Proteção de dados e inteligência artificial: é hora de equilibrar a balança

O avanço do uso e desenvolvimento de inteligência artificial (IA) tem sido o tema do ano e, no Direito, isso não é diferente. São inúmeras as iniciativas judiciais, administrativas, legislativas e doutrinárias que têm como pano de fundo o tema de inteligência artificial. Nesse sentido, a própria Autoridade Nacional de Proteção de Dados (ANPD) chegou a proferir decisão cautelar (conforme Despacho Decisório nº 20/2024/PR/ANPD), no ano passado, em que externou alguns entendimentos sobre um tema central para o desenvolvimento de IA, que envolve o uso de dados – inclusive publicamente disponíveis – para treinamentos de modelos de IA.

Nessa decisão, a ANPD adotou um posicionamento rigoroso (e potencialmente prejudicial ao desenvolvimento de IA) ao impor, de forma preventiva, restrições ao treinamento de modelos com dados, inclusive publicamente disponíveis, pela Meta. Embora a medida tenha sido posteriormente revertida com a apresentação de um plano de conformidade pela empresa, chama atenção a interpretação inicialmente adotada pela Autoridade sobre o que se entende por tratamento de dados sensíveis – bastante expansionista – que acende um alerta para o risco de aplicação futura de entendimentos semelhantes, com potencial de gerar insegurança jurídica para iniciativas de desenvolvimento tecnológico.

Nos termos da LGPD, determinados tipos de dados – expressamente definidos na Lei – são considerados sensíveis. É o caso, por exemplo, de dados biométricos, de saúde, de vida sexual, de origem étnica e racial e de convicção política ou religiosa. Também pode ter um enquadramento legal equiparável àquele dos dados sensíveis o tratamento de informações a priori não listadas pela legislação como sensíveis que tenha por finalidade específica a revelação de dados legalmente definidos como sensíveis e que possa causar dano aos titulares.

Quando se está diante de dados sensíveis, as hipóteses legais de uso pelas organizações são mais restritas e não incluem o legítimo interesse, que é, resumidamente, o fundamento legal que sustenta a esmagadora maioria das atividades corporativas envolvendo dados pessoais.

Em sua decisão cautelar, a ANPD entendeu que, como nas plataformas da Meta o usuário tem liberdade para veicular qualquer tipo de conteúdo, não é possível descartar que, eventualmente, esse conteúdo contenha dados sensíveis. Essa mera “possibilidade de uso de imagens, áudios, textos e vídeos, que possam revelar vinculações políticas, religiosas e sexuais dos titulares” – ainda que a empresa não tenha qualquer finalidade específica de, a partir do conteúdo do usuário, extrair, de fato, informações sensíveis a seu respeito — foi suficiente para que a ANPD, de forma cautelar e sem contraditório, considerasse como inapropriado o uso do legítimo interesse pela empresa alvo da decisão, o que representa um entendimento inédito e bastante limitador por parte da Autoridade.

Nesse sentido, parece-nos que, ao ampliar o que se deve considerar por “tratamento de dados sensíveis”, há o risco de banalizar a proteção especial que esses dados requerem. Quando qualquer postagem de usuário em rede social passa a ser equiparada a dado sensível (como a simples foto de alguém com óculos ou com braço quebrado, por supostamente representar um dado de saúde), independentemente da finalidade do tratamento, a distinção clara entre dados "gerais" e aqueles que realmente precisam de proteção adicional se perde. Na prática, essa expansão desvaloriza e enfraquece a aplicação adequada dessa proteção onde ela é verdadeiramente crítica e necessária.

Ao aplicarmos esse entendimento especificamente ao campo da IA, inúmeros são os desafios que surgem. A essência do treinamento de um modelo de IA generativa reside na análise e processamento de grandes volumes de dados, o que não pressupõe, no entanto, a inferência de informações sensíveis a partir dos dados utilizados para o treinamento. É importante ter em mente que um modelo de IA generativa não é simplesmente uma replicação dos dados de entrada.

Para a imensa maioria dos modelos de IA, dados pessoais per se são irrelevantes. Não importa ao modelo saber que Luis é advogado especializado em direito e tecnologia, e que Luis tem uma condição de saúde que lhe faz ter de usar óculos, mas sim o que fazem e como atuam advogados especializados em direito e tecnologia.

Especialmente no caso da IA generativa, o treinamento de modelos de IA ocorrido a partir de grande massa de dados disponíveis foi, nos últimos anos, o principal motor para a difusão de modelos bem aceitos, que tanto vêm revolucionando, positivamente, a forma como trabalhamos. Se é certo que, para serem bem construídos e terem menos chances de vieses indesejados, os modelos precisam consumir grandes massas de dados, a pessoalidade do dado é, em muitos casos, descartada – e até indesejada – para seus treinamentos.

Tudo isso nos força a refletir se o entendimento adotado pela Autoridade, que originalmente justificou uma suspensão de atividade de forma cautelar e preventiva, é o mais adequado para se alcançar o equilíbrio entre proteção de dados (direito fundamental do qual não podemos abrir mão), com a inovação e o desenvolvimento tecnológico (valores igualmente protegidos pela nossa Constituição Federal).

Essa discussão torna-se ainda mais relevante diante do início dos trabalhos da Comissão Especial da Câmara dos Deputados responsável pela análise do Projeto de Lei de regulação da IA no Brasil (PL 2338/23), que poderá consolidar diretrizes sobre o tema. Embora não seja tarefa simples manter a balança entre proteção de dados e IA equilibrada, é esse o desafio a ser enfrentado por uma Autoridade que também pretende ser aquela competente para o tema de IA no Brasil.

Fórum CNN

Os artigos publicados pelo Fórum CNN buscam estimular o debate, a reflexão e dar luz a visões sobre os principais desafios, problemas e soluções enfrentados pelo Brasil e por outros países do mundo.

Os textos publicados no Fórum CNN não refletem, necessariamente, a opinião da CNN.