Ganhos:
- Avaliar se o uso de IA requer DPIA
- Aplicando o processo DPIA de sete etapas a um projeto de IA
- Priorize os riscos com uma matriz de probabilidade-impacto e projete medidas de mitigação
Algumas utilizações da IA representam sérios riscos para os indivíduos: monitorização em grande escala, processamento de dados sensíveis, decisões automatizadas. Nesses projetos, tanto o KVKK/GDPR como a Lei da UE sobre IA esperam uma avaliação de risco estruturada antes do início dos trabalhos. O nome desta avaliação é Avaliação de Impacto na Proteção de Dados (DPIA). Nesta unidade aprenderemos como saber se um uso requer DPIA, como aplicar o processo de sete etapas de DPIA a um projeto de IA e como priorizar riscos com uma matriz de probabilidade-impacto.
O que é DPIA e quando é necessário?
A Avaliação de Impacto na Proteção de Dados (DPIA) é uma análise estruturada que avalia antecipadamente os riscos de uma atividade de tratamento sobre os direitos e liberdades dos indivíduos e determina medidas de mitigação. O ponto crítico: a DPIA é feita na fase de projeto, antes do início do processamento – e não depois que o problema ocorre.
A DPIA geralmente é necessária quando:
- Uso de novas tecnologias (geralmente inclui IA).
- Processamento de dados pessoais em grande escala.
- Monitoramento sistemático ou criação de perfil.
- Processamento especial de dados.
- Decisões automatizadas que impactam significativamente as pessoas.
Dica: Se você não tiver certeza, faça uma “triagem”: se dois ou mais dos cinco acima estiverem presentes, o padrão é fazer DPIA. O custo da realização da DPIA é baixo; O custo de não o fazer é muito elevado numa única violação.
Processo DPIA em sete etapas
Você aplica DPIA a um projeto de IA nestas sete etapas:
passo
O que você faz?
1. Descrição
Descreva o processamento: quais dados, finalidade, escopo, fluxo
2. Necessidade e proporcionalidade
A IA é realmente necessária? Existe uma maneira menos intrusiva?
3. Opinião das partes interessadas
Obtenha a opinião de pessoas/representantes relevantes
4. Identificação de riscos
Liste possíveis danos aos indivíduos
5. Avaliação de risco
Pontue cada risco por probabilidade e impacto
6. Medidas de mitigação
Projetar precauções para cada risco, identificar riscos residuais
7. Aprovação e revisão
Documente o resultado, envie para aprovação, atualize periodicamente
Priorizando o risco: matriz de probabilidade-impacto
Você avalia cada risco em duas dimensões: a probabilidade de acontecer e o impacto caso aconteça. A combinação dos dois dá prioridade.
<w:tcPr><w:tcW w:type="dxa" w:w="2160"/></w:tcPr><w:p><w:r><w:rPr><w:b/></w:rPr><w:t>Baixo impacto
efeito médio
alto impacto
alta probabilidade
médio
alto
crítico
probabilidade média
baixo
médio
alto
baixa probabilidade
baixo
baixo
médio
Riscos críticos e altos são riscos para os quais o projeto não deve ser continuado sem tomar precauções. O objectivo não é eliminar todos os riscos; é reduzir cada risco a um nível aceitável e aceitar conscientemente o risco restante (residual).
três mini cases
Caso 1 — DPIA omitida. Uma rede de varejo implementa um sistema que rastreia o comportamento do cliente na loja com IA, sem DPIA. Meses depois, uma denúncia revela que o sistema fez inferências específicas (saúde, previsão de gravidez). Não há resposta à pergunta “por que você não fez DPIA” na auditoria. Uma AIPD desde o início teria detectado este risco na fase de concepção e tornado o projecto seguro.
Caso 2 — Projeto resgatado pela DPIA. A DPIA é feita para IA de apoio ao recrutamento em um banco. Durante a fase de identificação dos riscos, o risco de preconceito de género devido aos dados históricos revela-se “elevado”. Como forma de atenuação, a equipa remove informações de género do modelo, atribui o resultado a testes regulares de preconceito e exige validação humana. Agora o risco cai para “moderado” e o projeto torna-se aceitável. A DPIA torna o projeto seguro em vez de matá-lo.
Caso 3 — Teste de proporcionalidade. Uma empresa deseja verificar os e-mails dos funcionários para “análise de lealdade” com IA. Na etapa de necessidade/proporcionalidade da DPIA isto é considerado excessivamente intrusivo em relação à finalidade; Existem alternativas menos intrusivas. O projeto não está aprovado na sua forma atual. O teste de proporcionalidade distingue entre “podemos” e “devemos”.
Atenção: A DPIA não é um formulário que é preenchido uma vez e deixado de lado. Ao processar alterações (novos dados, nova finalidade, nova ferramenta) a DPIA deve ser atualizada. Uma DPIA morta é mais enganosa do que nenhuma DPIA porque dá uma falsa confiança.
Quem faz a DPIA e o relacionamento do registro de risco com a DPIA
Uma única pessoa não pode preencher a DPIA na sua mesa; A DPIA correta é um esforço de equipe. Normalmente, o responsável pela proteção de dados executa o processo (Doer), o gestor de conformidade é o responsável final (Accountable), a unidade de negócios relevante descreve o processamento, avalia as medidas técnicas de TI/segurança e confirma a base jurídica. A obtenção das opiniões de pessoas relevantes (terceira etapa) não deve ser negligenciada; No entanto, esta é a etapa mais ignorada na prática.
Os resultados da DPIA não ficam no vazio: os riscos identificados são registados no registo de riscos da organização. O registro de riscos é um gráfico ao vivo que captura todos os riscos abertos, suas prioridades, mitigações, culpados e datas da última revisão. Desta forma, os riscos de um projeto de IA falam a mesma linguagem da gestão geral de riscos da organização e são monitorados regularmente.
Área de registro de riscos
exemplo
Definição de risco
Viés de gênero na IA de recrutamento
prioridade
alto
Medida de mitigação
Extração de variável substituta + teste de viés
Responsável
Oficial de proteção de dados
revisão
a cada 3 meses
Dica: Trate a DPIA com uma mentalidade de “registrar e rastrear riscos”, e não com uma abordagem de “fazer e esquecer”. Se uma mitigação de risco tiver sido implementada, o risco residual está em um nível aceitável — sem um registro destes, a DPIA se torna um documento de janela.
Modelos copiáveis
MODELO 1 — Pré-seleção de DPIA: "A DPIA é necessária para este uso de IA? [descrever o uso]. Avaliar em relação a cinco gatilhos: nova tecnologia, processamento em grande escala, monitoramento sistemático, dados confidenciais, tomada de decisão automatizada significativa. Quantos gatilhos existem, você recomenda DPIA, com justificativa."
MODELO 2 — Brainstorming de identificação de riscos: "Liste os possíveis danos às pessoas neste projeto de IA [descreva o projeto]: vazamento de dados, discriminação, erro de julgamento, invasão de privacidade, falta de transparência, desvio de propósito. Escreva um cenário de uma frase para cada dano. Apenas detecte, mas não neutralize."
MODELO 3 — Pontuação de probabilidade de impacto: "Classifique os seguintes riscos [liste os riscos] como probabilidade (baixa/média/alta) e impacto (baixa/média/alta); a prioridade (baixa/média/alta/crítica) aparece em cada linha. Liste o crítico e o alto no topo. Presente em formato de tabela."
MODELO 4 — Desenho de mitigação: "Para o risco seguinte [escrever o risco], proponha pelo menos 3 medidas de mitigação (técnicas, de processo, organizacionais). Estime o nível de 'risco residual' após cada medida. Se o risco ainda for alto após a medida, indique que o projeto deve ser redesenhado."
Alerta fraco / Alerta forte
FRACO: “Este projeto de IA é arriscado?” -> O modelo dá uma resposta vaga de ‘talvez’; não classifica riscos, não prioriza riscos, não produz medidas. FORTE: "Realizar uma mini DPIA para o seguinte projeto de IA: (1) descrever o processamento, (2) avaliar a necessidade de DPIA com 5 gatilhos, (3) listar 6 possíveis danos às pessoas, (4) pontuar cada um por impacto de probabilidade, (5) recomendar mitigação para riscos críticos/altos. Tomar decisões legais definitivas; produzir um rascunho que irá para aprovação legal."-> O modelo produz um rascunho de um DPIA estruturada e acionável.
Erros comuns
- Fazer a DPIA após o início da transação (ou mesmo após a ocorrência do problema).
- Ignorar o processamento de alto risco que exige DPIA “não é grande coisa”.
- Não listar riscos e priorizá-los por probabilidade e impacto.
- Considerar a DPIA “completa” sem produzir medidas para todos os riscos.
- Ignorando a etapa da necessidade/proporcionalidade e dizendo “nós podemos fazer isso, então vamos fazer”.
- Preencher a DPIA uma vez e não atualizá-la quando o processo muda.
- Aprovar o projeto sem documentar claramente o risco residual (remanescente).
Em resumo
- A DPIA é uma análise estruturada que avalia o impacto de um processamento de alto risco nos indivíduos antes de ser iniciado.
- A DPIA é necessária se existirem novas tecnologias, processamento em grande escala, monitorização sistemática, dados sensíveis ou tomadas de decisão automatizadas significativas.
- O processo consiste em sete etapas: identificação, necessidade/proporcionalidade, opinião das partes interessadas, identificação de riscos, avaliação, ação, aprovação/revisão.
- Os riscos são priorizados com uma matriz de probabilidade-impacto; Riscos críticos/altos não são aceitos sem precauções.
- A DPIA não mata o projeto, ela o torna seguro; É um documento vivo que deve ser atualizado à medida que o processamento muda.
Tarefa de aplicativo
Escolha um uso de IA que sua organização possa usar e que possa ser de alto risco (por exemplo, suporte de recrutamento, rastreamento comportamental ou pontuação de crédito). Primeiro considere se a DPIA é necessária com cinco gatilhos. Em seguida, realize uma mini DPIA para este uso: descreva o processamento, liste pelo menos seis possíveis danos aos indivíduos, classifique cada um deles na matriz de probabilidade-impacto e atribua prioridade. Projete três medidas de mitigação para dois riscos críticos e altos e estime o nível de risco residual após a medida. Por fim, anote quando esta DPIA precisará ser atualizada.
lista de verificação
- [ ] Avaliei o requisito de DPIA com cinco gatilhos.
- [ ] Defini o processamento (dados, finalidade, escopo, fluxo).
- [ ] Questionei a necessidade e a proporcionalidade.
- [] Listei os possíveis danos aos indivíduos.
- [ ] Priorizei os riscos na matriz de probabilidade-impacto.
- [ ] Projetei medidas de mitigação para riscos críticos/altos.
- [ ] Documentei agora o risco e defini as condições de revisão.