Este ano já vimos algumas mudanças monumentais em andamento relacionadas à privacidade e conformidade de dados. As PMEs precisam constantemente tomar decisões de troca e priorização quando se trata não apenas dessas coisas, mas também de desafios competitivos, tecnológicos e outros desafios comerciais.
Com essa dura realidade em mente, queríamos compartilhar os 5 principais problemas que surgiram em nosso radar em 2024. Abaixo, vamos nos aprofundar neles e fornecer algumas recomendações acionáveis para empresas que buscam entregar valor enquanto permanecem em conformidade.
1. Ação de execução da Comissão Federal de Comércio (FTC) dos EUA em relação à anonimização de dados
A FTC tem sido bastante ativa ultimamente. Em fevereiro, a agência reguladora ordenou que a empresa Avast pagasse US$ 16,5 milhões em indenização aos seus clientes. Ao mesmo tempo, proibiu a empresa de vender dados de navegação para fins publicitários e ordenou a destruição de modelos de IA treinados em dados coletados indevidamente.
O motivo dessa punição? De acordo com a FTC, a Avast:
- • Coletou informações sobre a atividade dos consumidores na Internet por meio de extensões de navegador e software antivírus;
- • Reteve-as indefinidamente informações de atividade dos consumidores na internet indefinidamente;
- • Vendeu tais informações sem aviso ou consentimento para mais de 100 terceiros.
Uma parte vital da reclamação foi que a Avast alegou usar um algoritmo especial para remover informações de identificação antes da venda. No entanto, de acordo com a FTC, a empresa forneceu aos compradores de seus dados um único identificador exclusivo para cada navegador da web monitorado. Combinado com informações de localização e carimbos de data/hora, e quando combinado com os próprios conjuntos de dados dos compradores, a FTC alegou que era possível reidentificar os usuários originais.
Então, o que as PMEs podem fazer para evitar um destino semelhante?
- • Evite coletar dados que não tenham um propósito comercial. Se você nunca os tiver em seus servidores, eles não podem se tornar uma responsabilidade mais tarde;
- • Entenda a diferença entre anonimização e pseudonimização. A primeira abordagem quebra o vínculo entre os dados e a pessoa associada de forma permanente e irrevogável. Na última, as equipes de dados substituem identificadores exclusivos por informações pessoais, mas podem desfazer a transformação mais tarde;
- • Seja claro sobre exatamente qual técnica você está usando. A Avast supostamente alegou que os dados do consumidor seriam transferidos apenas de forma anônima quando, na verdade, isso era feito apenas de forma pseudônima.
2. Aviso da FTC sobre a mudança de termos e condições para treinamento de IA
No mesmo mês em que multou a Avast, a FTC alertou separadamente as empresas com tecnologia de IA sobre como estavam treinando dados de clientes, especialmente como estavam se comunicando sobre essas práticas. Especificamente, a agência alertou contra a mudança “secreta” de termos e condições para permitir um tratamento de informações mais permissivo.
Para mostrar que não era blefe, a FTC citou ações de execução contra uma empresa de genética e provedora de e-learning por essas infrações.
Como lidar com a conformidade de dados referente ao treinamento de IA?
- • Seja claro sobre quais tipos de dados você está coletando, retendo e treinando;
- • Notifique os clientes e solicite consentimento se você alterar materialmente qualquer política;
- • Envie mensagens proativamente sobre como você planeja implantar IA para evitar reações negativas públicas.
E não são apenas as empresas voltadas para o consumidor que podem tirar lições aqui. No verão passado, a Zoom enfrentou um desastre de comunicação depois de fazer exatamente o que a FTC alertou. A empresa de bate-papo por vídeo afirmou um amplo direito de treinar modelos de IA em dados do cliente, alterando furtivamente seus termos e condições. Após uma reação negativa significativa, a empresa recuou e fez uma afirmação muito menos ousada sobre o que estava autorizada a usar em processos de treinamento de IA.
3. Lei do estado de Washington “Minha Saúde, Meus Dados”
No nível estadual, os legisladores também têm se ocupado com a privacidade de dados. Em Washington, o My Health My Data Act (MHMDA) entrou em vigor no final de março. Embora a lei regule os “dados de saúde do consumidor”, isso abrange muito mais do que é coberto pelo Health Insurance Portability and Accountability Act (HIPAA) federal.
O ato define dados de saúde do consumidor como qualquer “informação pessoal que esteja vinculada ou razoavelmente vinculável a um consumidor e que identifique o estado de saúde física ou mental passado, presente ou futuro de um consumidor”.
O projeto de lei fornece uma lista não abrangente de coisas que podem se enquadrar nessa definição, incluindo:
- • Informações de localização sugerem uma tentativa de receber serviços ou suprimentos de saúde,
- • Intervenções sociais, psicológicas ou comportamentais,
- • Informações sobre saúde reprodutiva ou sexual,
- • Uso ou compra de medicamentos prescritos,
- • Condições de saúde, tratamento ou doenças,
- • Informações sobre cuidados de afirmação de gênero,
- • Funções corporais e sinais vitais,
- • Dados biométricos e genéticos.
Além dessas amplas categorias de informações regulamentadas, o ato se aplica a qualquer entidade legal que “conduza negócios” em Washington ou atenda consumidores lá. Considerando que muitos dos maiores provedores de serviços de nuvem do mundo operam no estado, é concebível que o MHMDA possa ter um alcance global.
4. Finalização da Lei de IA da União Europeia
Após quase cinco anos de discussão, debate e negociação, o texto final do EU AI Act foi lançado em abril. Com a aprovação do Conselho da UE no mês seguinte, o Ato entrará em vigor nos próximos dois anos.
Algumas coisas importantes a serem lembradas serão:
- • O AI Act terá uma série de categorizações de risco com controles obrigatórios que as organizações devem implementar;
- • Ele se aplica de forma bastante ampla, e qualquer organização com um nexo com a UE deve prestar muita atenção aos requisitos da lei;
- • As empresas movidas a IA que operam na UE terão que lidar com uma série de demandas regulatórias impostas a elas.
5. Lei de IA mile-high do Colorado
A legislatura estadual do Colorado também está em movimento. Com a assinatura do governador no SB 205, o Colorado Artificial Intelligence Act (apelidado de “Mile High Act Act” por um escritório de advocacia) entrará em vigor em 1º de fevereiro de 2026.
O SB 205 é principalmente uma lei antidiscriminação modelada no EU AI Act. Além disso, ele tem um conjunto de disposições interessantes relacionadas a dois padrões emergentes:
- • Estrutura de gerenciamento de risco de IA do NIST;
- • ISO/IEC 42001.
Nós já discutimos ambos em profundidade anteriormente, mas vale a pena notar algo único sobre o SB 205. Uma defesa aceitável para supostas infrações da lei é se:
Um desenvolvedor ou implantador de IA descobre (e corrige) uma violação resultante de:
- • Feedback do usuário se o desenvolvedor/implantador o “incentiva”;
- • Teste adversário ou red-teaming;
- • Revisão interna.
A organização está “de outra forma em conformidade com”:
- • A NIST AI RMF;
- • ISO 42001;
- • Outras estruturas de gerenciamento de risco reconhecidas.
Os requisitos da Lei esclarecem algumas práticas recomendadas para PMEs que buscam implantar produtos com tecnologia de IA:
- • Incentive o feedback do usuário para sistemas de IA implantados;
- • Tenha um programa de red-teaming de IA em vigor;
- • Considere a certificação ISO 42001.
Conclusão
Já se passaram mais de sete meses desde o início do ano, e o ritmo dos desenvolvimentos regulatórios tem sido incrível. Para PMEs que tentam se manter à tona em relação à privacidade de dados e/ou obrigações de conformidade, o grande volume pode ser um grande desafio.
A boa notícia é que existem ferramentas que podem facilitar a conformidade com o Regulamento Geral de Proteção de Dados (GDPR) da UE, incluindo a automação da coleta de evidências, a elaboração de políticas compatíveis e a otimização de fluxos de trabalho.