Ganhos:
- Distinguir seis bases jurídicas para processamento de dados com IA e escolher a mais adequada
- Avaliando as condições do consentimento explícito e as desvantagens de confiar no consentimento
- Elaboração de um white paper cobrindo o uso de IA
Na unidade anterior, dissemos: “Inserir dados na IA é um processamento e requer uma base legal válida”. Então, qual é esta base jurídica e como é escolhida? O erro mais comum que os responsáveis pela conformidade cometem é tentar resolver tudo com “consentimento explícito”. Contudo, o consentimento é muitas vezes a base mais fraca e frágil. Nesta unidade conheceremos a base jurídica oferecida pela KVKK, escolhendo a mais adequada entre elas, a obrigação de informar e o real lugar do consentimento explícito no contexto do uso da IA.
Qual é a base jurídica?
A base legal (condição para o tratamento) é a justificação que torna lícito o tratamento dos dados pessoais. De acordo com a KVKK, os dados pessoais são geralmente processados com consentimento explícito; No entanto, a lei enumera seis exceções para as quais não é necessário consentimento expresso. Uma transação deve basear-se em pelo menos uma dessas bases. O processamento sem justificativa é ilegal.
Base jurídica
brevemente
Exemplo de uso de IA
Não está claramente previsto na lei
Se exigido pela legislação
Registro que é legalmente obrigado a ser mantido
Execução do contrato
Se for obrigatório para o contrato
Preparando o resumo do pedido para o cliente com IA
obrigação legal
Pelo dever legal da instituição
Produção de registros fiscais/auditoria
divulgação
Se a própria pessoa tornou os dados públicos
Analisando a escrita pública de alguém
interesse legítimo
Sem prejudicar a pessoa em questão
Análise temática de textos de reclamação com IA
Estabelecimento/proteção de um direito
Para ação judicial/defesa de direito
Resumindo o arquivo de disputa com AI
Consentimento explícito
Consentimento livre e informado do indivíduo
Se nenhuma das opções acima se aplicar
Atenção: O consentimento explícito está no final da lista porque é a base mais frágil: uma pessoa pode retirar-se a qualquer momento e, uma vez retirado, o processamento deve ser interrompido. Se possível, uma das outras bases (em particular a execução do contrato ou o interesse legítimo) é avaliada primeiro.
Equilíbrio de interesses legítimos
O interesse legítimo é uma base flexível que pode ser utilizada se a instituição tiver um interesse razoável e esse interesse não prejudicar os direitos e liberdades da pessoa em causa. Mas exige um teste de equilíbrio: prevalece o interesse da instituição ou o direito do indivíduo? No uso da IA, este teste é feito assim:
- O interesse é real e legítimo? (Por exemplo, resolver reclamações rapidamente.)
- O uso de IA é necessário para esse benefício? Existe uma maneira menos intrusiva?
- Os direitos da pessoa são violados? Se houver dados confidenciais, criação de perfil ou uso inesperado, a balança muda a favor do indivíduo.
Não se pode confiar no interesse legítimo se a balança pesar a favor do indivíduo; é necessária outra base (geralmente consentimento explícito) ou cancelamento do processamento.
três mini cases
Caso 1 — Armadilha do consentimento. Uma equipe de RH coleta “consentimento explícito” dos funcionários para analisar as classificações de desempenho dos funcionários com IA. Contudo, existe um desequilíbrio de poder entre empregado e empregador; O resultado de dizer “não” é incerto, portanto o consentimento pode não ser considerado livre. A forma correta: basear este tratamento não no consentimento, mas em interesses legítimos decorrentes da relação comercial ou do contrato, e documentar o teste de equilíbrio.
Caso 2 — Base correta, consentimento desnecessário. Uma empresa de comércio eletrônico gera extratos de fatura com IA ao preparar o pedido. Este tratamento insere-se diretamente no âmbito da execução do contrato; Não há necessidade de obter consentimento adicional. A equipe adiciona uma caixa de consentimento desnecessária e o cliente abandona a transação. Escolher a base certa melhora tanto a lei quanto a experiência do cliente.
Caso 3 — O teste de equilíbrio é a favor da pessoa. Uma empresa quer “analisar a personalidade” e pontuar os perfis de mídia social dos candidatos com IA. Este é um procedimento que o candidato não espera e que toca profundamente a sua privacidade; O teste de equilíbrio termina claramente a favor. O interesse legítimo não pode ser utilizado; A empresa abandona essa prática.
Quatro condições para consentimento expresso válido
Se o consentimento explícito for verdadeiramente necessário, deve satisfazer todas as quatro condições para ser válido; Se faltar um, o consentimento é legalmente inválido:
- Em relação a um assunto específico: O consentimento geral como “Consinto com qualquer processamento” é inválido; O consentimento deve ser específico para fins individuais.
- Baseado em informações: A pessoa deve saber claramente com o que está consentindo (quais dados, qual finalidade, qual IA, transferência para o exterior).
- Explicado pelo livre arbítrio: O consentimento não é considerado livre se houver pressão, imposição ou condição de “não atendimento se não consentir”.
- Revogável: A pessoa deve poder retirar o seu consentimento a qualquer momento e o tratamento deve parar quando ela o retirar.
No contexto da IA, a condição mais frequentemente violada é a última: a pessoa não é informada de que os seus dados serão introduzidos numa IA e possivelmente processados no estrangeiro. Esta omissão pode invalidar até mesmo um consentimento que tecnicamente pareça ter sido obtido.
Cuidado: Tornar o consentimento um pré-requisito para um serviço ("aceite ou não poderá continuar") invalida o consentimento na maioria dos casos. O consentimento deve ser uma escolha onde a pessoa pode realmente dizer “não”; Caso contrário, é necessário procurar outra base jurídica.
Obrigação de informar
Independentemente da base jurídica, a KVKK impõe a obrigação de informar: deve ser explicado claramente ao titular dos dados quem é, com que finalidade e com que base trata os dados, para quem os transfere e quais são os seus direitos. Quando a IA entra em jogo, o texto de divulgação também deve ser atualizado – em particular, as frases “seus dados podem ser analisados por sistemas automatizados/inteligência artificial” e “podem ser transferidos para servidores no exterior” devem ser adicionadas.
Dica: “Uma pessoa pode ler o texto de esclarecimento em 2 minutos e entender o que é?” passar no teste. Declarar a utilização da IA numa frase simples, em vez de ocultá-la, é simultaneamente uma obrigação legal e uma construção de confiança.
Modelos copiáveis
MODELO 1 - Seleção da base jurídica: "Realizarei o seguinte tratamento: [descrever o tratamento]. Listar quais das 6 bases jurídicas do KVKK podem ser ADEQUADAS e quais NÃO o são, com justificação. Considerar o consentimento explícito apenas como último recurso. Tomada de decisão jurídica final; listar as opções a submeter para aprovação legal."
MODELO 2 — Teste de equilíbrio de interesses legítimos: "Elabore o teste de equilíbrio de interesses legítimos para o seguinte uso de IA: [descreva o uso]. Três títulos: (1) o interesse da organização é genuíno, (2) existem alternativas menos intrusivas, (3) os direitos do indivíduo são prejudicados? Escreva argumentos pró/contra separados sob cada título."
MODELO 3 — Adição de IA ao texto de esclarecimento: "Sugerir um parágrafo que reflita o uso de IA em nosso texto de esclarecimento atual. Declarar em linguagem simples: que os dados podem ser analisados por sistemas automáticos/de IA, a possibilidade de transferência para o exterior, que o controle humano é preservado e o direito de oposição do titular dos dados. Máximo de 120 palavras."
MODELO 4 - Verificação da exigência de consentimento: "Avalie esses 5 processos um por um e indique para cada um se 'o consentimento explícito é NECESSÁRIO' ou 'outra base é suficiente': [Liste 5 processos]. Lembre cada linha da desvantagem da coleta desnecessária de consentimento."
Alerta fraco / Alerta forte
FRACO: “Escreva um texto de consentimento para este processamento de dados.”-> Talvez prenda a instituição a um consentimento desnecessário ou inválido, sem questionar se o consentimento é a base correta. FORTE: "Primeiro avalie qual base legal é apropriada para este processamento; o consentimento é realmente necessário? Se necessário, redija um consentimento livre, informado e revogável; se desnecessário, sugira em que base se sentar e o que acrescentar ao texto informativo."-> O modelo primeiro questiona a base correta e depois produz o texto apropriado.
Erros comuns
- Tentando resolver automaticamente cada processamento com “consentimento explícito”.
- Considerar o consentimento como “livre” em relações com desequilíbrio de poder, como empregado-empregador.
- Obtenção de consentimento desnecessário quando existe uma base correta (contrato, interesse legítimo).
- Falha em testar ou documentar o saldo quando se baseia em interesse legítimo.
- Não refletindo de forma alguma o uso de IA no texto de iluminação.
- Ocultando transferência internacional na iluminação.
- Não estabelecer um mecanismo para interromper o processamento quando o consentimento for retirado.
Em resumo
- Todo processamento baseado em IA deve basear-se em pelo menos uma das seis bases jurídicas da KVKK.
- O consentimento explícito é a base mais frágil; pode ser retirado e anulado em caso de desequilíbrio de poder.
- O interesse legítimo é flexível, mas requer um teste de equilíbrio; Não pode ser usado se os direitos da pessoa o superarem.
- Independentemente da base jurídica, existe a obrigação de esclarecer; A IA e a transferência para o exterior estão refletidas no texto.
- Escolher a base certa melhora tanto a lei quanto a experiência do cliente/funcionário.
Tarefa de aplicativo
Identifique três cenários de processamento diferentes que serão realizados com IA na sua organização (por exemplo: análise de reclamações de clientes, suporte à avaliação de candidatos, resumo de faturas). Para cada cenário, escolha a base jurídica mais adequada com justificação e explique porque é que o consentimento explícito não é necessário (ou porque é). Escreva seu teste de equilíbrio em três etapas para pelo menos um cenário onde você baseia interesse legítimo. Por fim, redija um parágrafo para incluir no texto de divulgação que abranja esses cenários e inclua informações sobre o processamento automatizado de IA e transferências para o exterior.
lista de verificação
- [ ] Escolhi a base jurídica correta para cada processamento.
- [ ] Usei o consentimento expresso apenas quando era realmente necessário.
- [ ] Realizei e documentei o teste de equilíbrio no cenário de interesse legítimo.
- [ ] Questionei a validade do consentimento em relações com desequilíbrio de poder.
- [] Adicionei informações de IA e de processamento automático ao texto de iluminação.
- [ ] Afirmei claramente a transferência para o exterior.
- [ ] Planejei o mecanismo de retirada de consentimento.