Porque a LGPD tem condição de elevar o grau não só de privacidade como de direito ao uso correto da informação.

IA:Plano de Adoção - Práticas

AI Governance - Plano de Adoção - Conteúdo voltado para Adoção frente ao desafios de Governança para IA

Quando falamos sobre LGPD e os principais frameworks de mercado como GDPR, CIS e CSF, devemos considerar também as tendências emergentes como Inteligência Artificial, e é importante inicialmente mapear as principais exigências, abordagens e objetivos de cada estrutura.

Em seguida, podemos explorar como essas estruturas se adaptam ou se diferenciam na gestão de riscos, proteção de dados e conformidade, especialmente diante do avanço tecnológico e das novas políticas relacionadas à IA.

A Lei Geral de Proteção de Dados (LGPD) e frameworks consolidados como o Regulamento Geral de Proteção de Dados (GDPR), os CIS Controls e o NIST Cybersecurity Framework (CSF) compartilham objetivos comuns de proteção de dados e segurança cibernética.

No entanto, divergem em escopo, aplicabilidade e abordagem técnica, especialmente quando consideramos desafios emergentes como a Inteligência Artificial (IA).

1. LGPD vs. GDPR: Fundamentos Legais e Adaptação à IA

A Lei Geral de Proteção de Dados (LGPD) e frameworks consolidados como o Regulamento Geral de Proteção de Dados (GDPR), os CIS Controls e o NIST Cybersecurity Framework (CSF) compartilham objetivos comuns de proteção de dados e segurança cibernética. No entanto, divergem em escopo, aplicabilidade e abordagem técnica, especialmente quando consideramos desafios emergentes como a Inteligência Artificial (IA).

2. LGPD vs. CIS Controls: Segurança Cibernética e Privacidade

Os CIS Controls v8 oferecem 18 práticas prescritivas para segurança, como inventário de ativos e gerenciamento de vulnerabilidades.

A LGPD, por outro lado, não especifica controles técnicos, limitando-se a princípios gerais como segurança e prevenção (Artigo 46). Organizações brasileiras frequentemente usam os CIS Controls como referência para implementar medidas de segurança alinhadas à LGPD, mas precisam adaptá-los para incluir requisitos legais específicos.

3. LGPD vs. CSF: Estrutura e Funções

O NIST CSF organiza-se em cinco funções: Identificar, Proteger, Detectar, Responder e Recuperar. A LGPD, embora mencione gestão de riscos (Artigo 46), não oferece um modelo operacional comparável. Empresas brasileiras adotam o CSF para estruturar programas de compliance, mas precisam adaptar métricas de maturidade (Tiers) aos requisitos legais locais.

Para IA, o CSF recomenda monitoramento contínuo de sistemas (Função 3), crucial para detectar vieses algorítmicos ou uso não autorizado de dados, A LGPD, porém, não exige relatórios de impacto específicos para IA, ao contrário do GDPR..

Baseado nestes dois Pilares que apoiam a implementação da LGPD as Recomendações para Políticas Futuras tem sido adotadas:

1. Harmonização com Frameworks Técnicos como: Desenvolver guias específicos que integrem CIS Controls e NIST CSF aos artigos da LGPD, especialmente para IA.

2. Regulamentação de IA tais como: Incluir requisitos para avaliação de impactos éticos e técnicos em sistemas automatizados, seguindo modelos como o AI Act europeu.

3. Capacitação de Autoridades influenciam a: Fortalecer a ANPD com recursos para fiscalização de algoritmos e parcerias com instituições técnicas e startups no território Brasileiro.

Porém, enquanto a LGPD estabelece uma base sólida para privacidade, sua implementação prática depende da integração com frameworks como GDPR, CIS e CSF. Em cenários de IA, a falta de diretrizes técnicas específicas exige que organizações adotem práticas proativas, alinhando controles de segurança a princípios éticos. A evolução regulatória deve priorizar a flexibilidade para acompanhar inovações, sem comprometer direitos fundamentais.

Essa abordagem abre precedente para acrescer funções que divergem das práticas já adotadas por outros frameworks consolidados tais como CIS, CSF e GDPR; estabelecendo dentre os requisitos da LGPD fatores únicos mesmo que partindo da premissa em que foram concebidos, incluindo através de bases solidas como o próprio GDPR.

Critérios como direitos de uso e de requisição do usuário denominados como DSAR (Data Subject Access Request) famoso: "Pedido a partir da Titularidade de Dados" a quem se refere aos titulares requerentes de suas informações vinculadas a todo e qualquer serviço que vincule seus dados em soluções e plataformas online, acrescentam uma camada extra de complexidade à segurança da informação que só a LGPD apresenta, tais como, confirmação da existência de tratamento; 

• Acesso aos seus dados pessoais;

• Correção de dados pessoais incompletos, errados ou desatualizados;

• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGPD;

• Portabilidade dos dados pessoais para outro fornecedor de um serviço ou produto, mediante requisição expressa;

• Solicitação de exclusão dos dados pessoais tratados com base no seu consentimento;

• Recebimento de informação sobre quem teve permissão do controlador para a utilização de seus dados;

• Recebimento de informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

• Revogação de seu consentimento para utilização dos dados de forma geral ou em algum processo específico.

DSAR: Um dos maiores desafios da implementação LGPD

O problema, contudo, é no momento em que o legislador define o prazo dessa resposta, estipulado pelo art. 19, como “imediatamente” caso seja feita em formato simplificado, ou “em até 15 dias”, por meio de declaração clara e completa.

E é aí que se separam os homens dos meninos, pois (detalhe!) não há nenhuma voz que fixe qualquer forma, configuração ou aparência de uma solicitação, podendo ser recebida por email, SAC, carta, requisição oral no estabelecimento e até mesmo sinal de fumaça. E mais, qualquer organização que processe dados pessoais está sujeita a quaisquer dessas requisições, a qualquer tempo.

Deve-se levar em consideração ainda a possibilidade de que essas solicitações sejam feitas em massa, como muito frequentemente ocorre em empresas do ramo B2C, no qual a venda é diretamente do empreendedor para o consumidor final.

Então, prepare-se para responder de alguma forma também não especificada por lei, imediatamente, ou em até 15 dias, solicitações de titulares de dados feitas da maneira que lhes bem entender, e que chegarão até você por diversos meios, dos mais aos menos convencionais; e você, DPO, terá que ser no mínimo criativo para abarcar essa demanda anárquica e desenfreada que, sim, chegará até você em uma sexta-feira no final do expediente. 

Novamente, faz-se importantíssimo reforçar que não há modelo para download ou formato definido de resposta imediata ou de declaração clara e completa determinada pela Autoridade Nacional, nem mesmo de solicitação, deixando totalmente à cargo do titular que solicita seus dados e da organização, que terá um prazo de até 15 dias (que começa a correr a partir da data do requerimento do titular!) para responder.

Em meio a esse cenário babilônico, torna-se imprescindível um processo estruturado, apto a auxiliar o DPO e sua equipe a não perder o controle de toda a situação, afinal, a quantidade de solicitações têm sido e tendem a ser cada vez maior.

Além do nível de maturidade da organização no que diz respeito ao mapeamento, processamento e armazenamento dos dados pessoais de maneira responsável e compreensível, a automatização do atendimento às solicitações (DSAR) é um fator essencial para conter a demanda e manter ativa a operacionalização, monitoramento e avaliação das requisições dos titulares. 

Este fator distingue a LGPD de qualquer outra solução já prevista de mercado que trata apenas de fluxos e processos que partem de compliance interno, pois exige que a plataforma em operação também corresponda as requisições externas ou que expressamente estabeleça em seus termos os direitos únicos que o usuário deve abrir mão a partir do momento que aceita os seus termos, o que vai contra as própria regras que regem e que devem por direito seguir qualquer solução ou plataforma que pretende estabelecer e servir seus serviços aos usuários que estejam ou sejam oferecidos o acesso caso estejam em território brasileiro.

Ou seja, o principal TABU encontra-se exatamente no reencontro do direito irrevogável do titular independente do serviço ou plataforma requerer o devido direito aos seus dados pessoais a qualquer momento que lhe julgar necessário, indo contra as regras comumente aceitas enquanto mediante estabelecidas que para se utilizar um serviço, o usuário tenha obrigatoriamente que aceitar que os seus dados podem e serão compartilhados independente de sua aprovação com os parceiros e empresas veiculadas a empresa prestadora do serviço qual o usuário está disposto a compartilhar para usufruir de seus serviços.

Onde o Brasil pode fazer a diferenças com o uso da LGPD como forma de reaver o seu direito.

O fato de ceder o direito de uso de suas credenciais como parte da oferta para se obter o serviço não deve restringir o usuário a simplesmente abdicar da sua privacidade para uso de qualquer serviço seja ele qual for, o mesmo se aplica ao seu proprio direito de acesso a informação, dito este o principal fator de acesso a informação tanto qual é o de acesso de qualquer plataforma de inteligência artificial que hoje JÁ POSSUI acesso a praticamente todos os dados que são veiculado a internet.

Quanto antes surjam soluções que nos permitam mapear e sanitizar dados sejam eles pessoais ou empresariais, que busquem não nos colocar em posição de desvantagem perante a demais concorrentes, ao qual espera-se não desfazer o mal já feito ao comparar e balizar os valores de mercado impostos com base na entrega ao invés do valor agregado, mas que ao menos devam em si, preservar os direitos e valores aplicados as soluções que vêm sendo desenvolvidas para apresentar os direitos e informações pessoais e empresariais futuras que não nos levem a nos esconder novamente, e sim respeitar e enaltecer o investimento em capital humano que desenvolveram os meios necessários para desenvolvimento de um mercado justo e competitivo para todos de uma forma menos complexa como já é feita hoje até mesmo para se expressar como agora. Que se leve em consideração não expor que as realiza mas que enalteça quem as cria como disruptiva e diferencial para o mercado presente e futuro.