O parecer do Comité Europeu para a Proteção de Dados (CEPD) sobre o uso de dados pessoais em modelos de inteligência artificial analisa os principais desafios associados à proteção de dados ao longo do ciclo de vida desses sistemas. Entre os temas abordados destacam-se: os critérios para determinar se um modelo pode ser considerado anónimo; a possibilidade de utilizar o interesse legítimo como base legal para o tratamento de dados pessoais nas fases de desenvolvimento e implantação; e as implicações da utilização de dados tratados ilicitamente na licitude das operações futuras. O documento fornece orientações práticas para responsáveis pelo tratamento de dados e operadores de IA, sublinhando a importância de alinhar os sistemas de governance de dados e inteligência artificial com os requisitos do Regulamento de Proteção de Dados e do AI Act, numa abordagem baseada no risco.
A propósito do parecer do CEPD sobre o uso de dados pessoais em modelos de inteligência artificial.
O desenvolvimento e o uso de inteligência artificial (IA) é indissociável dos dados: sejam dados de treino ou dados a que o modelo pode aceder ou monitorizar, ou outros. Quando os dados são pessoais, o seu uso para o desenvolvimento, uso e implantação de tecnologias de IA, suscita desafios incontornáveis, à luz da proteção de dados pessoais.
No passado dia 17 de dezembro o Comité Europeu para a Proteção de Dados (CEPD) adotou o Parecer 28/2024 sobre o uso de dados pessoais para o desenvolvimento e implantação de modelos de Inteligência Artificial.
O parecer resulta de um conjunto de questões apresentadas pela Autoridade de Proteção de Dados irlandesa (Data Protection Commission), e incide sobre alguns dos desafios que o uso de dados no ciclo de vida dos modelos de IA coloca ao direito da proteção de dados pessoais e que se traduzem nas seguintes questões: (i) em que casos e condições é que se pode considerar que os modelos de IA assumem caráter anónimo, (ii) se, e em que medida, pode o interesse legítimo constituir base de licitude do tratamento dos dados quer na fases de desenvolvimento quer na fase de implantação dos modelos de IA; e (iii) quais as implicações que o tratamento ilícito de dados pessoais no desenvolvimento destes modelos pode ter na sua subsequente implantação.
1. Anonimato dos Modelos de IA
Os modelos de IA treinados com recurso a dados pessoais nem sempre devem ser considerados anónimos. A conclusão depende de uma análise casuística.
Nessa análise é essencial apurar (i) qual a probabilidade de extração direta dos dados pessoais usados para treinar o modelo e (ii) a probabilidade de obtenção (intencional ou não) desses dados a partir de consultas.
À luz da opinião do CEPD os modelos de IA apenas têm natureza anónima quando do resultado da análise resultar que essas probabilidades são insignificantes.
Para facilitar essa análise, o CEPD disponibilizou uma lista exemplificativa de aspetos a considerar e de documentação a analisar.
2. Suscetibilidade do interesse legítimo constituir base de licitude para o tratamento de dados pessoais no desenvolvimento e implantação de modelos de IA
Para aferir se a base de licitude do tratamento de dados pessoais no desenvolvimento e implantação de modelos de IA pode assentar no interesse legítimo do responsável pelo tratamento ou de terceiros, o CEPD remete para a necessidade de realizar o teste de ponderação melhor conhecido pela designação LIA (Legitimate Interest Assessment) que inclui três etapas: (i) a identificação do interesse (purpose test), a (ii) análise da necessidade do tratamento para a prossecução desse interesse (necessity test) e (iii) um balanceamento entre interesses (balancing test), i.e., a averiguação sobre se os interesses legítimos que determinam o tratamento prevalecem sobre os interesses ou direitos e liberdades fundamentais dos titulares de dados. Veja-se a propósito, na documentação recente, as Orientação do CEPD 1/2024, ainda em versão não final, cuja consulta pública foi concluída em novembro (Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR | European Data Protection Board).
O CEDP oferece algumas orientações a ter em conta nos exercícios de LIA no contexto dos modelos de IA. Em concreto:
- Oferece exemplos de interesses que podem constituir interesses legítimos no contexto de modelos de IA (por exemplo, melhorar a deteção de ameaças num sistema de informação).
- Especifica impactos positivos e negativos de modelos de IA nos direitos fundamentais, lembrando que os tratamentos dos dados na fase de desenvolvimento e na fase de implantação do modelo podem impactar os titulares de dados de forma diferente.
- Desenvolve critérios para a análise do balanceamento entre interesses neste contexto, sobretudo na aferição se os titulares dos dados podem razoavelmente esperar que os seus dados pessoais sejam objeto de tratamento (por exemplo, o facto de os dados pessoais serem públicos, as potenciais novas utilizações do modelo de IA, e o conhecimento efetivo, pelos titulares dos dados, sobre a disponibilidade dos seus dados pessoais online).
O CEPD lembra ainda – a propósito da possibilidade de os responsáveis pelo tratamento dos dados adotarem medidas para mitigar os impactos negativos nos interesses, direitos e liberdades dos titulares – que as eventuais medidas de mitigação devem ser adaptadas às circunstâncias do caso e às caraterísticas do sistema de IA, incluindo o seu use case (utilização prevista).
O parecer contém também uma exemplificativa de medidas de mitigação, tanto para a fase de desenvolvimento (incluindo recolha de dados na web), como para a fase de implantação.
Embora dirigido essencialmente às autoridades de controlo, o interesse direto que este parecer representa para os responsáveis pelo tratamento de dados no contexto do desenvolvimento ou de implantação de sistemas de IA, é evidente e necessita de ser integrado nos processos e práticas aditadas por cada operador no âmbito do seu sistema de governance de dados e também de governance de IA.
3. Implicações do tratamento ilícito de dados pessoais n desenvolvimento de um modelo de IA na subsequente implantação do modelo
Na análise desta questão, o CEPD analisa três cenários distintos.
As diferenças entre cenários residem no facto de os dados pessoais tratados para desenvolver o modelo serem conservados no modelo e/ou de o tratamento em sede de implantação do sistema de IA ser efetuado pelo mesmo ou por outro responsável pelo tratamento.
No cenário 1, os dados pessoais são conservados no modelo de IA – o modelo não tem caráter anónimo – e são posteriormente tratados pelo mesmo responsável pelo tratamento, por exemplo, no contexto da implantação do modelo.
No cenário 2, os dados pessoais são conservados no modelo e são tratados por outro responsável pelo tratamento no contexto da implantação do modelo.
No cenário 3, um responsável pelo tratamento trata ilicitamente dados pessoais para desenvolver o modelo de IA, assegurando depois a sua anonimização, antes de o mesmo ou outro responsável pelo tratamento iniciar outro tratamento de dados pessoais no contexto da implantação.
Em termos gerais o CEPD conclui que a circunstância de um modelo de IA ter sido ser desenvolvido com dados pessoais tratados ilicitamente pode ter impacto na licitude do tratamento dos dados na fase da implantação.
Se o modelo for devidamente anonimizado, a licitude do tratamento efetuado na fase de implantação não deverá ser afetada.
Se os dados pessoais ficarem conservados no modelo de IA, sendo tratados pelo mesmo responsável pelo tratamento – primeiro enquanto prestador do sistema de IA, em sede de desenvolvimento do modelo e, depois, enquanto responsável pela implementação do sistema – será necessário apurar, casuisticamente, se são distintas as finalidades do tratamento – e, portanto, as atividades de tratamento – no desenvolvimento e na implantação são distintas, para então apurar se e em que medida a falta de base licitude da primeira afeta a licitude do tratamento subsequente.
Se a implantação do modelo for realizada por um responsável pelo tratamento diferente, este, o responsável pela implantação do sistema de IA, deve tomar medidas – efetuar uma avaliação adequada – para se certificar de que o modelo de IA não foi desenvolvido com base em dados tratados ilicitamente.
Também neste ponto, resulta para os operadores de sistemas de IA que figurem como responsáveis pela implantação – i.e., e à luz do Regulamento de Inteligência Artificial (AI Act), os operadores que usem um sistema de IA sob a sua autoridade (salvo se usado no âmbito de uma atividade pessoal de caráter não profissional).
O documento constitui um ponto de partida para refletir e enformar o desenho das medidas internas de governance de IA que se impõem às organizações e a sua articulação com o governance de dados de que disponham.
O AI Act foi concebido para supervisionar o modo como se desenvolvem, usam e implantam as tecnologias de IA, designadamente no negócio e nas atividades económicas e empresariais, de modo transversal a todos os setores e acompanhando o ciclo de vida dos sistemas de IA.
A abordagem do AI Act está baseada no risco – “risk based” approach – estando as regras concebidas para gerir os riscos associados aos “casos de uso” com recurso a IA. Quanto mais elevado é o risco apresentado, mais rigorosas são as regras aplicáveis.
Um dos elementos críticos para a avaliação do nível de risco prende-se com a vertente dos dados usados, em particular, quando sejam dados pessoais este Parecer oferece algumas orientações para a aplicação das regras em matéria de proteção de dados pessoais ao domínio complexo da IA, contribuindo assim para a eficácia e uniformidade da regulação nível da União Europeia.
