Entenda como usar inteligência artificial em conformidade com a LGPD, proteger dados pessoais, reduzir riscos e adotar boas práticas para manter a segurança e a conformidade nas empresas.
No Brasil, a Lei Geral de Proteção de Dados (LGPD) vigora desde 2020. Essa norma estabelece diretrizes rigorosas para o tratamento de dados e prevê multas elevadas em caso de descumprimento. Contudo, o cumprimento dessa lei se tornou mais desafiador com o aumento do uso de ferramentas de inteligência artificial, fazendo com que empresas de diferentes portes passassem a se preocupar com a relação entre IA e LGPD.
A maior parte das plataformas de IA não apresenta uma configuração de fábrica capaz de atender aos requisitos da legislação brasileira. Um dos principais problemas desses modelos é que eles nem sempre são totalmente transparentes sobre como executam a coleta e o tratamento de dados.
Portanto, para seguir a legislação, é necessário saber como combinar o uso da inteligência artificial e a LGPD. Continue a leitura para saber mais sobre IA e proteção de dados.
Resumo do artigo
- A Lei Geral de Proteção de Dados (LGPD) determina como as informações privadas devem ser coletadas, tratadas e armazenadas;
- Para ficar em conformidade com a LGPD, as empresas que utilizam sistemas de inteligência artificial precisam saber como adequar o uso dessas plataformas às diretrizes da legislação vigente;
- As empresas brasileiras que utilizam soluções de IA hospedadas no exterior precisam analisar como ocorre a transferência internacional de dados e adotar práticas para adequar esse processo à LGPD;
- Também é importante que as organizações estabeleçam políticas rígidas de uso da inteligência artificial, treinem seus colaboradores e façam auditorias constantes a fim de averiguar a existência de algum problema relacionado ao uso do sistema.
Qual é a relação entre IA e LGPD?
A Lei Geral de Proteção de Dados regulamenta como as empresas privadas e órgãos públicos devem coletar, armazenar e usar dados pessoais. Ela deve ser aplicada tanto na coleta de informações por meio físico quanto digital.
A relação entre LGPD e inteligência artificial se explica pelo fato de os sistemas de IA coletarem e utilizarem dados privados para treinamento por meio de técnicas de machine learning e para executarem as ações solicitadas pelos usuários.
Sendo assim, os dados utilizados pelos mecanismos de IA devem respeitar as diretrizes expostas na LGPD.
Quando o uso de IA envolve dados pessoais
O uso de IA envolve dados pessoais quando o software coleta e processa essas informações. Isso ocorre, principalmente, por meio de interações diretas com os usuários, como quando você é atendido por um agente de inteligência artificial. Em alguns casos, a coleta acontece através de um rastreamento automatizado das suas atividades na web.
Cada modelo vai tratar esse conteúdo de uma forma. No caso da OpenAI, por exemplo, a política de privacidade da empresa dispõe que os dados pessoais coletados são usados para fins como melhorar o produto e a experiência do usuário e prevenir fraudes.
O que diz a LGPD sobre inteligência artificial
A LGPD não cita explicitamente o termo inteligência artificial. No entanto, como as ferramentas de IA coletam e utilizam dados pessoais, elas estão sujeitas às regras desta Lei no Brasil.
Princípios da LGPD
Os princípios que estruturam a Lei Geral de Proteção de Dados são os seguintes:
- Finalidade: o tratamento deve ocorrer para propósitos legítimos, específicos e explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
- Adequação: o tratamento deve ocorrer de acordo com as finalidades informadas ao titular;
- Necessidade: o tratamento deve se limitar à realização de suas finalidades;
- Livre acesso: os titulares podem consultar livremente, de forma facilitada e gratuita, o modo e a duração do tratamento, bem como à integridade dos dados pessoais.
- Qualidade dos dados: é a garantia dada aos titulares de exatidão, clareza, relevância e atualização dos dados de acordo com a necessidade e para o cumprimento da finalidade do tratamento;
- Transparência: é a garantia dada aos titulares de que terão acesso fácil a informações claras e precisas sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
- Segurança: trata-se da utilização de medidas técnicas e administrativas qualificadas para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação e difusão;
- Prevenção: compreende a adoção de medidas para prevenir a ocorrência de danos por causa do tratamento de dados pessoais;
- Não discriminação: sustenta que o tratamento de dados não pode ser realizado para fins discriminatórios, ilícitos ou abusivos;
- Responsabilização e prestação de contas: demonstração, pelo controlador ou operador, de todas as medidas eficazes e capazes de comprovar o cumprimento da lei e a eficácia das medidas aplicadas.
Bases legais para tratamento de dados
As bases legais para tratamento de dados pessoais são os mecanismos que autorizam a coleta e uso das informações. De acordo com o artigo 7 da LGPD, essas bases são:
- Consentimento: quando o usuário concede seus dados de maneira livre e assina ou aceita um termo de coleta e uso de dados;
- Cumprimento de obrigação legal ou regulatória: ocorre nos casos em que um órgão, público ou privado, precisa ter acesso a determinadas informações para cumprir uma norma;
- Execução de políticas públicas: possibilita que o poder público colete e trate dados para cumprir políticas previstas em lei;
- Realização de estudos por órgãos de pesquisa: base que permite a coleta de dados por instituições como o IBGE. Contudo, nesse caso, a lei determina que, sempre que possível, seja feita a anonimização dos dados pessoais;
- Execução de contratos ou de procedimentos relacionados a contrato: viabiliza a coleta de informações pessoais para a criação de diferentes tipos de contrato, como o de aluguel;
- Exercício regular de direito: possibilita que pessoas ou empresas que precisam de informações para garantir seus direitos em um processo legal ou arbitral possam coletar esses dados;
- Proteção da vida: autoriza a coleta de informações pessoais sempre que isso for necessário para proteger a vida, como em caso de acidentes;
- Tutela da saúde: deve ser usado exclusivamente em procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária que necessita de informações específicas para realizar o seu trabalho;
- Legítimo interesse: pode ser usado quando é necessário atender aos interesses legítimos do controlador ou de terceiro, exceto no caso em que prevalecem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais;
- Proteção do crédito: permite que órgãos de proteção ao crédito, como o Serasa, incluam dados de pessoas em cadastros positivos.
Direitos dos titulares
Segundo o artigo 18 da Lei Geral de Proteção de Dados, os titulares têm os seguintes direitos:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta lei;
- Portabilidade de dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;
- Eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no artigo 16 desta Lei;
- Informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
- Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
- Revogação do consentimento.
Quais riscos o uso de IA pode trazer para a privacidade
Agora que você já sabe como a Lei Geral de Proteção de Dados funciona, descubra quais riscos a IA pode trazer para a proteção de informações pessoais.
Compartilhamento de dados sensíveis
Dependendo da aplicação de inteligência artificial e das configurações estabelecidas pelo usuário, a aplicação pode reter parte ou todo o conteúdo inserido e utilizá-lo no processo de machine learning.
Além disso, na política de privacidade de alguns desses produtos, consta que a empresa pode compartilhar os dados dos usuários com terceiros, como prestadores de serviço.
Esses comportamentos colocam as informações privadas em risco. Isso porque , nesse cenário. o usuário pode não ter controle em relação a quem e como os seus dados serão utilizados e por quanto tempo eles ficarão armazenados.
Vazamento de informações
Assim como qualquer outro sistema, as aplicações de IA podem apresentar vulnerabilidades de segurança, que podem deixá-las sujeitas a ciberataques e a vazamentos de dados sensíveis.
Uso inadequado de dados pessoais
Como nem sempre o usuário tem total controle sobre como as informações inseridas serão utilizadas pela inteligência artificial, pode ser difícil cumprir o princípio de finalidade da LGPD.
Dependendo do sistema utilizado, esse problema ocorre quando o usuário não escolhe uma versão empresarial ou não faz as configurações da maneira correta.
Falta de transparência
Um dos principais problemas relacionados à IA e LGPD é que esses softwares nem sempre são transparentes em relação ao modo como as informações coletadas são tratadas. Entre os motivos para isso está o próprio funcionamento da aplicação, que utiliza redes neurais complexas para processar os conteúdos coletados.
Como usar IA em conformidade com a LGPD
A IA para empresas facilitou e otimizou os fluxos de trabalho de maneira significativa. Contudo, para adequar o uso da inteligência artificial à LGPD, é preciso tomar uma série de cuidados, como você poderá conferir a seguir.
Evite inserir dados pessoais nas IAs
Para evitar vazamentos e uso indevido de informações privadas, nunca insira na plataforma de inteligência artificial dados de identificação pessoal, como número do CPF, RG, passaporte e dados bancários.
Anonimize informações sempre que possível
Caso você precise usar documentos com dados sensíveis para treinar o modelo ou executar determinadas ações, anonimize os dados sempre que possível. Esse processo pode ser feito removendo nomes, documentos de identificação e referências explícitas a clientes.
Defina políticas internas de uso
Em uma empresa, as políticas internas de uso de inteligência artificial devem focar na proteção de dados. Para isso, é importante incluir diretrizes como:
- Proibir o uso de versões gratuitas, para evitar que as informações inseridas sejam usadas para treinar modelos;
- Solicitar o consentimento dos titulares dos dados antes de coletá-los;
- Proibir tomadas de decisões automáticas que possam afetar informações privadas;
- Estabelecer regras rígidas de acesso à aplicação.
Oriente colaboradores sobre boas práticas
Para evitar problemas legais, é imprescindível orientar os colaboradores sobre as boas práticas de uso da IA, como:
- Somente inserir dados realmente necessários;
- Revisar respostas;
- Fazer a configuração correta da plataforma antes do primeiro uso.
IA generativa e proteção de dados
Saiba agora como funciona a intersecção entre IA e LGPD, as principais soluções de inteligência artificial generativa.
ChatGPT
Existem diferenças em relação à proteção de dados entre os planos gratuitos e pagos. No primeiro caso, todos os conteúdos inseridos ficarão disponíveis na conta do usuário até serem excluídos, conforme as políticas da plataforma. Depois disso, as interações ainda ficam disponíveis nos servidores da OpenAI por 30 dias.
Durante esse período, dependendo das configurações de privacidade da conta e do tipo de plano utilizado, o conteúdo poderá ser utilizado para aprimorar o ChatGPT. Além disso, de acordo com a OpenAI, enquanto as informações estiverem disponíveis, funcionários e provedores autorizados poderão ter acesso a elas.
Nas contas pessoais, é possível desativar o salvamento do histórico e o uso das suas interações para treinamento do modelo manualmente. Entretanto, mesmo assim os dados inseridos ficarão armazenados por 30 dias na plataforma.
Já nos planos para empresas, a OpenAI garante contratualmente que os dados do usuário nunca serão usados para treinar ou melhorar suas aplicações de IA.
As versões empresariais também apresentam uma maior conformidade com as diretrizes da LGPD. Além disso, elas oferecem mecanismos de controle mais avançados sobre os colaboradores que podem acessar e inserir informações na ferramenta.
Claude
O Claude é uma das melhores opções para quem se preocupa com IA e proteção de dados. De acordo com a Anthropic, todas as versões do software realizam a criptografia dos dados.
Além disso, a empresa afirma que seus funcionários não têm acesso às interações. A única exceção é nos casos em que há suspeita de não conformidade com os termos da plataforma.
O tempo de armazenamento das conversas nos servidores é de até 30 dias, com exceção dos casos de violação dos termos de uso, em que esse tempo pode chegar a dois anos.
Em relação aos planos comerciais, a Anthropic afirma que não utiliza as informações inseridas nos chats ou APIs para treinar seus modelos, a não ser que o usuário autorize explicitamente esse uso.
Gemini
Segundo o Google, o Gemini coleta todas as informações inseridas na plataforma. Além disso, a empresa informa que os dados coletados podem passar por revisões humanas, sem que o usuário seja identificado.
Por isso, o Goolge orienta seus usuários a não fornecer dados confidenciais que eles não desejam que sejam revisados ou usados pelo Google.
Por padrão, o Gemini armazena as conversas por 18 meses, contudo, é possível alterar essa configuração para que o conteúdo seja armazenado por três meses.
Cuidados ao utilizar diferentes modelos
Antes de usar qualquer solução de IA generativa, leia atentamente as políticas de privacidade da sua versão e faça as configurações necessárias para deixar os seus dados e os dos seus clientes protegidos.
Como empresas podem utilizar IA com segurança
O uso de sistemas de inteligência artificial já é indispensável para a maioria das empresas, e deixar de adotar essas soluções pode reduzir a competitividade da sua operação. Por isso, é fundamental saber como implementar diretrizes de uso para essa tecnologia.
Governança de dados
A governança de dados determina os padrões de uso e a responsabilidade de quem coleta e processa esse conteúdo. Para impedir vazamentos e uso indevido, é necessário implementar diretrizes de governança de dados, como:
- Controlar o acesso para impedir uso não autorizado;
- Determinar que os dados pessoais sejam anonimizados antes de enviá-los para uma ferramenta de IA;
- Coletar dados seguindo os requisitos da LGPD (consentimento e finalidade);
- Coletar somente as informações necessárias;
- Determinar por quanto tempo o conteúdo será armazenado;
- Criar mecanismos para o usuário acessar, corrigir, exportar ou excluir seus dados;
- Implementar revisão humana em todos os processos que lidem com dados privados.
Controle de acessos
É fundamental estabelecer controles de acesso rígidos para garantir que somente usuários autorizados possam acessar os sistemas da empresa e os dados dos clientes.
Também é essencial limitar as permissões para que os colaboradores não tomem ações que possam prejudicar o negócio e para reforçar a segurança da aplicação caso as credenciais de acesso sejam vazadas.
Auditorias e monitoramento
Para aumentar o nível de segurança, é vital fazer auditorias regulares, a fim de verificar se há problema ou irregularidade. Além disso, é preciso monitorar a aplicação frequentemente.
Desssa forma, será possível identificar eventuais anormalidades logo que elas surgirem, e assim poder agir antes que o sistema seja afetado.
Avaliação de riscos
O uso de mecanismos de inteligência artificial envolve alguns riscos quando as empresas não determinam claramente as políticas de uso e revisão. Entre os principais estão:
- Dificuldade de rastrear as decisões: nem sempre é possível identificar quais foram os dados e a lógica utilizada pela ferramenta para entregar um determinado resultado, o que pode, em alguns casos, ocasionar problemas operacionais e jurídicos;
- Viés algorítmico: os modelos de IA refletem os padrões presentes nos dados com os quais foram treinados. Isso pode impactar negativamente em vários processos, como de seleção de colaboradores e de análise de crédito. Além disso, dependendo da forma como a aplicação se comporta, a empresa pode sofrer questionamentos legais;
- Responsabilidade pelas decisões: a empresa que utiliza sistemas de IA terá que responder legalmente por quaisquer erros que a aplicação cometer. Por isso, é fundamental definir as diretrizes para a revisão humana.
DPA e transferência internacional de dados
A LGPD impõe políticas rígidas em relação a transferências internacionais de dados. No entanto, a maior parte das soluções de IA generativa disponíveis atualmente processam e armazenam as informações dos usuários em servidores localizados fora do Brasil.
Portanto, se a solução escolhida depender da infraestrutura do fornecedor, os dados poderão ser transferidos para servidores situados no exterior.
Uma das maneiras mais práticas de adequar o uso das plataformas às diretrizes da Lei Geral de Proteção de Dados é usando o Adendo de Processamento de Dados (DPA, na sigla em inglês), um mecanismo legal que a Anthropic, a OpenAI e o Google já disponibilizam para seus clientes empresariais.
O DPA complementa o contrato de serviço principal definindo como o fornecedor da solução de IA, como a Anthropic, por exemplo, vai tratar os dados pessoais que ela recebe de um cliente corporativo.
Nesse cenário, o DPA facilita a definição das responsabilidades entre fornecedor e cliente e pode servir como um dos instrumentos para apoiar a conformidade com a LGPD.
Erros mais comuns ao utilizar IA nas empresas
Além de saber como funciona a intersecção entre IA e LGPD, é interessante conhecer os erros mais comuns ao usar as soluções de inteligência artificial nas corporações e saber como evitá-los no seu negócio:
- Compartilhar informações confidenciais: só compartilhe os conteúdos que forem realmente necessários e, sempre que possível, anonimize os dados;
- Não revisar políticas de privacidade: leia atentamente as políticas de privacidade da versão que você vai implementar para verificar se ela está em conformidade com a LGPD;
- Empregar ferramentas sem validação: teste a solução antes de implementá-la na empresa. Dessa forma, será possível averiguar como ela trata os dados recebidos e se será preciso fazer alguma adequação para atender a legislação vigente;
- Não capacitar as equipes: treine os colaboradores para que eles saibam como devem usar as soluções de IA de modo a minimizar eventuais riscos.
Boas práticas para proteger dados ao utilizar IA
Se você já usa soluções de inteligência artificial no seu negócio, ou está pensando em implementá-las, confira a seguir quais são as boas práticas de uso da IA para proteger informações privadas:
- Utilize apenas as informações necessárias: isso limita a quantidade de dados sensíveis que a solução terá acesso, reduzindo o risco e uso indevido desses conteúdos;
- Revise as respostas da IA: sempre revise as saídas para checar se há alguma inconsistência e para identificar eventuais vieses algorítmicos;
- Escolha softwares confiáveis: opte por versões que não utilizem os dados dos usuários para treinar seus modelos, que incluam o DPA no contrato e que sigam políticas rígidas de privacidade e segurança;
- Atualize processos internos regularmente: faça auditorias e monitore os processos internos com frequência para mantê-los sempre adequados às diretrizes da companhia e à legislação vigente.
A LGPD impede o uso de inteligência artificial?
A Lei Geral de Proteção de Dados não proíbe o uso de nenhuma aplicação. Sua função é estabelecer as diretrizes de como os dados privados serão coletados e processados pela organização.
O que pode
As empresas podem solicitar o consentimento de seus leads e clientes para coletar seus dados, desde que a organização explicite para que essas informações serão utilizadas e por quanto tempo elas ficarão armazenadas.
O que exige cuidados
Caso o sistema de inteligência artificial contratado mantenha seus servidores fora do Brasil, será necessário verificar se o fornecedor oferece mecanismos contratuais e técnicos adequados para viabilizar a transferência internacional de dados em conformidade com a LGPD, como o DPA quando aplicável.
Além disso, é importante implementar políticas rígidas de acesso, treinar os colaboradores e configurar a plataforma corretamente para garantir que ela não utilize o seu conteúdo para treinar os modelos de IA.
Como equilibrar inovação e conformidade
Para equilibrar inovação, especialmente no âmbito da inteligência artificial, e conformidade é essencial analisar as funcionalidades e políticas de privacidade das plataformas que serão utilizadas a fim de verificar se elas atendem aos requisitos da legislação vigente.
Caso seja necessário fazer algum ajuste, é possível entrar em contato com o fornecedor da solução para questionar sobre a possibilidade de incluir cláusulas contratuais que respaldem legalmente os procedimentos que a sua empresa pretende executar.
Além disso, é fundamental estabelecer uma governança de dados rígida, políticas de acesso rigorosas, fazer auditorias frequentes e sempre impor a etapa de revisão humana para decisões mais delicadas.
Conclusão
Entender como funciona a intersecção entre IA e LGPD é imprescindível para as empresas que desejam implementar soluções de inteligência artificial para aumentar a produtividade e manter a conformidade com a Lei Geral de Proteção de Dados.
Dessa forma, será possível aproveitar ao máximo os benefícios das soluções com IA, sem comprometer a proteção dos dados privados da própria corporação e dos seus clientes. Para mais conteúdos sobre inteligência artificial, continue no blog da HostGator e confira mais artigos sobre esse tema: