Além do RGPD, existe uma segunda lei europeia que se aplica gradualmente: o Regulamento de IA, também conhecido como Lei de IA. Essa lei não regulamenta a privacidade em si, mas o uso de inteligência artificial e, portanto, afeta precisamente as ferramentas que muitas PME usam diariamente: um chatbot para atendimento ao cliente, um scanner de CV no recrutamento ou software que analisa imagens de câmeras. Para empresas que usam essas ferramentas, surgem obrigações novas e progressivas este ano e nos anos seguintes, além do que o RGPD já exige.
Se isso é relevante para sua empresa depende do que a aplicação de IA faz exatamente e com que dados. Se você usa IA apenas para redigir textos ou planejar agendas, provavelmente pouco mudará para você. Se usa IA para apoiar decisões sobre pessoas — selecionar candidatos, avaliar funcionários, classificar clientes em categorias de risco — é mais provável que as novas regras o afetem, e que elas, juntamente com o RGPD, examinem o mesmo tratamento de dados pessoais.
O que muda este ano
O Regulamento de IA não entrou em vigor de uma só vez. A lei tem datas diferentes para quando diferentes partes dela se aplicam, espalhadas ao longo de vários anos. Por exemplo, existem regras mais rigorosas para sistemas de IA considerados de risco, e obrigações separadas para fornecedores de modelos de IA de uso geral. A data exata para cada parte está no próprio regulamento; como se trata de uma implementação faseada, recomendamos consultar o texto oficial para as datas precisas aplicáveis à sua situação, em vez de confiar em um resumo.
O que é certo é a direção: quanto mais uma aplicação de IA influencia pessoas — no recrutamento, avaliação, acesso a serviços — mais rigorosos os requisitos. Isso está alinhado com como o RGPD há mais tempo examina a tomada de decisões automatizada, mas o Regulamento de IA adiciona suas próprias obrigações, como requisitos de documentação, transparência para o titular dos dados e, em certos casos, uma avaliação obrigatória antes do sistema ser colocado em uso.
Para quem isso traz mudanças
O regulamento distingue papéis: quem desenvolve ou coloca um sistema de IA no mercado tem obrigações diferentes de quem o usa apenas como empresa. A maioria das PME está na segunda categoria, como usuária de uma ferramenta desenvolvida por um fornecedor de software. Mesmo assim, existem obrigações, embora geralmente menos rigorosas do que para quem constrói o sistema. Pense em informar funcionários ou clientes de que IA está sendo usada e em avaliar se o uso está dentro dos limites da lei.
Departamentos de RH que usam IA no recrutamento ou avaliação, e empresas que deixam software analisar imagens de câmeras, seria bom inventariar agora quais ferramentas são exatamente e o que fazem com os dados. É o mesmo inventário que o RGPD já exige para o registro de atividades de tratamento, e essas duas linhas — RGPD e Regulamento de IA — geralmente andam juntas na prática.
O que isso significa além do RGPD
O Regulamento de IA não substitui o RGPD nem o torna desnecessário. Se uma ferramenta de IA trata dados pessoais, o RGPD continua aplicável a esse tratamento, incluindo a exigência de uma base jurídica, o dever de informar o titular dos dados e, onde relevante, um contrato de tratamento de dados com o fornecedor da ferramenta. O Regulamento de IA vem, em certos casos, além disso, com obrigações próprias que se concentram especificamente no sistema de IA, independentemente de dados pessoais estarem envolvidos.
Se algo der errado com dados pessoais ao usar uma ferramenta de IA — um chatbot que acidentalmente compartilha dados do cliente com a pessoa errada, ou um sistema que armazena dados sem segurança — a obrigação de notificação do RGPD permanece intacta. Se duvidar se um incidente com uma ferramenta de IA se enquadra nessa obrigação de notificação, pode mostrar em algumas perguntas se se trata de uma violação de dados notificável.
O que já pode fazer agora
Sem esperar por cada data, já pode mapear agora quais ferramentas de IA estão a ser utilizadas no seu negócio, para quê, e se estão envolvidas no tratamento de dados pessoais. Esse mapeamento também é a base do registo de atividades de tratamento que a RGPD já exige, e pode cumprir esses dois objetivos — registo da RGPD e panorama de IA — de uma só vez. Gdpria.eu mantém no banco de conhecimento por tema o que está a acontecer em torno de IA e privacidade, com a referência ao texto oficial, para que possa verificar o que se aplica à sua situação.
Se tem dúvidas sobre como o uso de IA se relaciona com as suas obrigações RGPD existentes, encontrará várias respostas em perguntas frequentes. Para a questão de como obtemos as nossas informações e por que razão elas permanecem deliberadamente junto à fonte, pode ler isso na página onde vêm as informações.
Se e como estas regras se aplicam precisamente ao seu negócio é algo que é melhor avaliar através de um jurista ou, em caso de dúvida sobre a questão da RGPD, pode questionar a Autoridade Nacional de Proteção de Dados. Se quiser primeiro ter uma ideia de onde está, pode fazer gratuitamente a verificação rápida gratuita ou percorrer os tópicos no banco de conhecimento.