A 2 de agosto expirou a obrigação de ter um ambiente de testagem nacional para a IA, e lá dentro podem tratar-se dados recolhidos para outra coisa

O que é um ambiente de testagem da regulamentação

É um ambiente controlado no qual se desenvolve, treina, testa e valida um sistema de IA durante um período limitado, sob supervisão da autoridade competente e segundo um plano acordado. Não é uma zona franca: as regras continuam a aplicar-se, mas o diálogo com a autoridade ocorre antes da colocação no mercado e não depois, e quem participa sai com documentação que a autoridade já viu.

O n.º 3 do mesmo artigo acrescenta algo que muitas vezes escapa: também a Autoridade Europeia para a Proteção de Dados pode criar um ambiente de testagem para as instituições, órgãos e organismos da União, exercendo as funções e as atribuições das autoridades nacionais competentes.

Porque isto diz respeito a quem trata de dados pessoais

Por causa do artigo 59.º. No ambiente de testagem, os dados pessoais licitamente recolhidos para outras finalidades podem ser tratados exclusivamente para desenvolver, treinar e testar determinados sistemas de IA. É uma previsão expressa de reutilização, e no direito da União não existem muitas. Mas só vale se estiverem preenchidas todas as condições enumeradas, não algumas.

O sistema tem de servir um interesse público importante, num destes domínios

• Segurança pública e saúde pública, incluindo a deteção, a prevenção do diagnóstico, o controlo e o tratamento de doenças e a melhoria dos sistemas de saúde.
• Um elevado nível de proteção e melhoria da qualidade do ambiente, proteção da biodiversidade, proteção contra a poluição, medidas de transição ecológica, medidas de atenuação das alterações climáticas e de adaptação às mesmas.
• Sustentabilidade energética.
• Segurança e resiliência dos sistemas de transporte e da mobilidade, das infraestruturas críticas e das redes.
• Eficiência e qualidade da administração pública e dos serviços públicos.

E depois têm de valer também todas as outras condições

• Os dados têm de ser necessários para cumprir os requisitos do capítulo III, secção 2, e esses requisitos não podem poder ser cumpridos eficazmente com dados anonimizados, sintéticos ou de outro modo não pessoais.
• Têm de existir mecanismos de monitorização eficazes para identificar riscos elevados para os direitos e liberdades dos titulares, na aceção do artigo 35.º do RGPD, e mecanismos de resposta para os atenuar rapidamente e, se necessário, interromper o tratamento.
• Os dados têm de estar num ambiente de tratamento funcionalmente separado, isolado e protegido, sob o controlo do potencial prestador, acessível apenas a pessoas autorizadas.
• Os dados originalmente recolhidos só podem ser posteriormente partilhados nos termos do direito da União em matéria de proteção de dados, e os dados pessoais criados no ambiente de testagem não podem sair dele.
• O tratamento não pode conduzir a medidas ou decisões que afetem os titulares nem afetar o exercício dos seus direitos.

O que perguntar agora

• Se o ambiente de testagem do próprio Estado está operacional e em que condições se acede: o prazo consta do regulamento, a execução varia de Estado para Estado e deve ser verificada junto da própria autoridade.
• Se o cliente está a ponderar um projeto de IA num dos cinco domínios, porque nesse caso o ambiente de testagem não é um adorno mas a via mais defensável.
• Se alguém na organização já escreveu que vai treinar com dados existentes invocando o regulamento da IA como base: é o momento de reler o artigo 59.º linha a linha.