clientes em ferramentas de IA é possível, mas não assim à toa

Colocar dados de clientes numa ferramenta de IA não é proibido à partida, mas trata-se sim de um tratamento de dados pessoais sujeito às mesmas regras que qualquer outro sistema. Antes de esses dados irem nessa direção, é relevante verificar qual a base legal que o fundamenta, se envolve mais dados do que o necessário para o objetivo, e — muitas vezes o ponto mais crítico — o que o fornecedor da ferramenta de IA faz com essa entrada. Muitas ferramentas de IA genéricas usam ou não os dados de entrada para treinar ou melhorar o seu próprio modelo, e isso é um objetivo diferente daquele para o qual o cliente forneceu originalmente os seus dados.

Este último aspecto toca imediatamente na limitação da finalidade e na minimização de dados da RGPD: dados recolhidos para um contacto com cliente não são automaticamente adequados para colar numa ferramenta de IA qualquer. Se a ferramenta trata os dados em nome da organização, o fornecedor é um processador, e deve estar associado um contrato de processamento que estabeleça o que pode e o que não pode ser feito com os dados, onde se encontram, e se são utilizados para fins de treino. Não é, portanto, uma simples questão sim-ou-não sobre "IA", mas uma questão que varia consoante a ferramenta, a configuração e o tipo de dado do cliente — algumas ferramentas de IA oferecem variantes comerciais em que o treino em dados de entrada está explicitamente desativado, outras não.

De onde isto decorre: artigos 5.º e 6.º RGPD

A necessidade de uma base legal para cada tratamento decorre do artigo 6.º da RGPD, e a proibição de utilizar dados para fins que vão além daquele para o qual foram recolhidos, e não mais do que o necessário, decorre dos princípios de limitação da finalidade e minimização de dados no artigo 5.º da RGPD. O Conselho Europeu de Proteção de Dados publica diretrizes que se debruçam especificamente sobre o tratamento de dados pessoais em sistemas de IA, e essas diretrizes prestam esclarecimento adicional sobre questões como treino em dados de entrada e o papel do fornecedor enquanto processador.