As decisões automatizadas já fazem parte da rotina de muitas empresas, mesmo quando não são percebidas dessa forma. Elas podem determinar se uma transação será bloqueada, se um cliente terá crédito aprovado, qual conteúdo será exibido para um usuário ou até se uma conta será suspensa.

O tema ganhou ainda mais relevância após a ANPD iniciar uma fiscalização sobre processos de suspensão de contas, remoção de conteúdos e restrição de alcance utilizados por redes sociais. A Autoridade também passou a questionar a transparência e os mecanismos de revisão associados a essas decisões.

O que são decisões automatizadas?

De forma simples, uma decisão automatizada ocorre quando um sistema utiliza dados e regras, algoritmos ou modelos de Inteligência Artificial para chegar a uma decisão sem que uma pessoa necessariamente analise cada caso individualmente.

Alguns exemplos comuns incluem:

• aprovação ou negativa automática de crédito;

• bloqueio de transações por suspeita de fraude;

• classificação de candidatos em processos seletivos;

• suspensão de contas em plataformas;

• definição automática de limites ou condições comerciais;

• sistemas de recomendação e personalização;

• identificação automática de comportamentos considerados suspeitos.

Nem toda automação, entretanto, tem a mesma relevância do ponto de vista da proteção de dados. O ponto central é avaliar quando uma decisão baseada no tratamento automatizado de dados pessoais afeta os interesses de uma pessoa.

O que diz a LGPD sobre as decisões automatizadas?

O tema é tratado diretamente pelo artigo 20 da LGPD. A legislação assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base no tratamento automatizado de dados pessoais que afetem seus interesses.

A lei menciona expressamente decisões destinadas a definir perfis pessoais, profissionais, de consumo ou de crédito, entre outros aspectos da personalidade.

Além disso, o controlador deve fornecer, quando solicitado, informações claras e adequadas sobre os critérios e procedimentos utilizados para a decisão automatizada, respeitados os segredos comercial e industrial. A própria ANPD orienta que o titular pode solicitar tanto a revisão quanto explicações sobre os critérios e parâmetros utilizados.

Isso significa que simplesmente informar que “um algoritmo tomou a decisão” não é suficiente.

Decisão automatizada não significa apenas Inteligência Artificial

É importante fazer essa distinção. Uma decisão automatizada pode ser produzida por uma solução sofisticada de Machine Learning ou Inteligência Artificial Generativa, mas também pode resultar de uma regra de negócio relativamente simples, implementada através de tecnologia.

Imagine, por exemplo, um sistema que bloqueia automaticamente uma compra quando determinadas condições são encontradas. Mesmo sem IA, o processo pode representar uma decisão automatizada baseada em dados pessoais.

O risco regulatório, portanto, não depende necessariamente da sofisticação tecnológica, mas do tratamento realizado e de seus efeitos sobre o titular.

Lembre-se também de que os dados inferidos por Inteligências Artificiais também podem estar protegidos pela LGPD, especialmente se esta inferência possa ser o ponto inicial de um processo de decisão automatizada.

Quais são os principais riscos no uso de processos de decisões automatizadas para empresas?

Um dos riscos mais evidentes é a tomada de decisões incorretas. Dados desatualizados, incompletos ou incorretos podem provocar bloqueios, recusas ou classificações injustas.

Também existem riscos de discriminação algorítmica. Um modelo pode reproduzir padrões presentes nos dados utilizados para seu treinamento ou nas regras adotadas pela organização, criando resultados desproporcionais para determinados grupos.

Outro problema é a falta de transparência. Sistemas complexos podem dificultar a explicação de por que determinada decisão ocorreu. Isso pode criar conflitos com titulares, clientes, consumidores e reguladores.

Há ainda riscos associados a fornecedores. Muitas empresas utilizam motores de fraude, scoring, IA ou análise comportamental desenvolvidos por terceiros sem compreender completamente quais dados são utilizados ou como as decisões são produzidas.

O que as empresas deveriam fazer?

O primeiro passo é identificar onde decisões automatizadas existem dentro da organização.

Isso pode ser incorporado ao ROPA e ao mapeamento de dados, registrando quais sistemas realizam decisões automatizadas, quais dados são utilizados, qual a finalidade, quais fornecedores participam do processo e quais impactos podem ocorrer para os titulares.

Processos de maior risco também podem justificar a elaboração de um RIPD (Relatório de Impacto à Proteção de Dados ou DPIA), especialmente quando envolvem grande volume de dados, informações sensíveis, profiling ou consequências significativas para pessoas.

Outro ponto importante é estabelecer mecanismos de contestação. A organização precisa saber como receber uma solicitação, identificar a decisão questionada, recuperar os registros relevantes e avaliar se houve erro ou tratamento inadequado.

Transparência não significa revelar o algoritmo

Existe uma preocupação frequente de que explicar decisões automatizadas obrigaria empresas a revelar código-fonte, modelos ou propriedade intelectual. A LGPD não estabelece essa exigência.

A obrigação é oferecer informações claras e adequadas sobre critérios e procedimentos relevantes, preservando segredos comercial e industrial. A própria legislação prevê que, em determinadas situações, a ANPD poderá realizar auditoria para verificar aspectos discriminatórios do tratamento automatizado.

O desafio, portanto, é encontrar equilíbrio entre transparência, proteção da propriedade intelectual e capacidade de explicar decisões que afetam pessoas.

Qual é o papel do DPO?

O DPO tem uma função importante na governança de decisões automatizadas.

Entre suas atividades pode estar a identificação dos processos que utilizam automação, a avaliação das bases legais, a revisão das informações fornecidas aos titulares e a análise dos mecanismos existentes para exercício do direito de titulares.

O encarregado também pode participar da elaboração de RIPDs, revisão de contratos com fornecedores e avaliação dos riscos associados a novas soluções de IA ou Machine Learning antes de sua entrada em produção, juntamente às áreas de negócio.

Mas decisões automatizadas não devem ser tratadas exclusivamente pelo DPO ou pelo Jurídico.

Uma abordagem efetiva exige a participação de privacidade, jurídico, tecnologia, produto e negócio. É essa equipe multidisciplinar que poderá avaliar simultaneamente os requisitos legais, o funcionamento do sistema, os dados utilizados, os possíveis vieses e os impactos sobre os usuários. E, claro, as alternativas para mitigar os potenciais riscos aos titulares e à própria organização.

Governança de IA e decisões automatizadas

À medida que empresas incorporam Inteligência Artificial aos seus processos, a governança dessas decisões tende a ganhar ainda mais importância. É recomendável manter inventários de sistemas de IA, classificação de riscos, documentação de fornecedores, critérios de supervisão humana e procedimentos periódicos para testar resultados.

Essa abordagem se conecta diretamente à Governança de IA e aos princípios de Privacy by Design.

A investigação recente da ANPD reforça justamente esse ponto: a automação pode gerar eficiência e escala, mas empresas precisam conseguir explicar como as decisões são tomadas, quais dados são utilizados e como uma pessoa pode contestar um resultado.

Como a Macher Tecnologia pode ajudar

A Macher Tecnologia apoia organizações na identificação e governança de tratamentos automatizados por meio de projetos de adequação à LGPD, mapeamento de dados, ROPA, RIPD, avaliação de riscos, Governança de IA e revisão de processos e fornecedores.

Por meio do DPO-as-a-Service, a Macher Tecnologia combina competências regulatórias, de projetos e tecnológicas para acompanhar continuamente mudanças na interpretação da LGPD, de leis e regulamentações internacionais e ajudar empresas a transformar requisitos da LGPD em processos efetivamente aplicáveis ao negócio.

Decisões automatizadas não precisam ser evitadas. Elas precisam ser compreendidas, documentadas, monitoradas e governadas.

Se sua organização precisa de apoio com a LGPD, IA ou cibersegurança, entre em contato com nosso time de consultores!

Sobre a Macher Tecnologia

A Macher Tecnologia é uma empresa especializada em soluções Digital, focada em privacidade e proteção de dados. No mercado desde 2018, suporta clientes de diferentes indústrias em suas jornadas de conformidade, de forma multidisciplinar e hands-on.

Com uma abordagem inovadora, a Macher Tecnologia auxilia empresas na implementação de estratégias eficazes de conformidade com LGPD e GDPR, fornecendo consultoria, treinamento e ferramentas tecnológicas para gestão de riscos e proteção de dados corporativos.

Entre em contato e saiba como podemos ajudar sua organização hoje mesmo!