A autoridade neerlandesa de proteção de dados disponibilizou uma ferramenta de autoavaliação sobre sistemas de inteligência artificial generativa: um percurso que leva a organização a verificar se tem medidas de governação adequadas, com que critérios escolhe um sistema conforme ao RGPD, como o coloca em funcionamento e como vigia a sua utilização.
Porque é que uma ferramenta destas faz falta agora
O problema prático destes meses não é a proibição: é que a IA generativa entra nas organizações pela porta de serviço. Não com um projeto, mas com uma caixa assinalada dentro de um programa que o fornecedor atualizou, ou com uma subscrição feita por um serviço sem passar por ninguém. Quando o encarregado dá por isso, o tratamento já dura há meses.
Uma autoavaliação não resolve isso, mas torna-o discutível: dá ao encarregado um documento para pôr em cima da mesa que não parece uma objeção pessoal, e ao responsável uma sequência de perguntas a responder por escrito.
As quatro decisões que têm de ficar escritas
As perguntas concentram-se em quatro momentos: se existe governação antes sequer de adotar uma ferramenta; com que critérios se escolhe o fornecedor; em que condições o sistema entra em produção; e quem vigia a utilização ao longo do tempo. São os mesmos quatro pontos sobre os quais uma inspeção pede contas — e os mesmos quatro sobre os quais, habitualmente, não existe uma linha escrita.
Diga-se com clareza: a ferramenta é da autoridade neerlandesa e não vincula as restantes. Não gera presunção de conformidade nem substitui a avaliação de impacto do art. 35.º quando esta é devida. Mas as perguntas não são neerlandesas: são as que um encarregado faria em Itália, em Portugal ou na Noruega.
O que fazer com ela em concreto
O uso útil é o de inventário, não o de exame. Uma ronda de mensagens aos clientes com três perguntas — que ferramentas de IA generativa estão ativas, quem as autorizou, que dados lá entram — produz quase sempre uma surpresa, e essa surpresa é o verdadeiro ponto de partida.
E manter a ordem certa: primeiro estabelece-se se o tratamento é lícito e se exige avaliação de impacto, depois escolhe-se o fornecedor. A ordem inversa — sistema escolhido e depois avaliação escrita para o justificar — é a via mais rápida para transformar um dever numa ficção.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
