Agems edita regras para uso de IA com proteção de dados pessoais

A Agems (Agência Estadual de Regulação de Serviços Públicos de Mato Grosso do Sul) publicou, no Diário Oficial desta quarta-feira (14), uma portaria que estabelece critérios para o uso de inteligência artificial (IA) em suas atividades de fiscalização, monitoramento e gestão interna.

Agems exige supervisão humana e avaliação de riscos

Entre as exigências, os projetos baseados em IA devem assegurar a qualidade e a confiabilidade dos dados, a segurança das informações e a possibilidade de rastrear operações e resultados relevantes. A norma também prevê avaliação de riscos, prevenção de efeitos adversos, transparência e explicabilidade, quando aplicáveis.

Segundo o texto, a supervisão humana deve ser proporcional ao risco de cada solução, especialmente quando houver potencial de afetar direitos ou interesses de usuários ou agentes regulados.

Proteção de dados limita uso de informações pessoais

A regra determina que o uso de dados pessoais seja restrito ao necessário para cada projeto, da coleta à conservação dos registros. Os cuidados devem ser incorporados desde a concepção das iniciativas e mantidos durante todo o ciclo de desenvolvimento e de utilização das soluções.

Para os testes, a portaria orienta o uso de dados anonimizados, agregados ou sintéticos sempre que técnica e juridicamente possível. Esse tipo de dado é definido pela norma:

• Anonimizados: dados que não permitem identificar uma pessoa, considerados meios técnicos razoáveis.
• Agregados: informações agrupadas, sem identificação individual.
• Sintéticos: dados produzidos artificialmente para desenvolvimento e avaliação de sistemas.

Risco elevado exige avaliação prévia de privacidade

Projetos que envolvam dados pessoais sensíveis, tratamento em larga escala ou IA com potencial de afetar direitos deverão passar por avaliação específica de privacidade e proteção de dados. A exigência também se aplica a compartilhamentos relevantes com terceiros e a situações com risco elevado de dano material ou moral.

Quando juridicamente aplicável, essa análise deverá incluir um relatório de impacto à proteção de dados pessoais e medidas para prevenir ou reduzir os riscos identificados.

Compartilhamento com terceiros exige justificativa

O compartilhamento de informações com empresas, startups, universidades ou instituições de pesquisa precisará ser previamente justificado e documentado. Para cada caso, é necessário definir:

• Finalidade: e base jurídica da operação.
• Responsabilidades: de cada um dos envolvidos.
• Controles de acesso: e medidas de segurança.
• Prazos: para retenção, devolução, anonimização ou eliminação das informações.
• Procedimentos: para resposta a incidentes de segurança.

A norma ressalta que a divulgação de resultados dos projetos não autoriza a exposição indevida de informações dos usuários. “O dever de transparência não constitui, por si só, fundamento para exposição de dados pessoais além do necessário, adequado e juridicamente autorizado”, estabelece.

Projetos experimentais serão classificados por risco

A política também prevê projetos experimentais, parcerias e testes supervisionados de novas soluções. As iniciativas serão classificadas conforme o impacto e o risco, com diferentes níveis de análise, autorização e acompanhamento.

A portaria foi assinada pelo diretor-presidente da Agems, Carlos Alberto de Assis, e entra em vigor na data de publicação. Parte dos procedimentos dependerá de regulamentação específica, e a execução dos projetos deverá observar a disponibilidade orçamentária e financeira da agência.