AIPD para sistemas de IA — RGPD Artigo 35 + regulamento IA
Quando os sistemas de IA exigem uma AIPD nos termos do Artigo 35 do RGPD, como isso se sobrepõe à FRIA do Artigo 27 do regulamento IA, e como evitar duplicação.
Uma avaliação de impacto sobre a proteção de dados (DPIA) é exigida ao abrigo do artigo 35 do RGPD quando um sistema de IA envolve o tratamento sistemático em grande escala de dados pessoais, utiliza definição de perfis automatizada com efeitos significativos sobre as pessoas ou trata dados de categorias especiais. Os sistemas de IA podem acionar várias obrigações de DPIA em simultâneo. As DPIA devem ser concluídas antes do início do tratamento, são revistas pelo encarregado da proteção de dados e devem ser atualizadas quando o sistema muda de forma substancial. A não realização de uma DPIA exigida acarreta multas do RGPD de até 10 milhões de EUR ou 2% do volume de negócios global.
Quando é que um sistema de IA exige uma DPIA?
O artigo 35(3) do RGPD especifica três gatilhos automáticos. A maioria das autoridades de controlo publicou também listas de tipos de tratamento que exigem sempre uma DPIA na sua jurisdição.
Definição de perfis sistemática em grande escala ou decisões automatizadas
Sistemas de IA que definem perfis de pessoas em grande escala ou tomam decisões automatizadas com efeitos jurídicos significativos ou similarmente significativos (art. 35(3)(a)). Inclui IA de pontuação de crédito, deteção de fraude, triagem de candidatos e algoritmos de precificação de seguros.
Tratamento em grande escala de dados de categorias especiais
Sistemas de IA que tratam em grande escala dados de saúde, dados biométricos para identificação única, origem racial ou étnica, opiniões políticas, convicções religiosas, dados genéticos ou filiação sindical (art. 35(3)(b) + art. 9).
Monitorização sistemática de zonas acessíveis ao público
Sistemas de IA que monitorizam sistematicamente pessoas em espaços públicos em grande escala através de vídeo, áudio ou outras tecnologias de vigilância (art. 35(3)(c)). Inclui monitorização de cidades inteligentes, análise de CCTV e rastreio de comportamentos.
DPIA vs FRIA: compreender a sobreposição
Quando um sistema de IA de alto risco trata dados pessoais (acionando uma DPIA) e é implantado por uma entidade do setor público (acionando uma FRIA ao abrigo do art. 27), as organizações enfrentam duas obrigações de avaliação sobrepostas. O Regulamento de IA permite expressamente combinar ou coordenar estas avaliações para reduzir a duplicação — mas elas permanecem juridicamente distintas.
Uma DPIA centra-se estritamente nos riscos do tratamento de dados pessoais. Uma FRIA abrange impactos mais amplos sobre os direitos fundamentais, incluindo a não discriminação, a dignidade, o julgamento justo e o acesso a serviços — muitos dos quais não são direitos de proteção de dados. Combinar as avaliações é permitido, mas os elementos da FRIA devem ser documentados separadamente para cumprir o art. 27.
DPIA (art. 35 RGPD)
- →Acionada por: risco do tratamento de dados pessoais
- →Âmbito: direitos de proteção de dados
- →Consulta obrigatória do DPO
- →Pode exigir consulta prévia à autoridade de controlo (art. 36)
- →Aplica-se a todas as organizações (públicas e privadas)
FRIA (art. 27 do Regulamento de IA)
- →Acionada por: IA de alto risco + implantação no setor público
- →Âmbito: todos os direitos fundamentais da Carta da UE
- →Consulta dos representantes dos trabalhadores incentivada
- →Deve ser registada na base de dados da UE do Regulamento de IA
- →Aplica-se apenas a operadores do setor público ou delegados
Processo de DPIA em 6 passos para sistemas de IA
Descrever o tratamento e as suas finalidades
Documente que dados pessoais são tratados, como são recolhidos, a finalidade do tratamento e a base jurídica, os prazos de conservação e quem tem acesso. Para sistemas de IA, inclua as entradas/saídas do modelo, as fontes dos dados de treino e os fluxos de dados do pipeline de inferência.
Avaliar a necessidade e a proporcionalidade
Demonstre que o tratamento de dados pessoais é necessário e proporcionado à finalidade do sistema de IA. Considere a minimização dos dados, a limitação da finalidade e a existência de alternativas menos invasivas da privacidade.
Identificar e avaliar os riscos para a privacidade
Enumere os riscos para a privacidade: divulgação ilícita, acesso não autorizado, ataques de inversão de modelo, risco de reidentificação a partir das saídas da IA, definição de perfis discriminatória e desvio de finalidade. Avalie cada um por probabilidade e gravidade.
Implementar medidas técnicas e organizativas
Documente as medidas que mitigam os riscos identificados: cifragem, controlos de acesso, privacidade diferencial, registo de auditoria, minimização de dados no treino, sanitização das saídas do modelo e procedimentos de resposta a violações.
Consultar o DPO e as partes afetadas
O artigo 35(2) exige a consulta do DPO quando tenha sido designado. O artigo 35(9) exige recolher, quando adequado, a opinião dos titulares dos dados afetados ou dos seus representantes. Documente ambas as consultas.
Documentar os riscos residuais e obter a aprovação
Registe os riscos residuais que não podem ser totalmente mitigados e se são aceitáveis para o responsável pelo tratamento. Se persistirem riscos residuais elevados, pode ser exigida uma consulta prévia à autoridade de controlo (art. 36) antes do início do tratamento.
Como a Scanara apoia a conformidade DPIA
Deteção de gatilhos de DPIA
A Scanara sinaliza características do sistema de IA que acionam obrigações de DPIA ao abrigo do art. 35 do RGPD — tratamento biométrico, definição de perfis em grande escala, decisões automatizadas com efeitos significativos.
Documentação dos fluxos de dados
Os resultados das análises identificam padrões de tratamento de dados na sua base de código de IA — entradas e saídas do modelo, pipelines de dados de treino — fornecendo a base factual para o passo 1 da DPIA.
Sinalização da sobreposição FRIA/DPIA
Quando são acionadas tanto uma DPIA como uma FRIA, a Scanara identifica a sobreposição e sugere um plano de avaliação coordenado para satisfazer ambas as obrigações com o mínimo de duplicação.
Perguntas frequentes
Como o Scanara ajuda
O Scanara automatiza a conformidade com o Regulamento de IA do código ao dossiê. Ligue os seus repos GitHub e obtenha relatórios de conformidade em minutos.