Tiveram que passar várias tentativas e reuniões a nível técnico para que os embaixadores dos Vinte e Sete decidissem dar seu visto bom à posição negociadora sobre as novas regras digitais comunitárias. Os últimos detalhes do pacote com o qual Bruxelas pretende simplificar o marco normativo tecnológico e, ao mesmo tempo, "estimulá-la inovação" haviam encontrado resistências entre algumas capitais, com a Alemanha entre os países que mantinham bloqueado o acordo.
Foi esta semana que os últimos ajustes do denominado "ônibus digital" receberam o aval do Conselho da UE para começar as negociações com o Parlamento Europeu visando sua adoção definitiva.
O certo é que o texto introduz modificações chave no Regulamento Geral de Proteção de Dados (RGPD), a Lei de Dados e a Lei de Inteligência Artificial. Fontes comunitárias asseguram que o objetivo central "é eliminar complexidade", embora os mais céticos advirtam que a reforma estaria abrindo a porta para utilizar informações especialmente protegidas durante o treinamento de sistemas de IA.
"A Presidência irlandesa trabalhou para conseguir um acordo oportuno no Conselho, de modo que essas melhorias possam começar a gerar benefícios reais o quanto antes", afirmava a ministra de Assuntos Estrangeiros da Irlanda, Helen McEntee.
O interesse legítimo entra no treinamento da IA
Finalmente, o rascunho sobre o qual começará a negociar o acordo definitivo estabelece regras específicas para habilitar e regular o uso de dados pessoais ao longo de todo o ciclo de vida dos sistemas de inteligência artificial. Isso inclui desde seu treinamento até as fases de teste, validação e funcionamento posterior.
Os Estados membros concordaram em esclarecer explicitamente que o desenvolvimento e funcionamento de sistemas de IA, incluindo os grandes modelos de linguagem e os sistemas de vídeo generativo, pode se fundamentar no interesse legítimo do responsável pelo tratamento, uma das bases jurídicas contempladas no RGPD. Da mesma forma, as autoridades e organismos públicos poderão se apoiar na base jurídica do interesse público ou do exercício de poderes públicos quando desenvolverem ou treinarem seus próprios modelos de inteligência artificial.
No entanto, o desenvolvimento de um modelo de IA não constituirá, por si só, um interesse legítimo automático. Sua aplicação deverá ser avaliada em cada caso concreto, ponderando a finalidade perseguida pelo desenvolvedor frente aos direitos e liberdades dos usuários.
Esta base jurídica não poderá ser utilizada quando prevalecerem os direitos dos interessados, especialmente se se tratar de menores, ou quando uma disposição legal exigir expressamente o consentimento para realizar um determinado tratamento.
O que acontece com os dados sensíveis?
Uma das principais novidades técnicas do acordo reside na maneira de abordar a presença imprevista de dados especialmente sensíveis, como os relativos à saúde, à origem étnica ou às opiniões políticas, nos grandes volumes de informação utilizados para treinar modelos de inteligência artificial.
O Conselho aposta em introduzir uma nova hipótese de exceção para permitir o tratamento incidental e residual de categorias especiais de dados quando estes não constituírem o objetivo do responsável pelo tratamento. Ou seja, a flexibilização não implica uma autorização geral para coletar deliberadamente informações sensíveis com a finalidade de treinar sistemas de IA, mas pretende oferecer uma resposta jurídica àqueles casos em que esses dados aparecem de maneira imprevista nos conjuntos de treinamento.
Para isso, os desenvolvedores deverão aplicar previamente medidas técnicas e organizativas, como mecanismos de filtragem durante a fase de coleta, destinados a evitar a incorporação de informações especialmente protegidas.
Agora bem, se, apesar dessas precauções, forem detectados dados sensíveis nos conjuntos de treinamento, durante a validação ou no próprio sistema, o responsável estará obrigado a eliminá-los sem demora indevida.
A proposta também contempla aqueles cenários em que a exclusão se torne tecnicamente impossível ou exija um esforço manifestamente desproporcional. Por exemplo, quando determinada informação tenha ficado "memorizada" nos pesos do modelo e sua eliminação exija um novo processo de treinamento. Nesses casos, o responsável deverá garantir uma proteção eficaz dos dados afetados, impedindo que continuem sendo tratados, evitando sua utilização para gerar inferências e adotando medidas para que não possam ser revelados a terceiros.
Mais flexibilidade, mas também novas salvaguardas
Para compensar esta flexibilização das bases jurídicas, o texto incorpora uma série de obrigações adicionais dirigidas aos desenvolvedores de inteligência artificial. Em primeiro lugar, deverão aplicar o princípio da minimização de dados desde a própria seleção das fontes de informação, além de implementar instrumentos destinados a prevenir vazamentos ou divulgações indevidas.
Junto com essas garantias, a proposta reconhece aos usuários o direito incondicional de se opor ao tratamento de seus dados pessoais para o desenvolvimento dessas tecnologias.
Outro dos mudanças relevantes afeta à própria interpretação do conceito de dado pessoal. Os Estados membros quiseram esclarecer que, seguindo a jurisprudência do Tribunal de Justiça da União Europeia (TJUE), uma informação não deve ser considerada necessariamente um dado pessoal para qualquer entidade pelo mero fato de que um terceiro possa identificar o usuário.
Deste modo, quando uma organização não dispuser de meios razoáveis para identificar uma pessoa, essa informação poderá deixar de ser considerada um dado pessoal sob a perspectiva dessa entidade. Esta interpretação também afeta os dados pseudonimizados transmitidos a terceiros, que poderão ficar fora dessa consideração para o receptor quando a possibilidade de reidentificação for insignificante ou tecnicamente impossível.
Além disso, o rascunho introduz ajustes no exercício dos direitos de acesso contemplados no RGPD. Os responsáveis pelo tratamento poderão rejeitar ou cobrar por aquelas solicitações que resultem manifestamente abusivas ou excessivas, incluindo os pedidos automatizados massivos lançados por meio de agentes de IA maliciosos.
Uma reorganização do ecossistema regulatório europeu
Mais além da proteção de dados, o ômnibus digital propõe uma reestruturação do ecossistema normativo europeu com um impacto direto sobre a competitividade do setor tecnológico da União.
A proposta contempla a revogação de capítulos completos da Lei de Governança de Dados e a integração das disposições da Diretiva de Dados Abertos dentro da Lei de Dados. Com isso, Bruxelas pretende concentrar boa parte do marco regulatório em dois grandes instrumentos normativos, reduzindo a fragmentação legislativa e as cargas administrativas para as empresas.
Segundo defendem as instituições comunitárias, esta reorganização permitirá simplificar os procedimentos necessários para acessar dados públicos e de pesquisa, facilitando sua reutilização por parte dos operadores econômicos. Além disso, os registros de serviços de intermediação de dados e de organizações de altruísmo de dados passarão a ter caráter voluntário, acompanhados de um selo de reconhecimento da UE.
O texto também incorpora disposições destinadas a reforçar a posição das pequenas e médias empresas frente às grandes plataformas tecnológicas. Em particular, as autoridades públicas poderão estabelecer condições especiais e tarifas mais elevadas para os gatekeepers, ou seja, os guardiões de acesso designados em virtude da Lei de Mercados Digitais, quando solicitarem reutilizar determinados dados abertos ou protegidos.
Por último, o Conselho introduz um denominado "mecanismo de freio de mão" destinado a proteger os segredos comerciais e industriais frente às solicitações de acesso provenientes de terceiros países. Esta ferramenta permitirá estabelecer restrições quando existirem riscos de filtragem de informações empresariais sensíveis ou quando as jurisdições solicitantes não oferecerem garantias legais suficientes para assegurar sua proteção.
Com este conjunto de modificações, os Vinte e Sete buscam avançar em direção a um marco digital menos fragmentado e mais favorável ao desenvolvimento tecnológico europeu. No entanto, o equilíbrio entre a simplificação normativa, a competitividade da indústria e a proteção efetiva dos direitos fundamentais voltará a se situar no centro das negociações com a Eurocâmara, especialmente no que diz respeito ao uso de dados pessoais e categorias especiais de informação para o treinamento da inteligência artificial.