Inteligência artificial explicável, necessidade ou obrigação?

O progresso dos sistemas de inteligência artificial assenta nos dados, já que constituem o elemento essencial que permite a sua operacionalidade e correto desempenho. No entanto, o que acontece quando esses dados são pessoais? Está a legislação preparada para nos proteger perante sistemas que aprendem, predizem e inferem?

Neste sentido, devemos estar conscientes de que dados e em que momento do seu desenvolvimento a IA os utiliza. Atualmente, qualquer sistema de IA necessita de grandes volumes de dados para se treinar e operar. A utilização desta informação de carácter pessoal exige garantir o seu tratamento em conformidade com os princípios do Regulamento Geral sobre a Proteção de Dados (RGPD), diretamente aplicável em Portugal, e da Lei nº 58/2019, de 8 de agosto, que assegura a sua execução no ordenamento jurídico nacional; entre esses princípios destacam-se a transparência, a minimização, o consentimento informado e a proteção contra decisões automatizadas.

O problema reside no facto de o RGPD ter sido aprovado em 2016, numa altura em que a inteligência artificial mal começava a despontar. O resultado? O RGPD não foi concebido a pensar na IA. Por outro lado, o novo Regulamento da Inteligência Artificial (RIA) da União Europeia (Regulamento (UE) 2024/1689, que se centra em regular os usos de alto risco desta tecnologia, também não cobre integralmente o tratamento de dados pessoais.

Neste contexto, perante a falta de ligação normativa que impede uma resposta coesa aos desafios colocados pela utilização de dados pessoais em sistemas de IA, os tribunais terão de interpretar ambos os regulamentos — RGPD (e sua lei de execução em Portugal) e AI Act — conectando-os entre si e chegando a uma interpretação conjunta.

E o que acontece com as administrações públicas? As administrações públicas estão a incorporar a IA nos seus processos para «classificar» cidadãos segundo um possível nível de vulnerabilidade, detetar fraudes, gerir apoios, ou até prever comportamentos tributários. Isto pode trazer grande eficiência à gestão administrativa diária, mas também levanta uma série de riscos muito reais.

A título de exemplo, numa concessão de apoios sociais, durante a fase de conceção ou treino de um sistema de IA (que antecede a fase de implementação), o algoritmo aprendeu que aqueles que não tinham solicitado apoios anteriormente «não precisavam deles». O resultado: pessoas em situação de vulnerabilidade, mas sem «histórico» de pedidos, foram excluídas. Perante esta situação, é possível questionar: onde está o erro? A chave encontra-se na inferência. E é aí que nasce o enviesamento. Que implicações têm as inferências sobre os direitos dos cidadãos?

A inferência é o resultado ou conclusão a que chega o sistema de IA; o enviesamento, a distorção que a desvirtua

Inferências vs. Enviesamentos

Uma inferência é uma conclusão gerada pelo sistema: por exemplo, «esta pessoa não precisa de intervenção urgente».

 Um enviesamento, por outro lado, ocorre quando essa inferência é injustamente afetada por dados incompletos, erróneos ou discriminatórios. Como quando se assume que uma pessoa jovem sem filhos não pode estar em risco social, ignorando que talvez durma na rua. A IA não é neutra: aprende o que lhe ensinamos. E muitas vezes, ensinamos-lhe os nossos próprios preconceitos.

Duas fases, dois níveis de risco…

Neste sentido, o tratamento de dados pessoais em sistemas de IA pode dividir-se em dois momentos-chave:

• Fase de conceção, ou seja, quando o modelo é treinado. Nesta fase, geram-se padrões, regras… a partir de dados. É onde o enviesamento pode ser mais perigoso, pois é quando se «modela» o comportamento do sistema.
• Fase de implementação, onde o sistema já opera com dados reais. Neste caso, as inferências afetam diretamente as pessoas e, consequentemente, os efeitos são imediatos: recusa-se um apoio, intensifica-se um controlo, …

Em ambos os casos, a utilização de dados pessoais deve cumprir estritamente o RGPD e a Lei nº 58/2019, que implica obrigações como o dever de informar, a necessidade de consentimento, a avaliação de impacto e, sobretudo, a intervenção humana em decisões importantes.

E se estas obrigações não forem cumpridas? Aí entra em jogo o artigo 22 do RGPD, que regula o risco da automatização sem controlo. Este preceito reconhece que qualquer pessoa tem direito a não ser objeto de decisões baseadas unicamente no tratamento automatizado de dados, incluindo a elaboração de perfis, que produzam efeitos jurídicos ou que a afetem significativamente.

Rumo a um novo direito digital?

Neste contexto que vimos analisando, o enquadramento normativo provém do legislador europeu ((AI Act e RGPD) e, no caso de Portugal, da sua lei de execução (Lei nº 58/2019). Embora ambos os textos legislativos operem em planos distintos, a observância conjunta de ambos os regulamentos revela-se essencial no desenho de qualquer ambiente de IA e, ainda mais, no seu desenvolvimento e implementação futura.

Nos últimos meses, temos vindo a observar como o Tribunal de Justiça da União Europeia (TJUE) se tem vindo a pronunciar em diferentes casos, encarregando-se assim de interpretar e ligar a regulamentação da IA com a da proteção de dados.

Começa, portanto, a vislumbrar-se um incipiente novo direito a compreender como e por que razão se tomam as decisões automatizadas que afetam a nossa vida. Um direito derivado do artigo 15 do RGPD (direito de acesso), mas com uma perspetiva mais ambiciosa: garantir que possamos exercer os restantes direitos porque entendemos como funciona o sistema.

Neste sentido, o direito de acesso em matéria de proteção de dados (artigo 15 do RGPD) é uma garantia para as pessoas, sendo frequentemente exercido tanto perante a CNPD (Comissão Nacional de Proteção de Dados) como perante os tribunais e constituindo, além disso, uma obrigação dos responsáveis pelo tratamento de dados pessoais. Reveste especial interesse o recente Acórdão do Tribunal de Justiça da União Europeia de 27 de fevereiro de 2025 (Proc. C-203/22), onde o TJUE interpreta o referido artigo 15.º, n.º 1, alínea h), no sentido de que, quando uma pessoa seja objeto de uma decisão automatizada —como a elaboração de perfis segundo o artigo 22.º, n.º 1 do RGPD—, tem direito a receber do responsável pelo tratamento uma explicação clara, acessível e compreensível sobre o procedimento e os princípios aplicados nesse tratamento automatizado dos seus dados pessoais.

Esta aplicação do direito à explicação em matéria de proteção de dados centra-se na obrigação do responsável pelo tratamento de fornecer informação concisa e inteligível ao titular dos dados, garantindo assim a possibilidade de este exercer outros direitos. A sua aplicação aos sistemas e tecnologias de IA permite assistir a um reforço da transparência e da responsabilidade nestes casos de automatização ou utilização de algoritmos.

Estes algoritmos são a base da tecnologia de IA e é fundamental reforçar a transparência da sua utilização. No entanto, devido à própria natureza desta tecnologia, muitas vezes é difícil mostrar aos utilizadores a forma como se chegou a determinada decisão. Frequentemente, estes sistemas operam como «caixas negras», cuja lógica interna é difícil de interpretar. Contudo, é importante poder identificar o processo que levou a uma decisão, especialmente quando esta afeta os direitos das pessoas.

A transparência é um princípio-chave; alcançá-la perante decisões tomadas por sistemas de IA representa um grande desafio

Pode ampliar a informação sobre este tema acedendo à Secção de Administração Eletrónica da Plataforma Corporativa da esPublico: um espaço de conteúdo especializado dedicado a facilitar a adaptação das entidades locais à sua atuação por meios eletrónicos, bem como a apoiar o processo de transformação digital.

A Secção oferece numerosos recursos explicativos, entre outros, guias didáticos, infografias interativas, vídeo-tutoriais, dicionário de terminologia digital, etc.

Pode aceder à Secção de Administração Eletrónica da esPublico, clicando   aqui.