LGPD y datos personales en la IA

La LGPD establece que el tratamiento de datos personales con inteligencia artificial (IA) debe cumplir con principios como finalidad, necesidad, transparencia, seguridad y responsabilidad. Cualquier sistema de IA que maneje datos personales en Brasil debe tener una base legal válida, realizar evaluaciones de impacto y, cuando sea necesario, designar a un Encargado de Protección de Datos (DPO).

La base legal más común es el consentimiento, aunque en escenarios empresariales o públicos puede ser la obsolescencia o el interés legítimo. La Autoridad Nacional de Protección de Datos (ANPD) ha emitido orientaciones que vinculan explícitamente estos requisitos con los sistemas de IA. Las evaluaciones de impacto sobre protección de datos son obligatorias para procesamientos automatizados de alto riesgo, incluidos modelos de IA con efectos significativos en derechos fundamentales.

La ANPD puede multar por violaciones de la LGPD, destacando la responsabilidad conjunta entre controladores y operadores en flujos de IA. La LGPD no regula específicamente la "IA generativa", pero sus principios son aplicables. Un dato personal en el ámbito de la IA incluye tanto información directa (como nombre o CPF) como datos indirectos que permitan inferir perfiles, como patrones de comportamiento o ubicación.

Los datos sensibles, como origen racial o datos biométricos, requieren una base legal aún más reforzada. El controlador de los datos (quién establece las finalidades del tratamiento) es responsabilizado, así como el operador (quien actúa bajo instrucciones). Se exigen obligaciones adicionales como transparencia en decisiones automatizadas y medidas técnicas y organizativas para mitigar riesgos, incluyendo la anonimización diferencial y auditorías de sesgos.