Inteligência artificial explicável: necessidade ou obrigação?

O progresso dos sistemas de inteligência artificial assenta nos dados, que constituem o elemento essencial para a sua operacionalidade e correto desempenho. No entanto, o que acontece quando esses dados são pessoais? Está a legislação preparada para nos proteger perante sistemas que aprendem, predizem e inferem?

Neste sentido, devemos estar conscientes de quais dados são utilizados e em que fase do desenvolvimento da IA. Atualmente, qualquer sistema de IA necessita de grandes volumes de dados para se treinar e operar. A utilização de dados pessoais obriga ao seu tratamento em conformidade com o Regulamento Geral sobre a Proteção de Dados (RGPD), diretamente aplicável em Portugal, bem como com a Lei n.º 58/2019, de 8 de agosto, que assegura a sua execução no ordenamento jurídico nacional, nomeadamente no que respeita à transparência, à minimização dos dados, ao consentimento informado e à proteção contra decisões automatizadas.

O problema reside no facto de o RGPD ter sido aprovado em 2016, numa altura em que a inteligência artificial ainda dava os primeiros passos. O resultado? O RGPD não foi concebido a pensar na IA. Por outro lado, o novo Regulamento da Inteligência Artificial (RIA) da União Europeia (Regulamento (UE) 2024/1689), que se centra em regular os usos de alto risco desta tecnologia, também não aborda integralmente o tratamento de dados pessoais.

Neste contexto, e face a esta lacuna normativa que impede uma resposta coerente aos desafios colocados pelo uso de dados pessoais em sistemas de IA, caberá aos tribunais interpretar de forma articulada o RGPD (e a sua lei de execução em Portugal) e o AI Act, procurando uma leitura conjunta.

E o que acontece com as administrações públicas? As administrações públicas estão a incorporar a IA nos seus processos para «classificar» cidadãos segundo um possível nível de vulnerabilidade, detetar fraudes, gerir apoios, ou até prever comportamentos tributários. Isto pode trazer grande eficiência à gestão administrativa diária, mas também levanta uma série de riscos muito reais.

A título de exemplo, numa concessão de apoios sociais, durante a fase de conceção ou treino de um sistema de IA (que antecede a fase de implementação), o algoritmo aprendeu que quem nunca tinha solicitado apoios «não precisava deles». O resultado: pessoas em situação de vulnerabilidade, mas sem «histórico» de pedidos, foram excluídas. Perante esta situação, surge a questão: onde está o erro? A resposta está na inferência. E é aí que nasce o preconceito. Que implicações têm as inferências sobre os direitos dos cidadãos?

A inferência é a conclusão a que chega o sistema de IA; o preconceito é a distorção que a altera

Inferências vs. Preconceito

Uma inferência é uma conclusão gerada pelo sistema: por exemplo, «esta pessoa não precisa de intervenção urgente».

O preconceito, por sua vez, ocorre quando essa conclusão é afetada injustamente por dados incompletos, incorretos ou discriminatórios. Como quando se assume que uma pessoa jovem sem filhos não está em risco social, ignorando que pode estar a dormir na rua. A IA não é neutra: aprende o que lhe ensinamos. E muitas vezes, ensinamos os nossos próprios preconceitos.

Duas fases, dois níveis de risco…

Neste sentido, o tratamento de dados pessoais em sistemas de IA pode dividir-se em dois momentos-chave:

• Fase de conceção, ou seja, quando o modelo é treinado. É nesta fase que se geram padrões, regras …a partir dos dados. Aqui o risco de preconceito é maior, porque é quando se «modela» o comportamento do sistema.
• Fase de implementação, quando o sistema já opera com dados reais. Neste caso, as inferências afetam diretamente as pessoas e têm consequências imediatas: como a recusa de um apoio, aumento de um controlo, …

Em ambas as fases, o uso de dados pessoais deve cumprir rigorosamente o RGPD e a Lei nº 58/2019, respeitando obrigações como o dever de informar, a necessidade de consentimento, a avaliação de impacto e, sobretudo, a intervenção humana em decisões importantes.

E se estas obrigações não forem cumpridas? É aqui que entra o artigo 22.º do RGPD, que regula o risco de decisões automatizadas sem controlo. Este artigo reconhece que qualquer pessoa tem direito a não ser objeto de decisões baseadas exclusivamente no tratamento automatizado de dados, incluindo a elaboração de perfis, que produzam efeitos jurídicos ou que a afetem de forma significativa.

Rumo a um novo direito digital?

No contexto que temos vindo a analisar, o enquadramento normativo provém do legislador europeu (RIA e RGPD) e, em Portugal, da respetiva lei de execução (Lei nº 58/2019). Embora ambos os textos legislativos operem em planos distintos, a aplicação conjunta de ambos os regulamentos é essencial no desenho de qualquer sistema de IA e, ainda mais, no seu desenvolvimento e implementação futura.

Nos últimos meses, temos observado como o Tribunal de Justiça da União Europeia (TJUE) se tem vindo a pronunciar em diferentes casos, assumindo o papel de interpretar e articular a regulamentação da IA com a da proteção de dados.

Começa, portanto, a vislumbrar-se um novo direito emergente, o direito de compreender como e por que razão se tomam as decisões automatizadas que afetam a nossa vida. Trata-se de um direito derivado do artigo 15.º do RGPD (direito de acesso), mas com uma ambição maior: assegurar que possamos exercer os nossos demais direitos porque entendemos o funcionamento do sistema.

Neste contexto, o direito de acesso em matéria de proteção de dados (artigo 15.º do RGPD) funciona como uma garantia para as pessoas, sendo frequentemente exercido tanto perante a CNPD (Comissão Nacional de Proteção de Dados) como perante os tribunais e constituindo, além disso, uma obrigação dos responsáveis pelo tratamento de dados pessoais. Destaca-se, neste âmbito, a recente decisão do Tribunal de Justiça da União Europeia de 27 de fevereiro de 2025 (proc. C‑203/22), na qual o TJUE interpreta o artigo 15.º, n.º 1, alínea h), no sentido de que, quando uma pessoa seja alvo de uma decisão automatizada — como a elaboração de perfis prevista no artigo 22.º, n.º 1, do RGPD —, tem o direito de receber do responsável pelo tratamento uma explicação clara, acessível e compreensível sobre o procedimento e os princípios aplicados nesse tratamento automatizado dos seus dados pessoais.

A aplicação do direito à explicação em matéria de proteção de dados centra-se na obrigação do responsável pelo tratamento de fornecer ao titular informação clara e compreensível, garantindo-lhe assim a possibilidade de exercer outros direitos. A sua aplicação aos sistemas e tecnologias de IA permite reforçar a transparência e a responsabilização nestes casos de automatização ou utilização de algoritmos.

Estes algoritmos constituem a base da tecnologia de IA, pelo que é essencial fortalecer a transparência do seu uso. Contudo, devido à própria natureza desta tecnologia, muitas vezes é difícil mostrar aos utilizadores como se chegou a determinada decisão. Com frequência, estes sistemas funcionam como «caixas negras», cuja lógica interna é difícil de interpretar. Ainda assim, é fundamental poder identificar o processo que conduziu a uma decisão, especialmente quando esta afeta os direitos das pessoas.

A transparência é um princípio fundamental, e alcançá-la em decisões tomadas por sistemas de IA constitui um grande desafio

Para saber mais sobre este tema, é possível consultar a Secção de Administração Eletrónica da Plataforma Corporativa de esPublico: um espaço de conteúdo especializado que apoia as entidades locais na utilização dos meios eletrónicos e no processo de transformação digital.

Esta secção disponibiliza diversos recursos explicativos, incluindo guias didáticos, infografias interativas, vídeo-tutoriais, dicionário de terminologia digital, entre outros.

Pode aceder à Secção de Administração Eletrónica de esPublico clicando aqui.