É a primeira objeção séria em qualquer conversa sobre IA na União Europeia, e com razão. Vale a pena separar o que é obrigação real do que é ruído.
As duas regras que se aplicam
O RGPD aplica-se desde que o sistema trate dados pessoais, o que na prática acontece quase sempre: nomes de clientes, emails, histórico de contactos. Nada disto muda por haver IA pelo meio. O que muda é haver mais um sítio onde os dados passam, e portanto mais um sítio a documentar.
O AI Act é o regulamento europeu específico para inteligência artificial, com aplicação faseada. Classifica os sistemas por risco e impõe obrigações proporcionais a esse risco. A maioria dos casos empresariais (assistentes internos, automação de retaguarda, apoio ao cliente) cai em risco limitado ou mínimo, onde as obrigações principais são de transparência.
O que isto exige na prática
Para a maioria dos projetos empresariais, o essencial resume-se a cinco pontos:
- Dizer que é IA. Quando um cliente fala com um assistente automático, tem de ser claro que não é uma pessoa. Não é preciso um aviso legal pesado; basta ser evidente.
- Saber onde estão os dados. Alojamento na União Europeia resolve a maior parte das perguntas difíceis sobre transferências internacionais.
- Não usar os dados para treinar modelos públicos. Isto tem de estar escrito no contrato com quem fornece o modelo, e não apenas assumido.
- Registar o que o sistema faz. Quem consultou o quê, que decisões foram automáticas e quais tiveram aprovação humana.
- Manter uma pessoa no circuito para decisões com impacto significativo sobre pessoas, como avaliação de candidatos ou decisões de crédito. Nestes casos a classificação de risco sobe e as obrigações também.
O erro comum
O erro mais frequente não é regulatório, é de processo: pôr o sistema a funcionar primeiro e tratar da conformidade depois. Sai sempre mais caro, porque implica refazer decisões de arquitetura que já estão em produção.
O caminho inverso custa pouco. Definir no desenho que informação cada agente pode ler, o que pode executar sozinho e onde fica o registo é trabalho de duas ou três sessões, não de um projeto à parte.
O que fazemos por defeito
Nos sistemas que construímos, a infraestrutura fica na União Europeia, em contas que a empresa cliente controla, os dados não alimentam modelos públicos, as permissões são definidas por perfil e cada resposta cita a fonte. As ações com impacto real só avançam sem supervisão se o cliente o autorizar explicitamente.
Não somos consultores jurídicos e não damos parecer legal. O que garantimos é que as decisões técnicas que dependem de nós não criam problemas de conformidade a quem tem de responder por eles.