AI Act vs RGPD: diferenças e sobreposições
Como o regulamento de IA e o RGPD diferem em âmbito, obrigações, coimas e aplicação, e onde se sobrepõem.
Fornecedores e responsáveis pela implantação de sistemas de IA que tratam dados pessoais na UE têm de cumprir o regulamento de IA e o RGPD. Sem prejuízo dos artigos 4.º-A e 59.º, o regulamento de IA não afeta o RGPD (artigo 2.º, n.º 7).
O RGPD aplica-se desde 25 de maio de 2018. O regulamento de IA aplica-se por fases desde 2 de fevereiro de 2025. As coimas do regulamento de IA chegam a 35 milhões de EUR ou 7 % do volume de negócios anual mundial. Aplica-se o montante mais elevado (artigo 99.º, n.º 3). As do RGPD chegam a 20 milhões de EUR ou 4 %, com o mesmo critério (artigo 83.º, n.º 5). Próximo passo: associe as funções de cada sistema de IA aos dois diplomas.
Os dois diplomas diferem no âmbito, na abordagem ao risco, nas obrigações, nas coimas e na aplicação
| Tema | Regulamento de IA da UE | RGPD |
|---|---|---|
| Âmbito | Sistemas de IA colocados no mercado ou em serviço na UE, modelos GPAI colocados no mercado da UE, responsáveis pela implantação estabelecidos ou situados na UE, e fornecedores e responsáveis pela implantação de fora cujo resultado do sistema é utilizado na UE (artigo 2.º, n.º 1) | Tratamento de dados pessoais no contexto das atividades de um estabelecimento de um responsável pelo tratamento ou subcontratante na UE, e tratamento de dados de pessoas que se encontram na UE por outros que lhes oferecem bens ou serviços ou monitorizam o seu comportamento na UE (artigo 3.º) |
| Abordagem ao risco | Regras por nível de risco: práticas proibidas (artigo 5.º), sistemas de IA de risco elevado (artigo 6.º) e obrigações de transparência (artigo 50.º), mais regras próprias para os modelos GPAI | As obrigações crescem com o risco. É exigida uma avaliação de impacto sobre a proteção de dados (AIPD) para o tratamento suscetível de implicar um elevado risco (artigo 35.º) |
| Obrigações principais | Para os sistemas de IA de risco elevado: gestão de riscos, governação dos dados, documentação técnica, conservação de registos, transparência, supervisão humana, exatidão, solidez e cibersegurança (artigos 9.º a 15.º) | Uma base jurídica, a limitação das finalidades, a minimização dos dados e os direitos dos titulares dos dados (artigos 5.º, 6.º e 12.º a 22.º) |
| Coimas máximas | Até 35 milhões de EUR ou 7 % do volume de negócios anual mundial, consoante o montante mais elevado (artigo 99.º, n.º 3) | Até 20 milhões de EUR ou 4 % do volume de negócios anual mundial, consoante o montante mais elevado (artigo 83.º, n.º 5) |
| Aplicação | As autoridades nacionais de fiscalização do mercado. O Serviço para a IA da Comissão tem competência exclusiva para os modelos GPAI e para alguns sistemas de IA: os baseados num modelo GPAI pelo mesmo fornecedor (com exceções) e os integrados em plataformas ou motores de pesquisa em linha de muito grande dimensão (artigos 75.º e 88.º) | As autoridades nacionais de proteção de dados (autoridades de controlo) (artigo 51.º) |
| Data de aplicação | Por fases, de 2 de fevereiro de 2025 a 2 de agosto de 2028, com algumas datas até 2 de agosto de 2030 (artigo 113.º) | Desde 25 de maio de 2018 (artigo 99.º, n.º 2) |
Estas áreas sobrepõem-se e, em cada uma, aplicam-se os dois diplomas
Decisões automatizadas
O artigo 22.º do RGPD dá às pessoas o direito de não ficarem sujeitas a uma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos jurídicos ou as afete significativamente de forma similar, com as exceções do artigo 22.º, n.º 2. O regulamento de IA exige que os sistemas de risco elevado permitam uma supervisão humana efetiva (artigo 14.º). Dá também à pessoa afetada por uma decisão de um responsável pela implantação baseada no resultado de um sistema de risco elevado do anexo III (exceto infraestruturas críticas) direito a uma explicação, quando a decisão produz efeitos jurídicos ou similares e a pessoa a considera prejudicial para a sua saúde, segurança ou direitos fundamentais. Aplica-se apenas na medida em que o direito da União não preveja já esse direito (artigo 86.º).
Transparência
O RGPD obriga os responsáveis pelo tratamento a informar as pessoas sobre o tratamento dos seus dados (artigos 13.º e 14.º). O regulamento de IA obriga os fornecedores a dar aos responsáveis pela implantação instruções de utilização dos sistemas de risco elevado (artigo 13.º) e exige avisos às pessoas em alguns sistemas (artigo 50.º). Ambos podem aplicar-se ao mesmo sistema.
Qualidade dos dados e enviesamento
O artigo 5.º, n.º 1, alínea d), do RGPD exige que os dados pessoais sejam exatos. O regulamento de IA exige que os dados de treino, validação e teste dos sistemas de risco elevado cumpram critérios de qualidade, incluindo um exame de possíveis enviesamentos (artigo 10.º). Os fornecedores podem, a título excecional, tratar categorias especiais de dados pessoais para detetar e corrigir enviesamentos, sob condições estritas (artigo 4.º-A).
Avaliações de impacto
Se aplicável, os responsáveis pela implantação de sistemas de risco elevado utilizam as informações do fornecedor nos termos do artigo 13.º para a sua avaliação de impacto sobre a proteção de dados ao abrigo do RGPD (artigo 26.º, n.º 9). Uma avaliação do impacto sobre os direitos fundamentais nos termos do artigo 27.º pode remeter para essa avaliação (artigo 27.º, n.º 4).
Estas diferenças determinam o que tem de fazer ao abrigo de cada diploma
O que é regulado
O RGPD regula o tratamento de dados pessoais. O regulamento de IA regula os sistemas de IA e os modelos de IA de finalidade geral, quer tratem ou não dados pessoais.
Quem tem as obrigações
O RGPD dirige-se aos responsáveis pelo tratamento e aos subcontratantes. O regulamento de IA dirige-se aos fornecedores (no regulamento: prestadores), aos responsáveis pela implantação, aos importadores, aos distribuidores e a outros operadores. As funções não correspondem uma a uma, por isso verifique as definições de cada diploma (regulamento de IA artigo 3.º, RGPD artigo 4.º).
Requisitos de documentação
O RGPD exige o registo das atividades de tratamento (artigo 30.º) e avaliações de impacto sobre a proteção de dados (artigo 35.º). O regulamento de IA exige documentação técnica (artigo 11.º), uma avaliação da conformidade (artigo 43.º) e, para alguns responsáveis pela implantação, uma avaliação do impacto sobre os direitos fundamentais (artigo 27.º). Um não substitui o outro.
Perguntas frequentes
Cumprir o RGPD basta para cumprir o regulamento de IA?
Não. O regulamento de IA estabelece obrigações distintas, como a gestão de riscos dos sistemas de risco elevado (artigo 9.º) e a documentação técnica (artigo 11.º). Sem prejuízo dos artigos 4.º-A e 59.º, não afeta o RGPD (artigo 2.º, n.º 7), pelo que ambos os diplomas se aplicam.
Podem duas autoridades agir sobre o mesmo sistema de IA?
Sim. Uma autoridade de proteção de dados aplica o RGPD e uma autoridade de fiscalização do mercado aplica o regulamento de IA, cada uma no âmbito do seu diploma. Quando uma autoridade fixa uma coima nos termos do regulamento de IA, tem em conta as coimas que outras autoridades já aplicaram pela mesma atividade (artigo 99.º, n.º 7, alínea c)).
Guias relacionados
Práticas de IA proibidas: artigo 5.º do AI Act
As dez práticas proibidas. O artigo 5.º não prejudica o artigo 9.º do RGPD no que respeita aos dados biométricos fora da aplicação da lei.
Regulamento de IA: cronograma de prazos de 2024 a 2030
Cada data de aplicação do regulamento de IA, com o artigo que a fixa.
O Scanara prepara evidências a partir dos seus repositórios
O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.