Como o RGPD se desenrolou e o que ensina sobre a Lei de IA

O RGPD aplica-se desde 25 de maio de 2018. Seguiram-se estas coimas:

O artigo 28.º, n.º 3, do RGPD regula os subcontratantes (organismos que tratam dados pessoais por conta do responsável pelo tratamento, artigo 4.º, ponto 8). Exige um contrato ou outro ato jurídico que vincule o subcontratante ao responsável pelo tratamento.

A Lei de IA também desloca obrigações ao longo da cadeia de fornecimento. Os sistemas de risco elevado são acompanhados de instruções de utilização para os responsáveis pela implantação (artigo 13.º, n.º 2). Os fornecedores de modelos de IA de finalidade geral (modelos capazes de executar de forma competente uma vasta gama de tarefas distintas, artigo 3.º, ponto 63) devem facultar documentação. Entregam-na aos fornecedores que integram o modelo em sistemas de IA (artigo 53.º, n.º 1, alínea b)). Esses fornecedores são fornecedores a jusante (artigo 3.º, ponto 68). O artigo 25.º, n.º 4, exige um acordo escrito entre o fornecedor de um sistema de risco elevado e terceiros. Esses terceiros fornecem-lhe sistemas de IA, modelos de IA, ferramentas, serviços, componentes ou processos. A regra exclui os terceiros que disponibilizam ao público ferramentas, serviços, processos ou componentes, exceto modelos de IA de finalidade geral, com licença gratuita e de fonte aberta.

O artigo 3.º, n.º 2, do RGPD abrange organizações fora da UE que oferecem bens ou serviços a pessoas na União ou monitorizam o seu comportamento. As coimas da lição 1 recaíram sobre quatro empresas: Google LLC, Amazon Europe Core S.à r.l., WhatsApp Ireland Ltd e Meta Platforms Ireland Limited. As três últimas têm sede na UE, pelo que estas coimas não mostram o artigo 3.º, n.º 2, em ação.

A Lei de IA usa um critério diferente. O artigo 2.º, n.º 1, alínea c), abrange fornecedores e responsáveis pela implantação estabelecidos num país terceiro quando os resultados do sistema são utilizados na União. O artigo 2.º, n.º 1, alínea a), abrange os fornecedores que colocam sistemas de IA no mercado da União, onde quer que estejam estabelecidos.

O artigo 25.º do RGPD exige a proteção de dados desde a conceção e por defeito. O responsável pelo tratamento (o organismo que determina as finalidades e os meios de tratamento, artigo 4.º, ponto 7) aplica medidas técnicas e organizativas adequadas. Fá-lo ao determinar os meios de tratamento e durante o próprio tratamento (artigo 25.º, n.º 1).

A Lei de IA fixa requisitos de conceção para os sistemas de risco elevado. O artigo 12.º, n.º 1, exige que permitam tecnicamente o registo automático de eventos (registos). O artigo 14.º, n.º 1, exige que pessoas singulares os possam supervisionar eficazmente. O artigo 15.º, n.º 1, exige um nível apropriado de exatidão, solidez e cibersegurança. O sistema de gestão de riscos decorre durante todo o ciclo de vida (artigo 9.º, n.º 2).

Sem prejuízo dos artigos 4.º-A e 59.º, a Lei de IA não afeta o RGPD (artigo 2.º, n.º 7). Um sistema de IA que trata dados pessoais tem de cumprir ambas as leis.

Três temas aparecem em ambas as leis. O primeiro são as decisões automatizadas e a supervisão humana (artigo 22.º do RGPD; artigo 14.º da Lei de IA). O segundo é a transparência (artigos 13.º e 14.º do RGPD; artigos 13.º e 50.º da Lei de IA). O terceiro são as avaliações de impacto. O artigo 35.º do RGPD exige uma avaliação do impacto sobre a proteção de dados pessoais quando o tratamento for suscetível de implicar um elevado risco. O artigo 27.º da Lei de IA exige uma avaliação do impacto sobre os direitos fundamentais. Aplica-se aos responsáveis pela implantação que sejam organismos de direito público ou entidades privadas que prestam serviços públicos. Aplica-se também aos responsáveis pela implantação de sistemas referidos no anexo III, ponto 5, alíneas b) e c). Ficam excluídos os sistemas da área referida no anexo III, ponto 2.

O artigo 83.º, n.º 2, do RGPD enumera os fatores que a autoridade considera ao fixar uma coima. Entre eles estão as medidas tomadas para atenuar os danos, o grau de responsabilidade tendo em conta as medidas técnicas e organizativas, e a cooperação com a autoridade de controlo.

O artigo 99.º, n.º 7, da Lei de IA enumera fatores semelhantes. Entre eles estão o grau de cooperação (alínea f)) e o grau de responsabilidade tendo em conta as medidas técnicas e organizativas (alínea g)). Também constam a forma como a infração chegou ao conhecimento (alínea h)) e as medidas tomadas para atenuar o prejuízo (alínea j)).

O RGPD criou obrigações sobre o consentimento (artigo 7.º), os registos de atividades de tratamento (artigo 30.º) e as avaliações de impacto (artigo 35.º). O responsável pelo tratamento continua responsável por elas (artigo 24.º).

A Lei de IA funciona da mesma forma. A obrigação continua com o fornecedor de um sistema de risco elevado (artigo 16.º) e com o seu responsável pela implantação (artigo 26.º).