Artigo 88c da UE não libera uso irrestrito de dados pessoais para treinar IA

A discussão sobre o Digital Omnibus da União Europeia (UE) costuma ser resumida como uma tentativa de permitir que empresas treinem IA com dados pessoais sem consentimento. Essa leitura é ampla demais.

A disposição em debate é o proposto Artigo 88c do GDPR — sigla em inglês para o Regulamento Geral sobre a Proteção de Dados da UE. O texto reconheceria expressamente o interesse legítimo, previsto no Artigo 6(1)(f) do GDPR, como uma possível base legal para processar dados pessoais quando isso for funcionalmente necessário ao projeto, desenvolvimento ou uso lícito de um sistema ou modelo de IA. Isso não elimina o GDPR, não valida automaticamente a raspagem de dados na web nem torna o consentimento irrelevante quando outra norma o exigir.13

Há ainda uma distinção decisiva: o Artigo 88c integra a proposta de Digital Omnibus sobre dados, não o Digital Omnibus sobre IA que já foi aprovado. A proposta de dados continua no processo legislativo europeu; portanto, seu texto e seu desfecho ainda não estão definidos.

O que o Artigo 88c poderia mudar

Pela redação proposta, um controlador de dados — ou um terceiro — poderia, em tese, invocar o interesse legítimo no processamento de dados pessoais ao longo do ciclo de vida de um sistema ou modelo de IA, desde que esse processamento fosse funcionalmente necessário para seu projeto, desenvolvimento ou uso lícito.3

Na prática, a mudança tornaria mais explícita, no contexto da IA, uma possibilidade que já pode existir sob o GDPR. O Comitê Europeu para a Proteção de Dados (EDPB, na sigla em inglês) já havia concluído que o interesse legítimo pode, em determinadas situações, ser uma base legal apropriada para desenvolver e implantar modelos ou sistemas de IA.45

Mas isso está longe de ser uma carta branca. Uma empresa não poderia apenas afirmar que seu interesse em construir um modelo de IA prevalece. Ela ainda teria de cumprir o teste usual do interesse legítimo, que inclui:

• identificar um interesse legítimo real;
• demonstrar que o processamento é necessário para esse interesse; e
• ponderar esse interesse diante dos direitos e das liberdades das pessoas cujos dados são tratados.15

Também continuariam valendo as normas europeias e nacionais que exigem consentimento. Assim, o Artigo 88c não seria uma autorização geral para coletar todo tipo de dado pessoal, público ou privado, para treinamento de modelos.1

Salvaguardas em discussão — e por que elas importam

O foco do debate não é apenas se o interesse legítimo pode ser usado, mas quais proteções precisam acompanhá-lo.

Entre as salvaguardas debatidas estão a minimização de dados na escolha das fontes e no treinamento, medidas técnicas e organizacionais de proteção, transparência efetiva e mecanismos que reconheçam objeções ou recusas em formato legível por máquina. A abordagem proposta também prevê um direito incondicional de oposição ao processamento relacionado à IA.13

Essas barreiras são determinantes na prática. A minimização de dados limita a alegação de que um desenvolvedor pode coletar tudo apenas porque isso talvez seja útil no futuro. A transparência permite que as pessoas entendam como seus dados são usados. E um direito real de oposição exige mais do que uma configuração escondida em algum menu.

Dados sensíveis não seriam liberados sem limites

Discussões no Conselho da UE sobre uma derrogação relacionada a dados sensíveis enfatizam uma hipótese mais restrita: o tratamento incidental e residual de dados de categorias especiais. Ou seja, o controlador não pretendia tratar esses dados, mas eles surgem de forma inevitável dentro da operação principal. Isso é diferente de coletar deliberadamente dados pessoais sensíveis como material de treinamento.2

Por que EDPB e EDPS fizeram ressalvas

O EDPB e a Autoridade Europeia para a Proteção de Dados (EDPS, na sigla em inglês) não contestaram que o interesse legítimo possa, às vezes, sustentar tratamento de dados ligado à IA. A objeção central foi que um Artigo 88c específico seria desnecessário, porque a análise atual do GDPR já permite essa conclusão nos casos adequados.45

A preocupação é jurídica e prática: uma regra nova e específica para IA poderia ser interpretada como algo além de um simples esclarecimento, gerando incerteza sobre proteções já consolidadas no GDPR. A posição dos reguladores é consultiva, não vinculante, mas tem peso no debate legislativo.5

O Artigo 88c foi “retomado”? O status segue indefinido

Os documentos legislativos disponíveis mostram que o trabalho no Conselho foi contestado. Uma votação planejada no COREPER — instância que prepara decisões do Conselho — sobre um mandato de negociação foi cancelada porque não houve acordo sobre questões em aberto. Depois disso, o trabalho continuou sob a Presidência irlandesa do Conselho.

O programa da Presidência irlandesa estabelece como objetivo chegar a um acordo com o Parlamento Europeu sobre o pacote Digital Omnibus até o fim de 2026. No entanto, o material oficial fornecido não comprova de forma independente que o Artigo 88c tenha sido definitivamente restaurado em uma posição final do Conselho.

A descrição mais segura, portanto, é: o Artigo 88c permanece politicamente contestado e negociável. Ele ainda não pode ser tratado como uma base legal vinculante que empresas possam usar no lugar das exigências já existentes do GDPR.

Não confunda os dois pacotes Digital Omnibus

Parte da confusão vem de outra medida: o Digital Omnibus sobre IA, já aprovado como o Regulamento (UE) 2026/1744.

Essa norma altera o calendário de implementação de partes do AI Act, a legislação europeia de inteligência artificial. Em particular, as obrigações para sistemas independentes de alto risco listados no Anexo III passam a valer em 2 de dezembro de 2027. Sistemas de alto risco incorporados a produtos regulados têm um cronograma posterior.1920

Quando essas exigências do Anexo III entrarem em vigor, elas incluirão avaliação e mitigação de riscos, conjuntos de dados de alta qualidade voltados a reduzir resultados discriminatórios, registros e rastreabilidade, documentação, informações aos responsáveis pelo uso dos sistemas, supervisão humana, robustez e cibersegurança.20

Essas obrigações do AI Act são separadas da pergunta do GDPR sobre quando dados pessoais podem ser processados para treinamento de IA. Adiar regras sobre IA de alto risco não significa aprovar o Artigo 88c.

O que isso significa para empresas e titulares dos dados

Para desenvolvedores, o Artigo 88c poderia oferecer mais clareza no texto da lei, mas não um atalho de conformidade. Uma estratégia defensável ainda exigiria avaliação documentada de necessidade e ponderação de interesses, minimização de dados, informações transparentes e processos operacionais para atender a objeções.

Para as pessoas cujos dados possam ser usados, o ponto central é se a lei final preservará limites concretos: se o uso dos dados será de fato necessário, se os dados sensíveis continuarão sujeitos a restrições estreitas e se as objeções funcionarão tecnicamente, em vez de serem apenas simbólicas.

A direção geral não é a de que a Europa abandonou a regulação preventiva de IA. O Omnibus sobre IA já aprovado adiou algumas obrigações de alto risco, enquanto a proposta separada sobre dados explora uma via mais explícita para certos tratamentos ligados à IA. O equilíbrio final dependerá das negociações entre Conselho e Parlamento Europeu e de como um eventual texto aprovado será interpretado e aplicado.19