LGPD e AI Act: noções para o uso responsável de IA

A Horizonte Serviços, empresa fictícia sediada no Brasil e com uma unidade em Portugal, usa um chatbot de atendimento adquirido de um fornecedor externo. Quando Cliente A conversa com o chatbot, pode fornecer dados pessoais.

A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, é o marco brasileiro voltado ao tratamento de dados pessoais. Ela orienta perguntas como: quais dados são usados, para qual finalidade e como os direitos do titular são tratados. Isso vale com ou sem IA.

Já o Regulamento de Inteligência Artificial da União Europeia (AI Act), Regulamento (UE) 2024/1689, regula sistemas de IA com uma abordagem baseada em riscos. Suas disposições não dependem apenas de haver dados pessoais no sistema.

Para não confundir as normas, transforme a situação em perguntas. A LGPD olha para o tratamento de dados pessoais; o AI Act olha para regras que podem atingir o sistema de IA e seu uso.

No caso, uma pergunta não elimina a outra. O fato de o chatbot tratar dados não prova, por si só, quais regras do AI Act se aplicam. E analisar o sistema de IA não substitui os cuidados com os dados pessoais.

Na Lei Geral de Proteção de Dados Pessoais (LGPD), três princípios ajudam a avaliar uma coleta feita por IA ou por qualquer outro meio:

• Finalidade: o propósito do tratamento deve ser legítimo, específico, explícito e informado ao titular.
• Adequação: o que é feito com os dados precisa ser compatível com esse propósito e com o contexto apresentado.
• Necessidade: devem ser usados apenas dados pertinentes, proporcionais e não excessivos para alcançar o propósito.

Essas perguntas não dão, sozinhas, uma conclusão jurídica. Elas ajudam a reconhecer pontos que precisam ser investigados antes de adotar ou ampliar um uso.

No chatbot de atendimento da Horizonte Serviços, o ponto de partida é o que foi informado à pessoa. Se o chatbot serve para localizar um protocolo e responder a uma solicitação, pedir o número do protocolo e um meio de contato pode ter relação com esse atendimento.

A relação não é automática: o contexto importa. Um dado adicional só deve ser pedido quando houver motivo concreto para ele ser pertinente e proporcional ao atendimento. “Pode ser útil no futuro” não demonstra necessidade.

A finalidade também limita a reutilização. Conversas e dados coletados para resolver o atendimento não passam automaticamente a servir para criar perfis de publicidade, treinar outro produto ou avaliar pessoas em outro contexto.

Se a Horizonte Serviços quiser usar informações do chatbot para uma finalidade nova, isso é motivo para reavaliar o tratamento: qual é o novo propósito, ele foi informado de modo claro, é compatível com o contexto original e quais dados são realmente necessários?

Reavaliar não é uma autorização automática para reutilizar os dados. A escolha de uma base legal será tratada adiante.

Uma base legal é uma hipótese prevista na Lei Geral de Proteção de Dados Pessoais (LGPD) que pode sustentar um tratamento de dados pessoais. Ela não é um rótulo escolhido por conveniência: depende dos fatos, da finalidade e dos requisitos da hipótese aplicável.

Mesmo havendo uma base legal, continuam valendo os princípios já vistos: finalidade, adequação e necessidade. Em outras palavras, uma base legal não transforma uma coleta excessiva ou um uso incompatível em algo automaticamente adequado.

O consentimento pode ser uma base legal, mas exige uma manifestação livre, informada, inequívoca e relacionada a uma finalidade determinada. Além disso, pode ser revogado.

Por isso, uma caixa de seleção para “qualquer uso presente ou futuro” não esclarece, por si só, quais dados serão usados, para quê, por quem ou em qual contexto. Aceitar termos genéricos não autoriza automaticamente novos usos incompatíveis com a finalidade informada.

Na triagem de currículos, a Horizonte Serviços pede que Candidata A aceite “todos os usos atuais e futuros dos meus dados”. O currículo pode conter informação sobre condição de saúde para pedido de adaptação. A empresa quer enviar o currículo ao fornecedor externo e usar os resultados na seleção.

Qual é a conclusão preliminar mais responsável?

A Lei Geral de Proteção de Dados Pessoais (LGPD) dá ao titular meios para saber e influenciar como seus dados são tratados. Transparência, nesse contexto, envolve comunicar de modo claro a finalidade e a forma do tratamento, os compartilhamentos realizados e como exercer direitos.

Entre os direitos previstos estão: confirmar se há tratamento; acessar os dados; corrigir dados incompletos, inexatos ou desatualizados; e obter informação sobre entidades com as quais houve compartilhamento. O pedido e a resposta devem ser analisados no contexto concreto.

O art. 20 da Lei nº 13.709/2018 prevê que o titular pode solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Isso pode ser relevante quando uma triagem de currículos influencia a candidatura de alguém.

No caso da Candidata A, se a decisão que a afetou foi exclusivamente automatizada, ela pode solicitar revisão. Também devem ser fornecidas informações claras e adequadas sobre os critérios e procedimentos usados na decisão automatizada, observados os limites legais.

Essa previsão não equivale a uma garantia geral de que toda revisão será obrigatoriamente realizada por uma pessoa natural. É preciso apurar como a decisão ocorreu e quais regras se aplicam.

O AI Act adota uma abordagem baseada em riscos. Em vez de perguntar apenas “há IA?”, investigue a finalidade prevista do sistema, o contexto de uso e os impactos possíveis sobre as pessoas.

Essa triagem não produz uma conclusão jurídica. Ela ajuda a reconhecer quando um uso merece investigar se pode ser uma das práticas proibidas, se pode envolver sistemas de alto risco ou se há outras obrigações aplicáveis.

A triagem de currículos por IA é diferente: sistemas destinados à seleção de candidatos podem envolver sistemas de alto risco, conforme critérios e exceções aplicáveis. “Alto risco” não significa proibição automática.

Quando esse alerta existir, podem ser relevantes medidas como gestão de riscos, documentação e supervisão humana. A supervisão humana é uma medida possível, mas não transforma sozinha uma prática proibida em permitida.

No chatbot de atendimento da Horizonte Serviços, um aviso como “Você está interagindo com IA” ajuda a pessoa a entender a natureza da interação. Nas situações previstas pelo AI Act, essa informação deve ser fornecida, exceto quando a interação com uma IA for evidente pelas circunstâncias e pelo contexto de uso.

Essa é uma camada de transparência sobre o sistema. Ela pode coexistir com exigências da LGPD e com outras exigências do AI Act; não é uma etapa que substitui as demais.

Também não há uma regra única de rotulagem para todo conteúdo gerado por IA. O AI Act prevê disposições específicas de transparência para determinados conteúdos sintéticos. Portanto, é preciso verificar o tipo de conteúdo, o contexto e a regra aplicável, em vez de concluir que todo conteúdo gerado recebe automaticamente o mesmo aviso.

A sede da empresa e o idioma da ferramenta não decidem, sozinhos, quais regras precisam ser investigadas. Para começar, registre onde os dados são coletados ou tratados, onde estão as pessoas afetadas, onde o resultado do sistema é usado, qual é a finalidade e quem toma ou executa decisões.

A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, traz critérios ligados, entre outros pontos, ao tratamento realizado no Brasil, à coleta no Brasil e à oferta de bens ou serviços ou ao tratamento de dados de pessoas localizadas no país, observadas as exceções legais.

O Regulamento de Inteligência Artificial da União Europeia (AI Act), Regulamento (UE) 2024/1689, pode alcançar certos agentes fora da União Europeia quando os resultados de um sistema são utilizados na União, conforme seus requisitos. Isso é uma questão para investigar, não uma conclusão automática.

Os papéis também respondem a perguntas diferentes. Na LGPD, o controlador toma as decisões referentes ao tratamento; o operador trata dados pessoais em nome do controlador. No AI Act, o fornecedor é o agente que desenvolve ou oferece o sistema nos termos da norma, enquanto o responsável pela implantação usa o sistema sob sua autoridade.

Não transforme esses nomes em pares equivalentes. Um fornecedor não é automaticamente um operador, e um responsável pela implantação não é automaticamente um controlador. É preciso examinar as ações reais, as instruções, a finalidade e o contexto de cada organização.

Uma consulta confiável começa na fonte que publica ou explica oficialmente a regra. Para a LGPD, consulte o texto da Lei nº 13.709/2018 no Planalto e use a ANPD para regulamentações e orientações brasileiras.

Para o AI Act, consulte o Regulamento (UE) 2024/1689 no EUR-Lex. A Comissão Europeia e seu Escritório de IA ajudam a acompanhar orientações e informações de implementação.

A fonte deve corresponder à pergunta: o texto legal sustenta o que a norma diz; uma orientação oficial pode apoiar a interpretação ou a implementação. Nenhuma dessas fontes, isoladamente, substitui a análise do contexto concreto.

Não confunda norma adotada ou publicada, entrada em vigor e aplicação de uma obrigação específica. Uma norma pode estar publicada e em vigor, enquanto determinadas disposições têm aplicação em outra data.

O AI Act entrou em vigor em 01/08/2024. Isso não significa que todas as suas obrigações passaram a ser aplicáveis nesse mesmo dia: a aplicação é escalonada. Para investigar uma questão, identifique a obrigação, o tipo de sistema e o papel envolvido; depois, confira o art. 113 na versão oficial e eventuais alterações normativas aplicáveis.

Uma notícia, apresentação ou postagem pode ajudar a localizar o assunto, mas não comprova sozinha a situação atual de uma obrigação.

Registre a evidência, não só a conclusão

Um registro curto permite que outra pessoa refaça sua verificação e saiba o alcance da conclusão. Anote a data mostrada no documento, a data em que você o consultou e o trecho oficial que sustenta sua anotação.

O exemplo abaixo reproduz um excerto em inglês da versão publicada do Regulamento (UE) 2024/1689 no Jornal Oficial da União Europeia em 12/07/2024. Ele ilustra uma data específica do art. 113, mas não responde sozinho se determinada obrigação alcança a Horizonte Serviços. Ainda é preciso identificar o uso, o papel envolvido e a disposição aplicável.

Uma análise preliminar organiza perguntas; ela não autoriza o uso nem garante conformidade. Antes de adotar um sistema, separe:

1. Fatos conhecidos: o que ocorre, onde, com quais dados e participantes.
2. Questões de proteção de dados: finalidade, necessidade, base legal, direitos e compartilhamentos.
3. Questões sobre o sistema de IA: finalidade prevista, possível risco e transparência.
4. Informações e ações necessárias: o que confirmar, qual fonte oficial consultar e quem deve avaliar a dúvida.

Não transforme uma lacuna em suposição. Registre “não informado” e indique como investigar.

Use um quadro curto para distinguir o que se sabe do que ainda precisa ser confirmado. Preencher um campo com uma pergunta não equivale a decidir que houve irregularidade.

Compare sua resposta com esta lista. Você não precisava usar as mesmas palavras, mas precisava registrar perguntas verificáveis e evitar uma conclusão definitiva.