Os dados dos seus clientes nas mãos de uma IA: sete perguntas para o fornecedor

O que muda quando uma IA lê as conversas dos seus clientes

Muda que há um terceiro no meio, e que você continua sendo o responsável.

A proteção de dados pessoais com inteligência artificial não é um regime novo: na Argentina é a Lei 25.326 aplicada a uma situação nova, e onde você estiver a norma local faz o mesmo trabalho. O nome, o telefone e o que o seu cliente contou são dados pessoais, sejam processados por uma pessoa ou por um sistema.

A autoridade de aplicação na Argentina é a Agência de Acesso à Informação Pública (AAIP), que além disso publicou um guia sobre uso responsável de inteligência artificial e um programa nacional de transparência no seu uso.

A confusão que é preciso tirar da frente primeiro

O fornecedor cumprir não isenta você.

O seu cliente deu os dados dele a você. Ter escolhido uma ferramenta que os processa é uma decisão sua, e a responsabilidade diante dessa pessoa continua sendo sua. O fornecedor é um elo, não um guarda-chuva.

Por isso as perguntas abaixo não são um trâmite de compras. São o que você vai ter que conseguir responder se alguém perguntar.

1. Vocês usam as minhas conversas para treinar modelos?

A pergunta mais direta, e a que mais se esquiva com respostas longas.

O que você procura é um não explícito e por escrito. As conversas dos seus clientes são suas e deles; que alimentem o modelo de outro é uma cessão de dados que ninguém autorizou você a fazer.

A nossa resposta: não são usadas para treinar modelos.

2. Quem, dentro do fornecedor, pode lê-las?

Diferente da anterior, e quase nunca feita.

Uma coisa é não treinar modelos, outra é quem tem acesso à base. Pergunte se há acessos nominais, em que casos alguém olha uma conversa, e se isso fica registrado.

3. Onde estão guardadas e sob que acordo?

A localização importa menos que o contrato, mas as duas se perguntam.

Peça para saber que fornecedores de infraestrutura estão por trás e que certificações têm. E peça um acordo de confidencialidade se a sua operação justificar: um fornecedor que não pode assiná-lo está dizendo algo.

4. Vocês avisam o meu cliente que ele fala com um sistema automático?

Aqui a direção regulatória é clara.

O programa nacional da AAIP sobre transparência no uso de inteligência artificial aponta para que as pessoas saibam quando há um sistema automatizado do outro lado. Não é só cortesia: é o eixo do enfoque regulatório, e os regimes de privacidade de outros países estão convergindo para o mesmo.

Na prática também convém comercialmente. A raiva não vem de falar com um sistema, vem de descobrir tarde.

5. O que acontece com as credenciais dos meus outros sistemas?

Se você conecta o seu sistema de gestão, está dando chaves a um terceiro.

Pergunte como são guardadas e se podem ser lidas de fora. A resposta correta é que ficam criptografadas e não são devolvidas, nem ao painel nem a ninguém que consulte a API.

6. O que fica registrado do que o sistema fez?

Um sistema que decide e não deixa rastro é impossível de auditar.

Pergunte que ações ficam anotadas e onde. E pergunte também o que não fica: um fornecedor honesto vai dizer onde termina o registro. No nosso caso ficam como notas privadas quatro ações concretas, e delas só a transferência registra o motivo.

7. O que acontece com os dados se eu sair?

A última, e a que mais define um fornecedor.

O que você leva, em que formato, e o que acontece com o que fica do lado deles. Pergunte antes de assinar, quando ainda tem poder de negociação.

As sete, para levar

#	Pergunta	Resposta que você procura
1	Vocês treinam modelos com as minhas conversas?	Não, por escrito
2	Quem pode lê-las?	Acessos restritos e registrados
3	Onde estão e sob que acordo?	Infraestrutura nomeada, acordo assinável
4	Avisa-se que é um sistema automático?	Sim, e configurável
5	Como guardam as minhas credenciais?	Criptografadas e não recuperáveis
6	O que fica registrado?	Ações anotadas, e os limites ditos
7	O que eu levo se sair?	Resposta concreta, antes de assinar

Conclusões

• A lei de proteção de dados se aplica igual quando quem processa é um sistema automático.
• Na Argentina a AAIP é a autoridade de aplicação e publicou um guia de uso responsável de inteligência artificial.
• A responsabilidade diante do seu cliente continua sendo sua, mesmo que o fornecedor cumpra.
• Treinar modelos e poder ler as conversas são duas perguntas diferentes.
• A transparência sobre o uso de sistemas automáticos é o eixo do enfoque regulatório.
• Pergunte como sair antes de entrar, incluídos os dados que você leva.