A autoridade neerlandesa publica uma autoavaliação para a IA generativa

A autoridade neerlandesa de proteção de dados disponibilizou uma ferramenta de autoavaliação sobre sistemas de inteligência artificial generativa: um percurso que leva a organização a verificar se tem medidas de governação adequadas, com que critérios escolhe um sistema conforme ao RGPD, como o coloca em funcionamento e como vigia a sua utilização.

Porque é que uma ferramenta destas faz falta agora

O problema prático destes meses não é a proibição: é que a IA generativa entra nas organizações pela porta de serviço. Não com um projeto, mas com uma caixa assinalada dentro de um programa que o fornecedor atualizou, ou com uma subscrição feita por um serviço sem passar por ninguém. Quando o encarregado dá por isso, o tratamento já dura há meses.

Uma autoavaliação não resolve isso, mas torna-o discutível: dá ao encarregado um documento para pôr em cima da mesa que não parece uma objeção pessoal, e ao responsável uma sequência de perguntas a responder por escrito.

As quatro decisões que têm de ficar escritas

As perguntas concentram-se em quatro momentos: se existe governação antes sequer de adotar uma ferramenta; com que critérios se escolhe o fornecedor; em que condições o sistema entra em produção; e quem vigia a utilização ao longo do tempo. São os mesmos quatro pontos sobre os quais uma inspeção pede contas — e os mesmos quatro sobre os quais, habitualmente, não existe uma linha escrita.

Diga-se com clareza: a ferramenta é da autoridade neerlandesa e não vincula as restantes. Não gera presunção de conformidade nem substitui a avaliação de impacto do art. 35.º quando esta é devida. Mas as perguntas não são neerlandesas: são as que um encarregado faria em Itália, em Portugal ou na Noruega.

O que fazer com ela em concreto

O uso útil é o de inventário, não o de exame. Uma ronda de mensagens aos clientes com três perguntas — que ferramentas de IA generativa estão ativas, quem as autorizou, que dados lá entram — produz quase sempre uma surpresa, e essa surpresa é o verdadeiro ponto de partida.

E manter a ordem certa: primeiro estabelece-se se o tratamento é lícito e se exige avaliação de impacto, depois escolhe-se o fornecedor. A ordem inversa — sistema escolhido e depois avaliação escrita para o justificar — é a via mais rápida para transformar um dever numa ficção.