DPIA para aplicações de IA

Segundo a Autoriteit Persoonsgegevens (AP), uma organização tem de realizar primeiro uma DPIA se o tratamento de dados pessoais for suscetível de apresentar um risco elevado para a privacidade. Quanto aos algoritmos, a AP indica que, se pretender utilizar sistemas algorítmicos que tratem dados pessoais, a DPIA é obrigatória. Isto também se aplica a projetos-piloto, testes e projetos experimentais.

A AP remete para o artigo 35.º do RGPD. A DPIA faz parte da sua governação de dados mais abrangente.

A AP indica três recursos: o que diz o próprio RGPD, a lista de DPIA da AP e nove critérios das autoridades de proteção de dados da UE. Como regra prática, deve realizar uma DPIA se o tratamento cumprir dois ou mais critérios. Entre os exemplos estão as decisões automatizadas, a definição de perfis, os dados sensíveis, as bases de dados interligadas e as novas tecnologias.

Se não cumprir nenhum critério, ou cumprir apenas um, a AP indica que deve ser capaz de justificar devidamente por que motivo não realiza uma DPIA.

Segundo a AP, deve incluir, pelo menos, uma descrição sistemática do tratamento e das suas finalidades, uma avaliação da necessidade e da proporcionalidade, uma avaliação dos riscos para a privacidade e as medidas previstas.

No caso dos algoritmos, a AP pede atenção especial aos aspetos técnicos, como a escolha do algoritmo e os enviesamentos, à transparência e à explicabilidade, e a direitos como o apagamento e a retificação. O Model DPIA Rijksdienst estrutura uma DPIA em dezassete pontos.

O responsável pelo tratamento deve assegurar a realização da DPIA e mantém a responsabilidade final, mesmo que outra pessoa a realize. Se a sua organização tiver um encarregado da proteção de dados (EPD), segundo a AP deve pedir-lhe aconselhamento e incluí-lo no relatório.

O subcontratante deve prestar-lhe apoio com as informações de que precisa. É aqui que o nosso trabalho se enquadra: na descrição técnica dos dados, do modelo e das medidas.

Segundo a AP, a FRIA, a avaliação de impacto sobre os direitos fundamentais prevista no AI Act, complementa a DPIA. Uma DPIA centra-se nos riscos para a privacidade; uma FRIA abrange todos os direitos fundamentais na utilização de um sistema de IA de risco elevado. A partir de dezembro de 2027, a FRIA será obrigatória, entre outras, para organizações públicas que pretendam utilizar determinados sistemas de risco elevado.

Cabe ao seu consultor jurídico avaliar o que se aplica ao seu caso; consulte também o AI Act.

A AP considera que a DPIA não é uma tarefa pontual, mas um processo contínuo. Se o tratamento, os riscos ou o contexto mudarem, é necessária uma nova DPIA. No caso da IA, isso pode acontecer com um novo modelo, novos dados de treino ou uma utilização diferente dos resultados.

Por isso, associamos o controlo de versões e a monitorização do modelo à DPIA através de MLOps. É também desta forma que trabalhamos com o LUMC na monitorização e manutenção.

Segundo a AP, nesse caso deve consultar a AP antes de iniciar o tratamento: é a consulta prévia. Para cada risco residual elevado, descreva em que circunstâncias surge, qual a sua probabilidade apesar das medidas tomadas e que danos as pessoas podem sofrer.

Para saber quem toma que decisões em matéria de IA, consulte governação de IA. Descrevemos um sistema de gestão de IA em ISO 42001.

Se a aplicação de IA não tratar dados pessoais, ou se se tratar de software adquirido cujo fornecedor disponibiliza as informações técnicas pedidas pelo seu EPD. Nesses casos, basta o processo de DPIA que a sua organização já tem.

Se os algoritmos também tiverem de ser descritos publicamente, leia a nossa página sobre o Registo de Algoritmos.