Glossário de governança de IA e proteção de dados

Regulamento (UE) 2024/1689, lei da União Europeia com regras harmonizadas e baseadas em risco para a oferta e o uso de sistemas e modelos de IA.

Resultado de um modelo de IA generativa que é fluente e confiante, mas falso, sem fundamento ou inventado, como fatos, citações ou referências fabricados.

Anonimização é o tratamento que torna irreversível a identificação do titular por meios técnicos razoáveis disponíveis, retirando o dado do alcance da LGPD.

A ANPD é a Autoridade Nacional de Proteção de Dados, órgão responsável por zelar pela proteção de dados pessoais e por regulamentar, orientar e fiscalizar o cumprimento da LGPD.

Asseguração de IA é o processo de medir, avaliar e comunicar evidências sobre se um sistema de IA, ou sua governança, é confiável e atende a critérios acordados.

Processo que demonstra se requisitos especificados foram atendidos; no AI Act, a verificação exigida de um sistema de alto risco antes de entrar no mercado.

Avaliação dos efeitos previsíveis de um sistema de IA sobre indivíduos, grupos e sociedade, documentada antes da implantação e revista quando o sistema ou seu uso mudam.

Avaliação que certos responsáveis pela implantação de sistemas de IA de alto risco devem realizar antes do primeiro uso, identificando os riscos específicos aos direitos fundamentais das pessoas afetadas.

Processo estruturado para identificar, analisar e avaliar os riscos que um sistema de IA representa para pessoas, organizações e sociedade, permitindo tratá-los e monitorá-los.

Hipótese legal, prevista de forma taxativa na lei, que autoriza um tratamento específico de dados pessoais, como consentimento, execução de contrato, obrigação legal ou legítimo interesse.

A CCPA, alterada pela CPRA, é a lei de privacidade do consumidor da Califórnia, que dá aos residentes direitos sobre as informações pessoais mantidas por empresas abrangidas.

Cláusulas-padrão contratuais são cláusulas aprovadas pela ANPD que, adotadas sem alteração, oferecem garantias para a transferência internacional de dados pessoais.

Órgão multidisciplinar que analisa usos de IA relevantes ou controversos, assessora quem decide e encaminha preocupações éticas dentro da estrutura de governança da organização.

Comunicação de incidente é o dever do controlador de informar a ANPD e os titulares sobre incidente que possa gerar risco ou dano relevante, em três dias úteis.

Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.

Contrato de tratamento de dados é o instrumento que vincula o operador às instruções do controlador e fixa as condições do tratamento de dados pessoais em nome deste.

Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, definindo suas finalidades e meios essenciais.

Informação relacionada a pessoa natural identificada ou identificável, direta ou indiretamente, como nome, número de identificação, dados de localização ou identificador eletrônico.

Dados pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos ou biométricos, sujeitos a regras mais restritas.

Dados gerados artificialmente que reproduzem propriedades estatísticas de um conjunto real sem copiar diretamente seus registros, usados para treinar, testar ou compartilhar.

Decisão de adequação é o reconhecimento formal, pela autoridade competente, de que outro país oferece grau de proteção de dados adequado, permitindo transferências sem garantias adicionais.

Decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem os interesses do titular, que pode solicitar sua revisão e informações sobre os critérios utilizados.

Imagem, áudio ou vídeo gerado ou manipulado por IA que se assemelha a pessoas, objetos, lugares ou eventos reais e pareceria falsamente autêntico.

Degradação do desempenho de um modelo de IA ao longo do tempo porque os dados ou as relações encontrados em produção diferem daqueles do treinamento.

Direito do titular de obter a eliminação de dados pessoais desnecessários, excessivos, tratados em desconformidade com a lei ou tratados com seu consentimento, ressalvadas as hipóteses legais de conservação.

Direitos que o titular pode exercer perante o controlador, como confirmação, acesso, correção, anonimização, bloqueio, eliminação, portabilidade, informação, revogação do consentimento e revisão de decisões automatizadas.

Pessoa indicada pelo controlador e pelo operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados.

Evidência de auditoria é a informação verificável pertinente aos critérios de auditoria; não conformidade é o não atendimento de um requisito, constatado ao comparar a evidência com os critérios.

Capacidade de oferecer às pessoas razões significativas e precisas para o resultado de um sistema de IA, adequadas ao seu papel e à decisão tomada.

Documento curto e estruturado que descreve o uso pretendido de um modelo treinado, seu desempenho entre grupos relevantes, limitações, dados de treinamento e considerações éticas.

Documento padronizado que registra motivação, composição, processo de coleta, pré-processamento, usos pretendidos, distribuição e manutenção de um conjunto de dados.

No AI Act, quem desenvolve um sistema de IA ou modelo GPAI, ou o manda desenvolver, e o oferece com seu próprio nome ou marca.

O GDPR, ou RGPD, é o Regulamento (UE) 2016/679, que disciplina o tratamento de dados pessoais e a livre circulação desses dados na União Europeia.

Conjunto de papéis, políticas, processos e controles pelo qual uma organização dirige, supervisiona e responde pela forma como desenvolve, contrata e usa IA.

Abordagem de projeto, desenvolvimento e uso de IA para que ela seja lícita, segura, justa, transparente, responsabilizável e respeite os direitos humanos em todo o ciclo de vida.

Evento em que o desenvolvimento, o uso ou a falha de um sistema de IA causa ou quase causa, direta ou indiretamente, dano a pessoas, bens, ambiente ou direitos.

Incidente de segurança com dados pessoais é qualquer evento adverso confirmado que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais, por acesso não autorizado, perda, alteração ou destruição.

Ataque que esconde instruções na entrada do usuário ou em conteúdo lido por um modelo de IA, fazendo-o ignorar suas regras e agir a favor do atacante.

Registro mantido dos sistemas e modelos de IA que a organização desenvolve, compra ou usa, com dono, finalidade, dados, nível de risco e situação de cada um.

Orientação internacional sobre como organizações que desenvolvem, implantam ou usam IA podem gerenciar riscos específicos de IA, adaptando os princípios e o processo de gestão de riscos da ISO 31000.

A ISO/IEC 27701 é a norma internacional de sistema de gestão da privacidade da informação, com requisitos e controles para controladores e operadores de dados pessoais.

Norma internacional que especifica requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de IA em uma organização.

Base legal que autoriza o tratamento necessário para atender a interesses legítimos do controlador ou de terceiro, exceto quando prevalecerem os direitos e liberdades fundamentais do titular.

Competências, conhecimentos e compreensão que permitem a fornecedores, responsáveis pela implantação e pessoas afetadas usar sistemas de IA de forma informada e reconhecer suas oportunidades, riscos e danos possíveis.

A LGPD (Lei nº 13.709/2018) é a Lei Geral de Proteção de Dados Pessoais, que regula o tratamento de dados pessoais por pessoas físicas e jurídicas, públicas ou privadas.

Princípio pelo qual o tratamento deve ter propósitos legítimos, específicos, explícitos e informados ao titular, sem tratamento posterior incompatível com essas finalidades.

Marcação pela qual o fornecedor indica que um sistema de IA de alto risco está conforme o AI Act e a demais legislação de harmonização da UE.

Medidas quantitativas que comparam resultados ou taxas de erro de um sistema de IA entre grupos para detectar e acompanhar disparidades injustificadas.

Princípio da necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com dados pertinentes, proporcionais e não excessivos.

Modelo de governança do IIA que separa a responsabilidade da gestão pelos riscos, a supervisão especializada de riscos e conformidade e a asseguração independente da auditoria interna.

Modelo de IA de grande porte treinado com dados amplos em escala, geralmente por autossupervisão, que pode ser adaptado a uma grande variedade de tarefas.

Modelo de IA, em geral treinado com grande volume de dados, que apresenta generalidade significativa, executa com competência ampla gama de tarefas distintas e pode ser integrado a muitos sistemas.

O AI Risk Management Framework do NIST, referencial voluntário dos EUA que organiza a gestão de riscos de IA em quatro funções: Govern, Map, Measure e Manage.

Deveres legais de informar as pessoas quando interagem com IA, quando um conteúdo é gerado ou manipulado por IA e como seus dados pessoais são tratados.

Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador e conforme suas instruções.

Tratamento automatizado de dados pessoais para avaliar aspectos de uma pessoa, como desempenho profissional, situação econômica, saúde, preferências, comportamento ou localização, inclusive para formar seu perfil.

Política organizacional que define quais ferramentas de IA as pessoas podem usar, para quais finalidades, com quais dados e sob quais regras de revisão e divulgação.

Usos de IA vedados de forma absoluta pelo artigo 5 do AI Act, porque seu risco aos direitos fundamentais e à segurança é considerado inaceitável, independentemente de salvaguardas.

Primeiro padrão intergovernamental sobre IA, adotado pelo Conselho da OCDE, que estabelece cinco princípios baseados em valores para uma IA confiável e cinco recomendações para políticas nacionais.

Dever de incorporar medidas de proteção de dados desde a fase de concepção do produto ou serviço até sua execução, tratando por padrão apenas os dados necessários.

Informação documentada sobre de onde os dados vieram, como e em que condições foram coletados e todas as transformações que sofreram antes do uso.

Pseudonimização é o tratamento pelo qual um dado perde a possibilidade de associação direta a um titular, senão pelo uso de informação adicional mantida separadamente em ambiente controlado e seguro.

Teste adversarial estruturado em que uma equipe tenta deliberadamente fazer um sistema de IA falhar, se comportar mal ou causar dano, para achar fraquezas antes de terceiros.

Registro mantido pelo controlador e pelo operador das operações de tratamento de dados pessoais que realizam, com finalidades, categorias de dados, compartilhamentos e medidas de segurança.

Documentação do controlador com a descrição dos tratamentos que podem gerar riscos às liberdades civis e aos direitos fundamentais, e das medidas, salvaguardas e mecanismos de mitigação.

Pedido formulado pelo titular ao controlador para exercer um direito previsto na lei, como confirmação da existência de tratamento e acesso aos seus dados pessoais.

No AI Act, pessoa ou entidade que usa um sistema de IA sob sua autoridade, exceto quando o uso ocorre no âmbito de atividade pessoal e não profissional.

Dever de manter dados pessoais apenas pelo tempo necessário à finalidade, com eliminação ao término do tratamento, salvo as hipóteses legais de conservação.

Uso de ferramentas, modelos ou funcionalidades de IA por empregados ou equipes sem o conhecimento, a aprovação ou os controles das áreas de governança da organização.

Conjunto de políticas, objetivos, processos e controles inter-relacionados que a organização usa para governar o desenvolvimento, o fornecimento ou o uso responsável de sistemas de IA, conforme a ISO/IEC 42001.

No AI Act, sistema de IA que é componente de segurança de produto regulado ou é usado em área sensível listada no Anexo III, sujeito a requisitos rigorosos.

Medidas que permitem a pessoas competentes monitorar um sistema de IA, entender seus limites e intervir, revogar ou interromper seus resultados quando necessário.

Tecnologias de reforço da privacidade são métodos técnicos que permitem usar, compartilhar ou analisar dados reduzindo a exposição de informações pessoais.

Transferência internacional de dados é a transferência de dados pessoais para país estrangeiro ou organismo internacional, permitida apenas nas hipóteses do art. 33 da LGPD.

Erros sistemáticos nos resultados de um sistema de IA que produzem diferenças injustificadas de tratamento ou de resultado para certas pessoas ou grupos.