Contribuições e limites da lei geral de proteção de dados para a regulação da inteligência artificial no Brasil

Abstract

Sistemas de tomada de decisão automatizada são cada vez mais comuns em diversas aplicações nos setores público e privado. Como muitas das decisões tomadas por estes sistemas dependem de dados pessoais como insumos ou geram dados associáveis a pessoa natural, a Lei Geral de Proteção de Dados (LGPD) introduz regras específicas voltadas a decisões baseadas unicamente no tratamento automatizado de dados pessoais. Este artigo sustenta que o regramento das decisões automatizadas na LGPD possui contornos distintos da abordagem adotada por outras jurisdições, notadamente a União Europeia. Tais diferenças surgem das formulações adotadas pelo legislador brasileiro ao estabelecer um direito à revisão de decisões automatizadas e definir os critérios para a adoção de medidas de design para a proteção de dados, e dificultam o transplante direto de salvaguardas técnicas adotadas em outras jurisdições. A adequada proteção dos direitos do titular de dados frente às decisões automatizadas exige, portanto, o desenvolvimento de padrões e diretrizes adequados às realidades do direito brasileiro.

Automated decision-making systems are increasingly common in a broad range of public and private sector applications. Because many of the decisions made by such systems rely on personal data as input or generate data that can be associated with a natural person, the Brazilian General Data Protection Law (LGPD) introduces specific rules on decisions based solely on the automated processing of personal data. This article holds that the regulation of automated decision-making in the LGPD differs from the approaches adopted in other jurisdictions, namely the European Union. Such differences result from how Brazilian legislators established a right to the review of automated decisions and set up the criteria for the adoption of design measures for data protection, creating issues for the direct adoption of technical solutions created for other jurisdictions. Therefore, adequate protection of data subject rights against automated decision-making demands the development of standards and guidelines that reflect the realities of Brazilian law.