Decisões automatizadas por inteligência artificial: quais direitos a LGPD garante?

Uma instituição financeira utiliza inteligência artificial para avaliar pedidos de crédito. Uma empresa emprega sistemas automatizados para classificar candidatos a vagas. Uma plataforma digital analisa informações de usuários e restringe determinadas funcionalidades sem intervenção humana direta.

Essas situações demonstram como decisões automatizadas podem influenciar relações comerciais, oportunidades profissionais e o acesso a produtos e serviços.

Entretanto, quando uma decisão é tomada com base no tratamento automatizado de dados pessoais, o titular não fica necessariamente sem meios de questioná-la. A Lei Geral de Proteção de Dados Pessoais estabelece direitos relacionados à transparência, ao acesso às informações e à revisão de determinadas decisões.

Compreender essas garantias é importante tanto para pessoas afetadas por sistemas de inteligência artificial quanto para empresas que utilizam essas tecnologias em suas atividades.

O que são decisões automatizadas por inteligência artificial?

Decisões automatizadas são aquelas produzidas por sistemas tecnológicos que processam informações e estabelecem resultados sem intervenção humana direta na decisão específica.

Esses sistemas podem utilizar modelos estatísticos, regras previamente programadas, algoritmos de classificação ou ferramentas de inteligência artificial.

Entre os exemplos estão a classificação de risco de crédito, a identificação automatizada de transações suspeitas, determinados mecanismos de seleção profissional e a avaliação de perfis de consumidores.

Entretanto, nem toda decisão automatizada depende de inteligência artificial. Um sistema baseado em regras fixas também pode tomar decisões automaticamente.

Da mesma forma, a simples utilização de inteligência artificial como ferramenta de apoio não significa que a decisão final tenha sido tomada exclusivamente por tratamento automatizado.

Essa diferença é especialmente importante para compreender quando se aplica o direito específico de revisão previsto no artigo 20 da LGPD.

O que a LGPD estabelece sobre decisões automatizadas?

O artigo 20 da LGPD assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base no tratamento automatizado de seus dados pessoais, desde que afetem seus interesses.

A norma menciona expressamente decisões destinadas à definição de perfis pessoais, profissionais, de consumo, de crédito ou relacionados a aspectos da personalidade.

Isso significa que a proteção não está limitada a sistemas utilizados por bancos ou instituições financeiras.

Ela pode alcançar diferentes atividades empresariais, desde que estejam presentes os requisitos legais.

Entretanto, a existência de uma decisão desfavorável não significa, por si só, que houve violação da LGPD.

É necessário verificar quais dados foram utilizados, como ocorreu o processo decisório, se o tratamento possui fundamento legal e se foram observados os direitos do titular.

O titular pode pedir revisão de uma decisão tomada por inteligência artificial?

Sim, quando a decisão se enquadrar nas condições estabelecidas pelo artigo 20 da LGPD.

Imagine que uma pessoa tenha seu pedido de crédito recusado por um sistema que analisa automaticamente informações financeiras e comportamentais.

Se a decisão foi tomada unicamente com base no tratamento automatizado de dados pessoais e afeta seus interesses, poderá ser solicitado o exercício do direito de revisão.

A solicitação deve permitir identificar a decisão questionada, os dados envolvidos e os elementos que justificam sua reavaliação.

Entretanto, o direito de solicitar revisão não significa que a empresa esteja obrigada a aprovar o crédito, contratar o candidato ou alterar qualquer decisão apenas porque o titular discordou do resultado.

O objetivo é assegurar a possibilidade de questionar a decisão e verificar sua regularidade, observados os direitos e as obrigações aplicáveis.

A empresa é obrigada a explicar como a inteligência artificial decidiu?

O § 1º do artigo 20 da LGPD estabelece que o controlador deve fornecer, sempre que solicitado, informações claras e adequadas a respeito dos critérios e procedimentos utilizados para a decisão automatizada.

Isso permite ao titular buscar esclarecimentos sobre os fatores considerados e a maneira como seus dados pessoais influenciaram a avaliação.

Entretanto, a legislação também determina que sejam observados os segredos comercial e industrial.

Por essa razão, o direito à informação não corresponde necessariamente ao acesso irrestrito ao código-fonte, aos parâmetros internos de um modelo ou a todos os detalhes técnicos protegidos do sistema.

A existência de sigilo empresarial, contudo, não elimina automaticamente os deveres legais de informação.

Quando houver recusa de informações fundada em segredo comercial ou industrial, a LGPD prevê mecanismo específico de fiscalização pela Autoridade Nacional de Proteção de Dados.

A revisão precisa ser feita obrigatoriamente por uma pessoa?

A redação vigente do artigo 20 da LGPD não estabelece expressamente um direito geral à revisão humana de todas as decisões automatizadas.

A legislação assegura o direito de solicitar revisão, mas não determina, de forma universal, que essa atividade seja necessariamente executada por um funcionário ou representante humano.

Isso não impede que a intervenção humana seja necessária em determinadas situações, em razão de obrigações específicas, compromissos contratuais ou outras normas aplicáveis.

Também é importante verificar se a participação humana no processo foi efetiva ou se ocorreu apenas uma confirmação formal de resultado previamente definido pelo sistema.

A análise dependerá das características do procedimento decisório e da regulamentação pertinente.

Quais dados pessoais podem ser utilizados nessas decisões?

Os sistemas automatizados podem tratar informações cadastrais, histórico de consumo, dados financeiros, registros de utilização de serviços e outros elementos relacionados a pessoas identificadas ou identificáveis.

Entretanto, a utilização desses dados deve observar os princípios e as hipóteses legais estabelecidos pela LGPD.

Entre os princípios relevantes estão finalidade, adequação, necessidade, transparência, segurança, prevenção e não discriminação.

Isso significa que a empresa deve avaliar se os dados utilizados são pertinentes à finalidade da decisão e se o tratamento possui fundamento jurídico adequado.

Quando estiverem envolvidos dados pessoais sensíveis, deverão ser observadas as regras específicas aplicáveis a essa categoria.

A possibilidade técnica de coletar ou analisar uma informação não significa que sua utilização seja automaticamente permitida pela legislação.

É possível questionar uma decisão de crédito automatizada?

Sim, conforme as circunstâncias. A LGPD menciona expressamente decisões automatizadas relacionadas à definição de perfis de crédito.

Quando uma instituição utiliza tratamento exclusivamente automatizado de dados pessoais para decidir sobre determinado pedido, o titular pode solicitar revisão, caso estejam presentes os requisitos do artigo 20.

Também poderá solicitar informações claras e adequadas sobre os critérios e procedimentos utilizados, observadas as limitações legais.

É importante verificar se os dados financeiros estavam corretos, se existem informações desatualizadas e se foram utilizados elementos incompatíveis com a finalidade da avaliação.

Entretanto, o direito à revisão não equivale ao direito automático de obter empréstimo, financiamento ou limite de crédito.

A instituição poderá manter uma decisão legítima, desde que observe as normas aplicáveis ao tratamento de dados e à relação estabelecida.

E quando a inteligência artificial é utilizada em processos seletivos?

Empresas podem utilizar ferramentas tecnológicas para organizar currículos, classificar candidaturas e auxiliar processos de recrutamento.

Quando uma decisão que afeta interesses profissionais é tomada unicamente por tratamento automatizado de dados pessoais, poderá incidir o artigo 20 da LGPD.

O titular também possui direitos relacionados ao acesso aos dados e à correção de informações incompletas, inexatas ou desatualizadas.

É importante avaliar se a ferramenta utiliza informações pertinentes à seleção e se existem critérios discriminatórios ou incompatíveis com a finalidade anunciada.

Entretanto, a utilização de tecnologia no recrutamento não constitui, por si só, uma prática ilícita.

A regularidade dependerá da forma como os dados são tratados, da natureza das decisões e das demais exigências legais aplicáveis.

O titular pode solicitar correção ou exclusão dos dados utilizados?

O artigo 18 da LGPD assegura diferentes direitos relacionados aos dados pessoais, incluindo acesso e correção de informações incompletas, inexatas ou desatualizadas.

Também prevê, nas condições legais, a possibilidade de solicitar anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a legislação.

Esses direitos podem ser relevantes quando uma decisão automatizada utiliza informações incorretas ou inadequadamente tratadas.

Entretanto, nem toda solicitação de exclusão deve ser atendida de maneira irrestrita, pois podem existir obrigações legais de conservação ou outras hipóteses legítimas de tratamento.

Também é importante distinguir a correção dos dados utilizados da revisão do resultado produzido pelo sistema.

Embora relacionadas, essas providências possuem fundamentos e finalidades diferentes.

Uma decisão automatizada discriminatória pode ser questionada?

Sim. A LGPD estabelece o princípio da não discriminação, vedando o tratamento de dados pessoais para fins discriminatórios ilícitos ou abusivos.

Esse princípio possui relevância especial quando sistemas automatizados classificam pessoas para concessão de crédito, acesso a serviços ou oportunidades profissionais.

Uma ferramenta pode produzir resultados problemáticos quando utiliza informações inadequadas, critérios discriminatórios ou dados que reproduzem distorções presentes nas bases utilizadas.

Entretanto, a existência de resultados diferentes entre pessoas não demonstra, isoladamente, que houve discriminação ilícita.

É necessário avaliar os critérios empregados, o contexto da decisão, os dados utilizados e os elementos disponíveis sobre eventuais efeitos discriminatórios.

O § 2º do artigo 20 também prevê a possibilidade de auditoria pela ANPD para verificar aspectos discriminatórios quando informações sobre a decisão forem negadas com fundamento em segredo comercial ou industrial.

Como solicitar a revisão de uma decisão automatizada?

O primeiro passo é identificar a empresa responsável pela decisão e verificar os canais disponibilizados para o exercício de direitos relacionados à proteção de dados.

A solicitação pode identificar a decisão questionada, a data em que foi comunicada e os motivos pelos quais o titular deseja sua revisão.

Também poderá ser solicitado esclarecimento sobre os critérios e procedimentos utilizados, bem como acesso ou correção dos dados pessoais relevantes.

É recomendável guardar a solicitação, os protocolos, as respostas e os documentos que demonstrem os efeitos da decisão.

Quando houver dúvida sobre a participação humana, poderá ser pertinente solicitar esclarecimentos sobre como a decisão foi efetivamente tomada.

A empresa deverá examinar o pedido segundo a LGPD e as normas aplicáveis, considerando a natureza do tratamento realizado.

O que fazer se a empresa não responder?

Se o controlador não atender adequadamente à solicitação, o titular deve preservar os registros do pedido e as respostas eventualmente apresentadas.

A Autoridade Nacional de Proteção de Dados disponibiliza mecanismos para apresentação de petições de titulares, observados os requisitos e procedimentos aplicáveis.

Quando o tratamento ocorrer em uma relação de consumo, também poderá ser pertinente recorrer aos órgãos de proteção e defesa do consumidor.

Dependendo da natureza da controvérsia, poderão ser avaliadas medidas judiciais destinadas ao exercício dos direitos previstos na legislação.

Entretanto, a ausência de resposta não significa que todo resultado automatizado seja necessariamente ilícito.

É importante diferenciar o descumprimento de deveres de transparência ou atendimento ao titular da eventual irregularidade da própria decisão.

Quais documentos guardar para questionar uma decisão por inteligência artificial?

A preservação de documentos pode ajudar a demonstrar a existência da decisão, seus efeitos e as tentativas de obter esclarecimentos.

É recomendável guardar notificações, mensagens, capturas de tela, comprovantes de solicitação e documentos que demonstrem quais informações pessoais foram fornecidas à empresa.

Também podem ser relevantes os termos de uso, as políticas de privacidade e as comunicações que descrevam a utilização de sistemas automatizados.

Se a controvérsia envolver dados incorretos, devem ser preservados os documentos que demonstrem a informação correta e sua eventual divergência em relação aos registros utilizados.

Quando a decisão provocar consequências financeiras ou profissionais, também poderão ser importantes os documentos relacionados aos prejuízos alegados.

Esses elementos permitirão avaliar os direitos aplicáveis e a necessidade de providências adicionais.

A utilização de inteligência artificial pode gerar indenização?

A utilização de inteligência artificial não gera, por si só, responsabilidade civil ou direito à indenização.

Entretanto, decisões automatizadas podem produzir consequências jurídicas quando envolvem tratamento ilícito de dados pessoais ou outras violações de direitos.

Os artigos 42 a 45 da LGPD disciplinam aspectos da responsabilidade por danos relacionados ao tratamento de dados pessoais, observados os pressupostos e as condições aplicáveis.

Também podem ser relevantes as normas do Código Civil e do Código de Defesa do Consumidor, conforme a natureza da relação jurídica.

Para avaliar eventual indenização, será necessário examinar a irregularidade, os danos alegados, o nexo causal e o regime jurídico pertinente.

Portanto, uma decisão automatizada desfavorável não equivale automaticamente a uma decisão indenizável.

Quais cuidados as empresas devem tomar ao utilizar inteligência artificial?

As empresas que utilizam sistemas automatizados devem avaliar quais dados pessoais são tratados, as finalidades do processamento e os fundamentos legais correspondentes.

Também é importante identificar quando determinadas ferramentas produzem decisões que afetam diretamente os interesses dos titulares.

Os procedimentos internos devem permitir o recebimento e a análise de solicitações de acesso, correção, informações e revisão, conforme as obrigações aplicáveis.

É recomendável manter documentação sobre os critérios gerais de funcionamento dos processos decisórios, as responsabilidades dos agentes envolvidos e as medidas adotadas para prevenir discriminação e outros riscos.

Quando sistemas de terceiros são utilizados, os contratos devem esclarecer as responsabilidades relacionadas ao tratamento e à disponibilização das informações necessárias ao atendimento dos direitos dos titulares.

Essas medidas podem contribuir para reduzir riscos jurídicos e assegurar maior transparência no uso empresarial da inteligência artificial.

Conclusão: quais são os direitos diante de decisões automatizadas?

A LGPD assegura direitos importantes às pessoas afetadas por decisões tomadas unicamente com base no tratamento automatizado de dados pessoais.

Entre eles estão a possibilidade de solicitar revisão e o direito de receber informações claras e adequadas sobre os critérios e procedimentos utilizados, observadas as limitações legais.

Também podem ser exercidos direitos de acesso, correção, oposição e outras garantias relacionadas ao tratamento de dados pessoais, conforme as circunstâncias.

Quando uma decisão automatizada produz consequências relevantes ou apresenta indícios de irregularidade, é importante documentar o ocorrido e verificar os mecanismos disponíveis para questionar o tratamento e proteger os direitos do titular.