A lista de verificação para o fornecedor
Pergunte a cada fornecedor de IA sobre estes pontos:
- Existe um contrato de tratamento de dados por conta de outrem nos termos do Artigo 28.º do RGPD?
- Onde são armazenados os dados e quais são os subcontratantes?
- Os dados de clientes são utilizados para treinar modelos de IA?
- Como são protegidos os dados de acesso e os campos confidenciais?
- Quem na equipa vê o quê e é possível configurar isso por pessoa?
- É registado o que a IA fez?
Direitos de acesso: A IA não pode mostrar mais do que o humano
Um ponto frequentemente negligenciado: Uma IA que sabe tudo pode acidentalmente fornecer informações a pessoas que não deveriam vê-las. Por isso, as respostas da IA devem reger-se pelos mesmos direitos da pessoa que pergunta. Tarefas pessoais, calendários privados e caixas de correio de terceiros não devem constar na resposta a colegas.
O que exige adicionalmente a Lei da IA da UE
Desde fevereiro de 2025, as empresas que utilizam IA devem garantir competências suficientes em IA nos seus colaboradores (Artigo 4.º). Quem comunica com pessoas sobre uma IA deve divulgá-lo (Artigo 50.º). Para sistemas de alto risco, aplica-se uma supervisão humana eficaz (Artigo 14.º).
Reino Unido, EUA e Canadá
No Reino Unido, aplica-se o UK GDPR com princípios muito semelhantes. Nos EUA, não existe uma lei federal unificada, mas sim leis estaduais como a California Consumer Privacy Act. No Canadá, a PIPEDA regula o tratamento de dados pessoais no setor privado. A lista de verificação acima é um bom ponto de partida em qualquer lugar.
Quem faz o quê?
AIRIS prepara
- Armazenamento de dados na UE: A base de dados está em Frankfurt, os ficheiros em centros de dados na UE. Os dados de clientes não são utilizados para treinar modelos de IA.
- Os direitos aplicam-se também à AIRIS: A AIRIS mostra a cada um apenas o que ele próprio pode ver. Tarefas e calendários são pessoais, caixas de correio pertencem a uma única empresa.
- Registo e aprovações: O que a AIRIS faz é registado. O grau de autonomia com que opera é definido por si para cada tarefa.
- Competências em IA de acordo com a Lei da IA da UE: Formação com certificado para a sua equipa.
Você decide
- Quais dados devem ser inseridos num sistema de IA é decidido pela empresa, não pelo fornecedor.
- Categorias especiais como dados de saúde requerem uma avaliação própria.
- Este guia não substitui aconselhamento jurídico.
