IA nas PME: o que exige a lei suíça de proteção de dados

Em resumo

A lei suíça de proteção de dados revista (revDSG) está em vigor desde 1 de setembro de 2023. É neutra em termos tecnológicos e aplica-se, por isso, também à IA. O Encarregado Federal da Proteção de Dados e da Transparência (PFPDT) afirmou explicitamente que a lei atual se aplica diretamente ao tratamento de dados apoiado por IA. Não é, portanto, necessária uma nova lei sobre IA para que existam obrigações.

Para uma PME, isto não significa abdicar da IA. Significa esclarecer algumas coisas antes de a usar.

Pergunta 1: Que dados estou a introduzir?

O mais simples é não introduzir quaisquer dados pessoais numa ferramenta de IA. Escrever um texto publicitário ou um modelo geral não levanta problemas. É diferente se colar e-mails de clientes, orçamentos com nomes ou processos de pessoal.

Os dados pessoais particularmente sensíveis, como dados de saúde ou informações sobre convicções religiosas, são especialmente delicados. Não pertencem a uma ferramenta de IA de acesso livre.

Pergunta 2: Onde são tratados os dados?

Muitos fornecedores de IA tratam dados nos EUA ou noutros países. A revDSG permite a comunicação de dados para o estrangeiro se o país oferecer uma proteção de dados adequada. O Conselho Federal define esses países numa lista. Para os EUA, isto só se aplica a empresas certificadas ao abrigo do Swiss-U.S. Data Privacy Framework.

Outros fornecedores exigem garantias adicionais, normalmente cláusulas contratuais-tipo. Verifique, por isso, onde o seu fornecedor está sediado e que contratos oferece.

Pergunta 3: O fornecedor pode treinar com os meus dados?

Nas versões gratuitas, muitos fornecedores reservam-se o direito de usar as entradas para melhorar os seus modelos. As versões empresariais excluem normalmente isso por contrato e oferecem um acordo de subcontratação.

Esse acordo é importante: quando um fornecedor externo trata dados pessoais por sua conta, a sua empresa continua responsável e tem de garantir que o fornecedor só trata os dados da forma como a própria empresa o poderia fazer.

Pergunta 4: As pessoas em causa sabem disso?

A revDSG exige transparência. Quem recolhe dados pessoais tem de informar as pessoas em causa, normalmente através da política de privacidade. Se começar a usar ferramentas de IA com dados de clientes, isso deve constar dela – incluindo os países para onde os dados vão.

Se uma IA tomar decisões de forma autónoma com consequências importantes para uma pessoa, como uma recusa automática, as pessoas em causa têm de ser informadas e poder apresentar o seu ponto de vista, se o pedirem.

Lista de verificação para a sua PME

• Registe que ferramentas de IA já são usadas na sua empresa, incluindo a título privado.
• Use versões empresariais com contas da empresa para o trabalho, e não contas gratuitas privadas.
• Verifique a localização dos servidores, o acordo de subcontratação e a exclusão do treino.
• Defina numa política de IA curta que dados podem ir para que ferramentas.
• Atualize a sua política de privacidade.
• Mande sempre verificar os resultados importantes por uma pessoa.

E se ignorar tudo isto?

A revDSG prevê multas até CHF 250 000, por exemplo por violações dolosas do dever de informação. Uma particularidade suíça: são multadas sobretudo as pessoas responsáveis, e não a empresa. A perda de confiança quando os dados de clientes vão parar onde não devem pesa pelo menos tanto.

Este artigo oferece uma visão geral e não substitui aconselhamento jurídico. Para informações vinculativas sobre o seu caso, consulte um especialista em direito da proteção de dados.