O RGPD quando uma tarefa é assumida pela IA

Por que a automação é uma questão de dados

Quando uma tarefa passa de uma pessoa para um sistema, muitas vezes não muda apenas quem faz o trabalho, mas também a forma como os dados pessoais são tratados. Um colaborador que avalia um pedido de um cliente lê os dados, pesa-os e decide. Um sistema que assume a mesma tarefa trata esses dados de outra forma: de modo estruturado, repetível, por vezes com armazenamento ou transmissão que antes não existia. O RGPD analisa o tratamento, não a questão de saber se uma tarefa parece 'automatizada'. Isso torna a automatização, no essencial, um acontecimento de direito à privacidade, mesmo que o resultado para o cliente pareça igual.

Isto acontece em todos os níveis de automação, desde um simples script até um sistema de IA que tira conclusões de forma autónoma. Ao avaliar se uma tarefa é adequada para a IA, importa também considerar quais os dados envolvidos e se o respetivo tratamento ainda se enquadra na finalidade para a qual os dados foram originalmente recolhidos. Por essa razão, como avaliamos uma tarefa dedica atenção à natureza do tratamento de dados, além da questão de saber se a tarefa é, em termos de conteúdo, adequada para ser transferida para um sistema.

O que muda exatamente

Habitualmente, três elementos alteram-se quando uma tarefa é automatizada:

A forma de tratamento. Um sistema pode combinar dados, fazer perfilagem ou conservá-los por mais tempo do que uma pessoa faria na prática. O que antes era uma consulta a um único dossier pode tornar-se uma ligação automatizada entre várias fontes.
O grau de intervenção humana. O sistema decide de forma autónoma, ou continua a existir uma pessoa que aprova ou rejeita com fundamento? Essa distinção não é apenas relevante para a qualidade da decisão, mas também para saber se se trata de uma decisão automatizada na aceção do RGPD, com os requisitos adicionais que lhe estão associados.
As finalidades. Dados recolhidos para uma determinada tarefa são, por vezes, reutilizados para treinar um sistema ou para o fazer funcionar noutra tarefa. Isso constitui uma nova finalidade, e uma nova finalidade exige uma avaliação própria.

Nenhuma destas alterações constitui, por definição, um problema. Constituem, no entanto, um momento para reanalisar o tratamento, em vez de assumir que um fundamento jurídico existente se transfere automaticamente para a nova forma de trabalhar.

Quando é necessário um novo fundamento jurídico

Todo o tratamento de dados pessoais necessita de um fundamento jurídico, por exemplo o consentimento, um contrato, uma obrigação legal ou um interesse legítimo. Esse fundamento está associado a um tratamento tal como foi concebido e avaliado na altura. Se o tratamento se alterar substancialmente, o fundamento original pode deixar de ser suficiente.

Isso ocorre com mais frequência do que se possa pensar. Um interesse legítimo ponderado para um tratamento manual não se mantém automaticamente válido se o volume, a velocidade ou o alcance do tratamento aumentarem consideravelmente devido à automação. Um consentimento solicitado para uma finalidade específica não cobre uma segunda finalidade que surja com uma aplicação de IA. E, no caso de decisões automatizadas com efeitos jurídicos para os titulares dos dados, aplicam-se requisitos adicionais, independentemente do fundamento jurídico que, de resto, seja aplicável.

O facto de uma tarefa se enquadrar na categoria um, dois ou três — a IA pode assumi-la, a IA pode fazê-la parcialmente sob supervisão, ou continua a ser trabalho humano — não diz, portanto, nada sobre se o tratamento de dados subjacente está devidamente coberto. São dois testes distintos, mas relacionados entre si: uma tarefa que permanece na categoria dois ou três devido a riscos de dados fá-lo, muitas vezes, precisamente porque o fundamento jurídico ou o impacto sobre os titulares dos dados ainda não foi apurado.

Onde encontrar esta informação

O próprio RGPD, os esclarecimentos da Autoridade de Proteção de Dados e as diretrizes das autoridades europeias de supervisão da privacidade são os locais onde constam os requisitos atuais, incluindo eventuais regras específicas para aplicações de IA que possam ser alteradas após a publicação desta página. Aqui, deliberadamente, não mencionamos números de artigos ou prazos: estes podem mudar e pertencem ao texto de origem, não a um resumo que pode já não estar atualizado no momento em que o lê.

Esta página descreve o mecanismo, não constitui aconselhamento personalizado. Saber se uma automação específica exige um novo fundamento jurídico, justifica uma AIPD ou está relacionada com decisões automatizadas é uma questão jurídica que deve ser respondida caso a caso, geralmente com o apoio de um jurista ou de um encarregado da proteção de dados.

Onde isto se cruza com outros processos

Quando a automação afeta uma tarefa desempenhada por várias pessoas, a questão da privacidade normalmente não é a única. A participação dos trabalhadores também pode entrar em jogo: quando o conselho de trabalhadores tem competência explica em que casos é necessário o consentimento ou o parecer quando os processos de trabalho são alterados. Ambos os processos — a avaliação de privacidade e a participação dos trabalhadores — decorrem em paralelo e não se substituem um ao outro.

O que pode fazer agora

Esta página descreve o que muda no tratamento previsto pelo RGPD com a automação; não responde se as suas próprias tarefas estão juridicamente cobertas ou são adequadas para transferência para a IA. Para uma primeira indicação, sem compromisso, sobre que parte das horas no seu perfil pode ser assumida hoje pela IA, pode preencher o quickscan gratuito da ftetoai: doze perguntas, sem necessidade de conta. O scan incide sobre o conteúdo da tarefa, não sobre o tratamento de dados que a rodeia — essa avaliação continua a ser necessária em separado. O werkscan completo, que analisa mais profundamente os processos individuais, ainda está em desenvolvimento.