Seis perguntas a fazer a qualquer fornecedor de IA antes de lhe confiar dados de clientes

Muitas empresas hesitam em adotar a IA devido à proteção de dados — muitas vezes com razão. A boa notícia: não precisa de ser jurista para identificar fornecedores fiáveis. Faça estas seis perguntas a qualquer fornecedor antes de partilhar quaisquer dados de clientes. Quem evitar responder já estará a responder por si.

1. «Existe um Acordo de Processamento de Dados (DPA)?»

Ao abrigo do Artigo 28.º do RGPD, é obrigatório existir um contrato no qual o fornecedor garanta que processará os dados exclusivamente sob as suas instruções. Sem este acordo, não partilhe dados de clientes.

2. «Onde estão alojados os dados e que outras entidades estão envolvidas?»

Questione sobre a localização dos centros de dados e os subcontratantes. O armazenamento de dados na União Europeia simplifica substancialmente o enquadramento legal.

3. «Os meus dados são utilizados para treinar os modelos?»

A resposta correta deve ser não. Os dados dos seus clientes pertencem-lhe a si, e não ao modelo de um fornecedor externo.

4. «A IA tem acesso a mais informação do que o colaborador que faz a pergunta?»

Uma questão frequentemente esquecida. Uma IA com acesso indiscriminado pode, inadvertidamente, revelar informações a colegas que não deviam ter acesso a elas — como caixas de correio privadas ou agendas pessoais. As respostas da IA devem respeitar estritamente as mesmas permissões de acesso do utilizador humano.

5. «O que é que a IA pode fazer de forma autónoma e posso alterar essas definições?»

Para cada tarefa, deve ser possível configurar se a IA apenas sugere, se atua após aprovação prévia ou se opera de forma autónoma — sendo imperativo poder revogar estas permissões a qualquer momento.

6. «É possível rastrear todas as ações realizadas?»

Um registo de auditoria que documente o que a IA fez, quando o fez e por que razão o fez é o fundamento essencial para o controlo interno e para responder a pedidos de informação e auditorias.

E fora da União Europeia?

No Reino Unido aplica-se o UK GDPR com princípios semelhantes; nos Estados Unidos vigoram leis estaduais como o California Consumer Privacy Act; no Canadá aplica-se o PIPEDA. Estas seis perguntas constituem um excelente ponto de partida em qualquer jurisdição. Não dispensam, contudo, aconselhamento jurídico especializado.