Dados do Cliente e IA: O que Você Pode Legalmente Colocar em um Modelo e Como Provar Isso

Comece com o propósito

Os dados dos clientes são coletados por um motivo: cumprir um pedido, fornecer suporte ou enviar uma fatura. A lei geralmente permite que você utilize esses dados para esse fim e para propósitos compatíveis. O uso de tickets de suporte para ajudar sua equipe responder mais rapidamente é geralmente compatível. No entanto, usar os mesmos tickets para treinar um modelo que você planeja vender a outras empresas geralmente não é.

Portanto, antes que alguém faça o upload de qualquer coisa, escreva uma frase: estamos utilizando esses dados para fazer X, em benefício de Y. Se você não conseguir escrever isso ou se a frase soar mal, pare por aí. Essa frase se tornará o ponto central de tudo o mais.

Conheça sua base legal

Toda utilização de dados pessoais requer uma base legal. Para projetos de IA, as opções realistas são geralmente contrato (o processamento é necessário para atender ao cliente), interesse legítimo (você tem uma necessidade empresarial genuína que não sobrepõe aos direitos do cliente) ou consentimento.

O interesse legítimo é a base mais comum e a mais frequentemente reivindicada sem o trabalho por trás dela. Requer um teste de equilíbrio escrito: o que você ganha, o que o cliente corre risco e por que eles razoavelmente esperariam essa utilização. Esse documento leva uma tarde para ser escrito e é a primeira coisa que um auditor pedirá para ver.

Alguns dados não devem ser incluídos

Informações de saúde, dados biométricos, crenças religiosas ou políticas, orientação sexual, filiação sindical: essas são categorias especiais, e a barra para processá-las é muito mais alta. A mesma cautela se aplica aos dados de crianças e identificadores financeiros, como números de cartão.

A regra prática é simples. A menos que o projeto inteiro exista para lidar com esse tipo de dado e você tenha buscado aconselhamento sobre isso, filtre-o antes que chegue a qualquer modelo. Ferramentas de redação existem para isso. Teste-as contra seus dados reais, pois um filtro que captura 95% dos números de cartão ainda deixa passar os outros 5%.

O local onde os dados vão importa tanto quanto o que eles são

Enviar dados de clientes a um fornecedor de IA torna esse fornecedor seu processador. Você precisa de um acordo de processamento de dados com ele e precisa ler atentamente três cláusulas:

Treinamento: o fornecedor usa suas entradas para melhorar seus próprios modelos? Níveis comerciais geralmente dizem não. Obtenha isso por escrito.
Retenção: quanto tempo eles mantêm suas solicitações e saídas, e você pode encurtar esse período?
Localização: onde os dados são processados? Transferências fora da UE precisam de um mecanismo legal, como uma decisão de adequação ou cláusulas contratuais padrão.

Executar modelos em sua própria infraestrutura elimina a maioria dessas perguntas. No entanto, não elimina a necessidade de documentar o que você fez.

Recuperação é mais fácil de defender do que treinamento

Existem duas maneiras amplas de dar um modelo seus dados. Você pode treiná-lo ou ajustá-lo, de modo que os dados se tornem parte do modelo. Ou você pode manter os dados em seus próprios sistemas e deixar o modelo procurar o que precisa no momento em que responde, o que é geralmente chamado de recuperação.

Para dados de clientes, a recuperação é quase sempre a escolha mais segura. Quando um cliente pede para excluir seus dados, você exclui o registro e ele desaparece de todas as respostas futuras. Extrair dados de um modelo treinado é, na prática, quase impossível. Isso torna o direito de exclusão muito difícil de cumprir, e os reguladores sabem disso.

Como provar que fez tudo certo

Conformidade que não pode ser comprovada conta pouco. Mantenha esses registros:

Um registro de processamento listando o sistema de IA, os dados que ele usa, o propósito e a base legal.
Uma avaliação de impacto na proteção de dados. Novas tecnologias combinadas com grandes volumes de dados pessoais quase sempre desencadeiam uma. É o documento mais persuasivo que você pode entregar a um auditor.
Acordos de processador assinados com todos os fornecedores que lidam com os dados.
Logs mostrando o que entrou no sistema, quando e sob cuja autoridade, além de evidências de que sua redação funcionou.
Um proprietário nomeado que revisa tudo isso sempre que o sistema muda.

A Lei de IA da UE adiciona seus próprios deveres de documentação, especialmente onde um sistema é usado em áreas de alto risco, como contratação ou crédito. Se seus registros já cobrem esses cinco pontos, você está na maior parte do caminho.

Carregue o peso desde o início

As empresas têm problemas quando o navio piloto sai primeiro e a papelada é reconstruída depois. Faça o contrário. Escreva o propósito, escolha a base, filtre os dados, assine os contratos, ligue os logs e então construa. Adiciona algumas semanas no máximo e significa que a resposta para "você pode provar?" será uma pasta, não uma corrida.

Essa preparação é grande parte do que fazemos na Hercules A. Seja você trabalha conosco ou não, faça isso antes de registrar o primeiro dado.