A UE alterou a forma como os seus dois maiores conjuntos de regras digitais se articulam. O Regulamento (UE) 2026/1744, conhecido como AI Omnibus, altera o AI Act e desloca os pontos onde este se sobrepõe ao RGPD. Este guia sobre as alterações ao AI Act e ao RGPD explicadas percorre aquilo que a análise da fonte destaca: um novo Artigo 4a sobre dados para deteção de enviesamento, avaliações de impacto sobre os direitos fundamentais (FRIAs) que podem reutilizar avaliações de impacto sobre a proteção de dados (DPIAs) do RGPD, deveres de literacia em IA mais flexíveis e novas modalidades de supervisão.

O material de origem é um resumo breve, pelo que este artigo se cinge a essas alterações principais e evita especular sobre detalhes que não explicita. Onde os detalhes importam, dizemo-lo.

O que o AI Omnibus alterou no AI Act

Segundo o resumo, o Regulamento (UE) 2026/1744 "reformulou" a sobreposição entre o AI Act e o RGPD. Quatro alterações destacam-se:

  • Dados para deteção de enviesamento (Art 4a): uma nova disposição que aborda o tratamento de dados para detetar enviesamento em sistemas de IA.
  • FRIAs que reutilizam DPIAs: as avaliações de impacto sobre os direitos fundamentais podem basear-se nas DPIAs que as organizações já realizam ao abrigo do RGPD.
  • Literacia em IA mais flexível: as obrigações relativas à literacia em IA foram relaxadas.
  • Nova supervisão: alterações à forma como a supervisão está organizada.

O contexto mais amplo é um esforço para simplificar as regras digitais da UE. Se quiser essa visão mais alargada, o nosso explicador sobre o que o Digital Omnibus da UE altera em matéria de cookies, RGPD e IA aborda o pacote de simplificação com mais profundidade.

Dados para deteção de enviesamento ao abrigo do Artigo 4a: o que significa para os seus dados pessoais

Os testes de enviesamento são um verdadeiro ponto de tensão. Para verificar se um sistema de IA trata grupos de forma injusta, os programadores precisam frequentemente de dados sobre características como etnia, saúde ou outros atributos sensíveis. O RGPD impõe limites rigorosos ao tratamento desse tipo de dados. O Artigo 4a é a resposta do AI Act: permite o tratamento de dados para deteção de enviesamento no âmbito do quadro da IA.

Para as pessoas comuns, a questão prática é saber se os seus dados podem ser utilizados para testar um sistema de IA. O resumo confirma que a disposição existe, mas não estabelece as salvaguardas, condições ou limites que lhe estão associados. Esse detalhe é importante. A limitação das finalidades, a minimização dos dados e a segurança são o tipo de proteções a procurar no texto do regulamento e na forma como as organizações descrevem as suas práticas.

A intenção, auditar a IA para detetar discriminação, é legítima. O risco para a privacidade reside em saber se a autorização é restrita e bem controlada, ou ampla e fiscalizada de forma pouco rigorosa. Os leitores devem encarar isso como uma questão em aberto até terem visto a redação operativa.

Como as FRIAs e as DPIAs do RGPD funcionam agora em conjunto

Uma DPIA é a avaliação do RGPD que uma organização realiza quando o tratamento é suscetível de representar um risco elevado para os direitos das pessoas. Uma FRIA é a avaliação do AI Act sobre a forma como um sistema de IA de alto risco pode afetar os direitos fundamentais. Antes da alteração, uma organização podia enfrentar dois exercícios de documentação sobrepostos.

Ao abrigo do AI Omnibus, as FRIAs podem reutilizar DPIAs. Em termos simples, o trabalho realizado para uma avaliação pode alimentar a outra, o que deverá reduzir a duplicação.

Há vantagens e ressalvas:

  • Vantagem: uma avaliação bem feita pode servir ambos os regimes, o que pode incentivar um trabalho mais rigoroso em vez de duas verificações meramente formais.
  • Ressalva: uma DPIA centra-se nos riscos para a proteção de dados. Uma FRIA destina-se a um olhar mais amplo, incluindo a discriminação e outros direitos. Reutilizar uma DPIA só ajuda se as questões mais amplas continuarem a ser genuinamente colocadas.

O que os utilizadores preocupados com a privacidade ganham e perdem

Ganhos prováveis

  • Regras mais claras para os testes de enviesamento, o que pode ajudar a detetar IA discriminatória antes de esta o afetar.
  • Menos trabalho de avaliação duplicado, o que pode libertar as organizações para se concentrarem na qualidade.
  • Manutenção dos direitos do RGPD. O resumo descreve uma sobreposição ajustada, não uma revogação do RGPD.

Possíveis perdas ou incertezas

  • Uma nova via legal para tratar dados sensíveis para deteção de enviesamento, com salvaguardas que precisam de ser escrutinadas.
  • Deveres de literacia em IA mais flexíveis, o que pode significar que o pessoal que utiliza ferramentas de IA receba menos formação obrigatória.
  • Novas modalidades de supervisão, cujo efeito na aplicação da lei e no tratamento de reclamações não é detalhado na fonte.

O que isto significa para si

Nada no resumo sugere que os seus direitos essenciais ao abrigo do RGPD, como o acesso, o apagamento e a oposição, tenham desaparecido. O que mudou é a maquinaria em torno dos sistemas de IA: como os dados podem ser utilizados para os testar, como as avaliações de risco são combinadas e quem os supervisiona.

Se interage com sistemas de IA utilizados no recrutamento, no crédito, na educação ou nos serviços públicos, as novas regras podem afetar a forma como os seus dados são utilizados para testes de equidade e quão rigorosamente os seus direitos são avaliados. Os detalhes dependerão do texto integral do regulamento e da forma como as autoridades nacionais o aplicam.

Conclusões práticas

  • Leia as políticas de privacidade à procura de linguagem sobre IA. Verifique se uma organização afirma utilizar dados pessoais para testar ou melhorar a IA, incluindo a deteção de enviesamento.
  • Pergunte sobre as avaliações. Pode perguntar a uma empresa se realizou uma DPIA ou uma FRIA para sistemas de IA que o afetam, e como se relacionam as duas.
  • Exerça os seus direitos ao abrigo do RGPD. Os pedidos de acesso, oposição e apagamento continuam disponíveis.
  • Aguarde pelos detalhes. Encare as alterações principais como um ponto de partida e consulte o texto do regulamento para verificar as salvaguardas do Artigo 4a.

Para continuar a construir contexto, comece pelo nosso explicador sobre o Digital Omnibus e depois reveja como as organizações que detêm os seus dados descrevem as suas práticas de IA e de avaliação de impacto. Com estas alterações ao AI Act e ao RGPD explicadas, está mais bem posicionado para fazer as perguntas certas.