Raspagem de dados para treinar IA: o que a EDPB realmente exige?

O fim da farra dos dados?

Se você achava que rasgar a web para treinar seu modelo de IA era só questão de paciência e um bom script, as novas diretrizes do EDPB (European Data Protection Board) vão te fazer repensar. Em julho de 2024, o órgão publicou o rascunho das Diretrizes 03/2024, que tratam especificamente do web scraping para desenvolvimento de IA generativa. E a mensagem é clara: o GDPR não tira férias quando o assunto é treinar algoritmos.

Legítimo interesse? Não é automático

Muitas empresas confiam no legítimo interesse como base legal para coletar dados públicos. Mas o EDPB lembra que isso exige um teste de equilíbrio rigoroso. Você precisa demonstrar que o tratamento é necessário e que os direitos dos titulares não são prejudicados. É como querer usar a foto do vizinho para treinar um reconhecedor facial: mesmo que a foto esteja no Instagram, não dá para sair usando sem pensar nas consequências.

Dados sensíveis: um alerta vermelho

Se o seu scraping capturar dados como opinião política, saúde ou orientação sexual, o jogo muda. O tratamento de dados sensíveis é proibido, a menos que haja consentimento explícito ou outra exceção específica. E adivinhe: o EDPB deixa claro que o legítimo interesse não se aplica aqui. Então, se seu modelo de IA generativa for treinado com posts de fóruns médicos, você pode estar em apuros.

Transparência: o direito de saber

Os titulares dos dados têm o direito de saber que suas informações estão sendo usadas para treinar IA. Isso significa que você precisa informar de forma clara e acessível, não esconder em uma política de privacidade de 50 páginas. Pense nisso como avisar que vai usar a receita secreta da vovó para fazer um livro de culinária: é justo que ela saiba.

Direitos dos titulares: não ignore

Alguém pediu para excluir seus dados do seu modelo? Você precisa atender, mesmo que isso signifique retreinar o modelo. O EDPB não aceita desculpas do tipo "é muito caro" ou "tecnicamente inviável". Se você coletou, você é responsável.

E agora? Um checklist prático

Antes de sair raspando, faça estas perguntas: (1) Qual é a base legal? (2) Estou coletando dados sensíveis? (3) Como vou garantir transparência? (4) Tenho um processo para atender a pedidos de exclusão? Se a resposta a qualquer uma for "não sei", é melhor parar e consultar um DPO. Afinal, multas do GDPR podem chegar a 4% do faturamento global – o que torna a leitura dessas diretrizes muito mais interessante do que limpar rejunte de azulejo com escova de dentes.