O Regulamento da IA para as equipas de privacidade.

Se já tens um programa de RGPD a funcionar, já fizeste mais do Regulamento da IA do que julgas - e as partes que não fizeste não são aquelas de que te avisam. Esta página mapeia os dois regimes um contra o outro, para conseguires perceber o que precisa genuinamente de trabalho novo e o que são as tuas provas já existentes sob outro título.

O reenquadramento mais útil de todos: o RGPD pergunta se podes tratar os dados. O Regulamento da IA pergunta se podes colocar o sistema no mercado e como é que ele se tem de comportar. Sobrepõem-se muito nas provas e quase nada naquilo que os desencadeia.

O que o teu trabalho de RGPD já cobre

Uma AIPD não é uma avaliação de impacto sobre os direitos fundamentais e não cumpre o artigo 27, mas as provas subjacentes - fluxos de dados, raciocínio de necessidade e proporcionalidade, garantias, consulta - transitam em boa medida.

Quatro sítios onde os encarregados de proteção de dados são apanhados sistematicamente

1. O âmbito não tem nada que ver com dados pessoais. Um sistema de IA pode ser de risco elevado sem tratar quaisquer dados pessoais - componentes de segurança de infraestruturas críticas, por exemplo. Ao contrário, um sistema a transbordar de dados pessoais pode ser de risco mínimo. Se triares a exposição ao Regulamento da IA pela pergunta "isto toca em dados pessoais?", vais falhar coisas nos dois sentidos.

2. O papel é uma análise distinta da do responsável pelo tratamento. Prestador e responsável pela implantação, no Regulamento da IA, não correspondem a responsável pelo tratamento e subcontratante. Podes ser subcontratante ao abrigo do RGPD e prestador ao abrigo do Regulamento da IA ao mesmo tempo. Resolver um não te diz o outro. O teste do Regulamento da IA.

3. As obrigações em vigor não são as de risco elevado. Está toda a gente a planear para dezembro de 2027. Entretanto, o artigo 50, o artigo 4 e o artigo 5 são exigíveis desde 2 de agosto de 2026, e aplicam-se a organizações sem um único sistema de risco elevado.

4. O artigo 5 não é um risco a mitigar. As práticas proibidas não se tornam aceitáveis por via de documentação, de consentimento ou de uma AIPD. A inferência de emoções no local de trabalho é a que aparece em organizações comuns - normalmente embrulhada numa ferramenta de análise de RH ou de produtividade que ninguém assinalou.

Uma ordem de triagem que funciona

• Inventário. Os teus registos do artigo 30 são o ponto de partida, mas vão falhar os sistemas de IA que não tratam dados pessoais. Pergunta às equipas o que lançaram, não o que registaram.
• Primeiro, uma varredura ao artigo 5. As proibições são a única coisa que pode obrigar a arrancar uma funcionalidade. Faz isto antes de atribuir níveis seja ao que for.
• O papel, sistema a sistema - prestador ou responsável pela implantação. É isto que decide qual dos conjuntos de obrigações se pode sequer aplicar.
• O nível, sistema a sistema, e depois a isenção do artigo 6(3) para tudo o que aterre no anexo III. A definição de perfis fecha-a em absoluto.
• Fecha os três que estão em vigor - artigos 4, 5 e 50 - ainda este trimestre.
• Só depois dimensiona o trabalho do capítulo III, e apenas para os sistemas que sejam genuinamente de risco elevado.

O erro que vale a pena evitar é correr o Regulamento da IA como um segundo programa, paralelo. A maior parte do custo é duplicação: dois inventários, duas avaliações de risco, dois conjuntos de registos a descrever os mesmos sistemas. Um único registo com as duas lentes é materialmente mais barato de manter e mais fácil de defender.

É por esta razão que os relatórios da Reglynn assinalam explicitamente as sobreposições com o RGPD - quando um controlo satisfaz os dois regimes, o relatório di-lo, em vez de o apresentar como trabalho novo. A metodologia está publicada, para poderes verificar o raciocínio em vez de aceitares o resultado por confiança.

Perguntas frequentes

Uma AIPD satisfaz o Regulamento da IA?

Não. Uma AIPD não é uma avaliação de impacto sobre os direitos fundamentais e não cumpre o artigo 27, e o sistema de gestão do risco do artigo 9 é contínuo ao longo do ciclo de vida, e não uma avaliação num só momento. Mas as provas subjacentes - fluxos de dados, raciocínio de necessidade e proporcionalidade, garantias, consulta - transitam em boa medida.

O Regulamento da IA só se aplica a sistemas que tratam dados pessoais?

Não, e é isto que apanha as equipas de privacidade nos dois sentidos. Um sistema pode ser de risco elevado sem tratar quaisquer dados pessoais, como um componente de segurança numa infraestrutura crítica. Do mesmo modo, um sistema cheio de dados pessoais pode ser de risco mínimo. Triar pela pergunta de se há dados pessoais envolvidos vai falhar coisas.

Um responsável pelo tratamento é o mesmo que um prestador?

Não. Prestador e responsável pela implantação, no Regulamento da IA, não correspondem a responsável pelo tratamento e subcontratante no RGPD. Podes ser subcontratante ao abrigo do RGPD e prestador ao abrigo do Regulamento da IA ao mesmo tempo. Estabelecer um não te diz nada sobre o outro.

Que obrigações do Regulamento da IA se aplicam neste momento?

As práticas proibidas do artigo 5, a literacia em IA do artigo 4 e a transparência do artigo 50 são todas exigíveis desde 2 de agosto de 2026, e aplicam-se a organizações sem um único sistema de risco elevado. As obrigações de risco elevado do capítulo III, para as quais toda a gente está a planear, correm até dezembro de 2027.

Uma prática proibida pode ser mitigada com garantias?

Não. As proibições do artigo 5 não se tornam aceitáveis por via de documentação, de consentimento ou de avaliação. A que aparece em organizações comuns é a inferência de emoções no local de trabalho, normalmente embrulhada numa ferramenta de análise de RH ou de produtividade que ninguém assinalou.