Artigos e Publicações

*Equipe de Direito Digital

No início de julho, o European Data Protection Board (EDPB) publicou, para consulta pública, duas importantes minutas de diretrizes relacionadas à proteção de dados e inteligência artificial. Os documentos tratam de temas que vêm ocupando posição central no debate regulatório internacional: os critérios para que um conjunto de dados seja considerado efetivamente anonimizado e os limites jurídicos da utilização de técnicas de web scraping para treinamento de modelos de inteligência artificial generativa.

Embora as orientações tenham sido elaboradas no contexto do Regulamento Geral de Proteção de Dados da União Europeia (GDPR), os temas abordados possuem evidente relevância também para organizações sujeitas à Lei Geral de Proteção de Dados (LGPD), sobretudo diante da crescente utilização de sistemas de IA baseados em grandes volumes de dados.

No que se refere à anonimização, o EDPB reforça uma premissa que já vinha sendo construída pela jurisprudência europeia, a de que a eliminação de identificadores diretos não é suficiente, por si só, para retirar determinado conjunto de informações do regime de proteção de dados pessoais. A análise deve considerar o risco concreto de reidentificação, levando em conta os meios razoavelmente disponíveis para que uma pessoa possa voltar a ser identificada.

Como ferramenta prática, as diretrizes propõem um modelo de avaliação baseado em três aspectos, a saber: a impossibilidade de individualizar registros específicos, a impossibilidade de relacionar informações provenientes de diferentes bases de dados e a impossibilidade de extrair inferências capazes de identificar indivíduos. A adoção desse tipo de metodologia demonstra uma tendência regulatória de substituir critérios meramente formais por avaliações baseadas em risco.

Outro ponto de destaque envolve o uso de web scraping para treinamento de modelos de inteligência artificial. O EDPB esclarece que o simples fato de determinada informação estar disponível na internet não afasta a incidência da legislação de proteção de dados quando houver tratamento de dados pessoais. Assim, atividades automatizadas de coleta, armazenamento e utilização dessas informações continuam sujeitas aos princípios da finalidade, transparência, minimização e necessidade de uma base jurídica adequada.

As diretrizes também enfrentam uma questão particularmente relevante para empresas que desenvolvem ou utilizam soluções de IA: a utilização do legítimo interesse como fundamento jurídico para operações de coleta de dados na internet. Embora essa base legal possa ser utilizada em determinadas circunstâncias, sua aplicação exige avaliação criteriosa, documentação adequada e ponderação dos impactos sobre os direitos e liberdades dos titulares. O documento ainda dedica especial atenção à coleta incidental de dados sensíveis, deixando claro que não existe uma exceção geral para esse tipo de tratamento apenas porque ele ocorre durante processos automatizados de treinamento de modelos.

Ainda que permaneçam em consulta pública, essas diretrizes oferecem importantes sinais sobre a direção da regulação internacional. A tendência é de que o debate sobre inteligência artificial deixe de se concentrar apenas nos modelos e algoritmos, passando a dedicar atenção crescente à origem, qualidade e governança dos dados utilizados em seu treinamento.

Para empresas brasileiras, especialmente aquelas que desenvolvem ou utilizam ferramentas baseadas em IA generativa, o momento é oportuno para revisar políticas de tratamento de dados, mecanismos de anonimização, processos de governança de bases de treinamento e avaliações de legítimo interesse. Ainda que a ANPD não tenha publicado orientações específicas sobre esses temas, é razoável esperar que discussões semelhantes passem a integrar, em futuro próximo, a agenda regulatória nacional.

*A Equipe de Direito Digital é integrada pelos advogados Camila Camargo, Gabriela Araujo e Marco Zorzi.