IA é compatível com o GDPR? O que vale na Alemanha e na União Europeia

A pergunta certa não é se uma ferramenta leva o rótulo de IA. No GDPR europeu — chamado DSGVO na Alemanha — o ponto central é outro: há tratamento de dados pessoais no desenvolvimento ou no uso do modelo? E, se há, esse tratamento tem uma avaliação jurídica consistente ?

O principal documento europeu para esse recorte é a Opinion 28/2024 do Comitê Europeu de Proteção de Dados, o EDPB, que trata de certos aspectos de proteção de dados ligados ao tratamento de dados pessoais no contexto de modelos de IA . Ela não cria uma autorização genérica para qualquer projeto de IA, mas também não representa uma proibição geral da tecnologia .

Resposta curta

Não dá para dizer, de forma séria, que IA é compatível com o GDPR em abstrato. Também não é correto afirmar que qualquer uso de IA é ilegal. O EDPB analisa modelos de IA como um contexto em que dados pessoais podem ser tratados — e é esse tratamento, em cada caso, que precisa ser justificado .

Em comunicado de 18 de dezembro de 2024, o EDPB resumiu três questões centrais da Opinion 28/2024: quando e como modelos de IA podem ser considerados anônimos; se e como o interesse legítimo pode servir como base legal para desenvolver ou usar modelos de IA; e o que acontece quando um modelo foi desenvolvido com dados pessoais tratados de forma ilícita .

Para quem pergunta especificamente sobre a Alemanha, a resposta, com base nesses documentos, não muda de natureza: não há um selo automático de conformidade por se tratar de IA. A análise precisa olhar para o tratamento concreto: quais dados pessoais estão envolvidos, com qual finalidade, em qual base legal e com que impacto para etapas posteriores .

O que a Opinion 28/2024 esclarece

A Opinion 28/2024 tem escopo delimitado: ela trata de certos aspectos de proteção de dados relacionados ao tratamento de dados pessoais no contexto de modelos de IA . Ou seja, não resolve todas as dúvidas jurídicas sobre inteligência artificial, mas foca em pontos relevantes do GDPR para desenvolvimento e uso desses modelos .

Na prática, isso muda a pergunta. O projeto não é avaliado apenas pelo nome da tecnologia, mas pelo que acontece com os dados pessoais. Os pontos mais sensíveis, segundo os materiais do EDPB, são anonimato, possível uso do interesse legítimo como base legal e consequências de uma eventual ilicitude na fase de desenvolvimento .

1. Um modelo de IA não é anônimo só porque os dados brutos não aparecem

Um erro comum é imaginar que, depois que os dados entram no treinamento, o modelo fica automaticamente anônimo. O EDPB aponta o contrário: a avaliação sobre se um modelo de IA é anônimo deve ser feita caso a caso pelas autoridades de proteção de dados .

Isso significa que não basta declarar que o modelo é anônimo. A conclusão precisa ser defensável diante das características concretas do modelo e das circunstâncias de uso .

A análise ganha ainda mais peso quando dados pessoais permanecem retidos no modelo. Material de webinar da ENISA sobre a Opinion 28/2024 descreve cenários em que dados pessoais retidos no modelo podem afetar a licitude de um tratamento posterior; nesses casos, a avaliação deve ser feita caso a caso .

2. Interesse legítimo pode ser possível, mas não é passe livre

A Opinion 28/2024 trata expressamente da pergunta sobre se e como o interesse legítimo pode ser usado como base legal para o desenvolvimento ou uso de modelos de IA . Isso é importante para empresas e órgãos que buscam uma base jurídica para seus projetos, mas não equivale a uma liberação automática.

O que se extrai dos materiais do EDPB é mais cauteloso: é preciso verificar se essa base legal sustenta o tratamento específico em análise . A existência de IA no projeto não cria uma exceção geral ao GDPR .

A avaliação fica ainda mais sensível quando etapas anteriores foram problemáticas. A apresentação da ENISA cita situações em que, se um tratamento posterior se apoia em interesse legítimo, uma ilicitude inicial precisa ser considerada nessa análise .

3. A origem dos dados de treinamento pode continuar importando

Outro ponto central da Opinion é o que acontece quando um modelo de IA foi desenvolvido com dados pessoais tratados de forma ilícita .

A consequência prática é simples de entender: uma origem de dados juridicamente problemática não desaparece automaticamente só porque, depois, o que se usa é um modelo e não a base de dados original. Se dados pessoais forem retidos no modelo, isso pode afetar a licitude de tratamentos posteriores, e a ENISA indica que a avaliação deve ser caso a caso .

Quando há mais de um participante no ciclo de vida do modelo, a divisão de responsabilidades também importa. A apresentação da ENISA diferencia cenários com o mesmo controlador e com controladores separados, e afirma que cada controlador deve assegurar a licitude do seu próprio tratamento .

Checklist de GDPR para projetos de IA

Esta lista não substitui uma análise jurídica específica. Ela serve como roteiro inicial para quem precisa avaliar um projeto de IA à luz dos pontos destacados pelo EDPB e pela ENISA.

1. Separe fase e finalidade

Defina se a análise trata de desenvolvimento, implantação, uso ou outro tratamento ligado ao modelo de IA. O comunicado do EDPB se refere ao uso de dados pessoais tanto para o desenvolvimento quanto para a implantação de modelos de IA .

2. Verifique onde há dados pessoais

Mapeie se dados pessoais são tratados e em quais etapas. A Opinion 28/2024 trata justamente do tratamento de dados pessoais no contexto de modelos de IA .

3. Prove o anonimato, não apenas afirme

Se a tese é que o modelo é anônimo, documente por que essa conclusão se sustenta no caso concreto. Segundo o EDPB, a avaliação sobre anonimato de modelos de IA deve ser feita caso a caso .

4. Teste a base legal com precisão

Se a base invocada for interesse legítimo, a pergunta não é se interesse legítimo existe em tese, mas se ele se aplica ao tratamento específico de desenvolvimento ou uso do modelo . A Opinion 28/2024 não cria uma exceção ampla para IA .

5. Considere o conteúdo do modelo e sua história

Avalie se dados pessoais permanecem no modelo e se os dados usados na fase de desenvolvimento foram tratados de forma lícita. Esses pontos podem influenciar tratamentos posteriores .

6. Deixe claras as responsabilidades

Quando diferentes partes desenvolvem, fornecem, integram ou usam o modelo, é importante separar quem responde por qual etapa de tratamento. A ENISA ressalta que cada controlador deve garantir a licitude do próprio tratamento .

Erros comuns no debate

O modelo é anônimo porque os dados brutos não aparecem. Não necessariamente. O EDPB indica que o anonimato de um modelo de IA deve ser avaliado caso a caso .

Interesse legítimo sempre resolve. Não. A Opinion 28/2024 discute se e como o interesse legítimo pode ser usado, mas isso não significa autorização automática para qualquer desenvolvimento ou uso de IA .

Depois que o modelo está treinado, a origem dos dados deixa de importar. Também não é essa a leitura dos documentos. A Opinion trata expressamente da hipótese de modelos desenvolvidos com dados pessoais tratados ilicitamente . Se dados pessoais permanecerem no modelo, isso pode afetar tratamentos posteriores .

Conclusão

Na Alemanha e na União Europeia, IA não é compatível com o GDPR só por ser IA. Mas também não é proibida só por usar técnicas de inteligência artificial. O ponto decisivo é o tratamento concreto de dados pessoais: anonimato, base legal, conteúdo do modelo, origem dos dados e efeitos sobre etapas posteriores .