O erro mais comum ao usar ferramentas de IA no local de trabalho é que os funcionários inserem dados pessoais em uma ferramenta como ChatGPT, Copilot ou um chatbot similar, sem que a empresa saiba que isso está acontecendo. Um CV, um dossier de cliente ou uma troca de e-mails é rapidamente resumida ou reescrita, enquanto ninguém verificou onde esses dados acabam, quem pode vê-los e se existe um contrato de processamento de dados com o fornecedor dessa ferramenta.
Isso não é um detalhe insignificante. Assim que uma ferramenta processa dados pessoais, aplicam-se os mesmos princípios que a qualquer outra aplicação SaaS: deve haver uma base legal, o processamento deve constar no registro de atividades de processamento, e se o fornecedor atuar como processador de dados, deve haver um contrato de processamento de dados. Em muitas ferramentas de IA gratuitas isso não ocorre, ou os termos indicam que as entradas podem ser usadas para treinar o modelo. Isso varia muito dependendo do fornecedor e da forma de assinatura, e é exatamente por isso que é necessário um controle prévio.
Como isso dá errado na prática
Na maioria dos casos, o problema não surge da negligência, mas da falta de conhecimento. Um funcionário de RH cola uma carta de candidatura em um chatbot para melhorar um texto de vaga. Um gerente de projeto faz um resumo de um e-mail de cliente. Nenhum deles pensa no GDPR, porque parece uma ferramenta de apoio e não um processamento de dados pessoais. A própria empresa muitas vezes não tem visão geral de quais ferramentas de IA são usadas diariamente, e muito menos se essas ferramentas constam no registro de atividades de processamento ou em alguma lista de software aprovado.
Um segundo erro recorrente é que as empresas que têm uma política de IA não alinham essa política com seu registro de atividades de processamento e contratos de processamento de dados existentes. A ferramenta de IA é então tratada separadamente do resto da administração do GDPR, enquanto na verdade se trata da mesma questão que também se aplica a qualquer outra ferramenta SaaS: quem processa quais dados, com qual finalidade e com base em quê. a base de conhecimento com explicações por tópico também aborda essa questão para outros softwares amplamente utilizados e mostra que as ferramentas de IA não são exceções na prática à sistemática que já se aplica a outros fornecedores.
Por que pode envolver dados pessoais, mesmo que essa não seja a intenção
O GDPR utiliza um conceito amplo de dados pessoais: qualquer informação que seja rastreável até uma pessoa natural identificável. Um nome, um número de cliente, uma foto, uma nota telefônica ou uma combinação de dados que em conjunto identificam alguém, se enquadram nisso. Ao usar ferramentas de IA, não se trata apenas de dados pessoais explícitos como um CV, mas também de fragmentos escondidos em um documento maior, como um nome em um anexo que é copiado junto.
A Autoridade de Proteção de Dados e o EDPB publicam diretrizes sobre o tratamento de IA e dados pessoais, e estas evoluem; o que hoje é considerado uma interpretação comum pode ser esclarecido em alguns aspectos. Essa é uma das razões pelas quais um procedimento fixo na empresa oferece mais orientação do que acordos soltos por funcionário.
Como evitar este erro
O núcleo da solução é simples de formular, embora a implementação leve tempo: mapeie quais ferramentas de IA são usadas na empresa e determine por ferramenta se dados pessoais são inseridos. Se for esse o caso, a ferramenta deve constar no registro de atividades de processamento e, assim como com outros fornecedores de SaaS, deve ser verificado se o fornecedor atua como processador de dados e se um contrato de processamento de dados está disponível. como os dados são protegidos nos processadores de dados oferece uma visão geral dos pontos relevantes nesse contexto.
Além disso, uma instrução breve e concreta aos colaboradores é mais útil do que um documento de política extenso que ninguém lê: quais ferramentas são permitidas, que dados podem ou não estar nelas, e a quem o colaborador deve comunicar se tiver dúvidas. Este último passo é talvez o mais importante, pois a maioria dos erros não surge pela falta de vontade, mas pela ausência de um ponto de contacto claro.
Se já aconteceu
Se uma grande quantidade de dados pessoais foi inadvertidamente introduzida numa ferramenta de IA sem que exista um acordo de processamento de dados para o efeito, é sensato avaliar se isto se qualifica como um acontecimento que exige uma resposta, por exemplo no âmbito da obrigação de notificação em caso de violação de dados. obter uma primeira indicação em algumas perguntas pode fornecer um primeiro ponto de apoio neste contexto, independentemente da questão de saber se a notificação é necessária num caso concreto; essa avaliação é responsabilidade do próprio responsável pelo tratamento ou de um jurista.
Pretende enumerar, para a sua própria empresa, quais ferramentas, incluindo aplicações de IA, necessitam de atenção? Faça a verificação rápida gratuita ou leia os tópicos em perguntas frequentes sobre RGPD e software para ver o que a sua situação exige.