Na quarta-feira, os Estados-Membros da UE aprovaram uma alteração ao RGPD que colocaria os interesses lucrativos da OpenAI, da Anthropic, da Google, da Meta e da SpaceX acima do direito fundamental dos europeus à proteção de dados. De acordo com o texto aprovado, o tratamento de dados pessoais «no contexto da IA» deve ser automaticamente lícito. Em particular, as grandes empresas tecnológicas poderiam utilizar todos os dados pessoais recolhidos nas últimas décadas praticamente sem restrições, desde que tal ocorra «no contexto» da IA. Schrems: «Nos termos do texto acordado, os lucros das empresas de IA prevaleceriam, na regra geral, sobre o direito fundamental dos europeus à privacidade. Isto não passa de uma expropriação digital dos europeus.» Tudo isto está a acontecer apesar de as figuras-chave das empresas de IA alertarem ativamente para os enormes riscos associados aos seus próprios produtos.
Últimos limites caem: os lucros das empresas de IA prevalecem sobre a proteção de dados? Noâmbito da proposta «Digital Omnibus», a Comissão Europeia afirmou que iria apenas introduzir alterações menores para simplificar as coisas para as empresas da UE. Ao mesmo tempo, afirmou explicitamente que iria manter um «elevado nível de proteção» para os cidadãos europeus. Por conseguinte, foi escolhido um «procedimento acelerado». Tal foi feito sem se realizar uma avaliação dos direitos fundamentais nem se envolver diretamente o grupo de peritos europeus em matéria de proteção de dados.
O artigo 88.º-C, tal como proposto pela Comissão Europeia (agora artigo 88.º-A no documento do Conselho), visa liberalizar a utilização de dados pessoais para a IA. A proposta encontra-se atualmente no Conselho, onde a Presidência irlandesa detém atualmente o comando. A Irlanda serve também de sede na UE para a maioria das empresas de IA dos EUA e da China.
Expropriação digital: aprovada no Conselho. Com o apoio da Alemanha e de outras potências da UE, o Conselho (em representação dos Estados-Membros da UE) aprovou na quarta-feira que as empresas devem, em geral, ser autorizadas a fazer praticamente tudo ao utilizarem dados pessoais «no contexto da IA». Isto significa que os interesses comerciais das empresas de IA prevaleceriam, em geral, sobre os direitos fundamentais dos utilizadores. Esta autorização geral aplicar-se-ia também a pessoas que nunca tenham sido clientes de uma empresa de IA e a dados introduzidos há décadas, por exemplo, em conversas ou nas redes sociais. Todos os dados pessoais a que uma empresa de IA consiga, de alguma forma, aceder estariam abrangidos por esta disposição. Não haveria necessidade de solicitar o consentimento dos utilizadores. Em vez disso, presume-se automaticamente que as empresas têm um «interesse legítimo» preponderante se utilizarem ou treinarem qualquer produto de IA.
O Conselho acrescentou uma referência aos direitos e deveres existentes ao abrigo do artigo 21.º (direito de recusa em casos específicos) e do artigo 24.º do RGPD (necessidade de implementação técnica e organizacional dos deveres legais), mas estas supostas «salvaguardas» aplicariam-se a qualquer tratamento, mesmo sem essa referência. Em essência, o novo artigo 88.º-A sobre IA não exige quaisquer salvaguardas substanciais.
Max Schrems: «Na quarta-feira, os Estados-Membros da UE concordaram em recolher os nossos dados e fornecê-los gratuitamente a empresas de IA. Durante décadas, temos vindo a dizer às pessoas que os seus dados estão seguros e que, na melhor das hipóteses, são utilizados para publicidade. Agora, a Google, a Meta e a Microsoft podem simplesmente utilizar todos os dados que recolheram, praticamente sem limites e para qualquer projeto que envolva algum componente de «IA». Este é o maior presente que os Estados-Membros da UE alguma vez ofereceram às grandes empresas tecnológicas dos EUA.»
A venda de dados europeus aos EUA e à China. Os políticos parecem acreditar que a economia europeia irá beneficiar com a revogação do maior número possível de leis. No entanto, é de esperar exatamente o contrário: a maioria das empresas da UE não tem acesso ao mesmo volume de dados nem ao capital necessário para competir com as empresas norte-americanas. Em muitos casos, isto também poderá significar que os dados recolhidos por empresas da UE (mas tratados em plataformas ou serviços fora da UE) fluiriam para fornecedores nos EUA ou na China.
Max Schrems: «Esta alteração legislativa beneficia principalmente os grandes intervenientes, aqueles que recolheram quantidades massivas de dados europeus. Trata-se de uma venda total dos dados europeus a empresas globais. Resultaria também na transferência de uma grande quantidade de know-how das empresas da UE para os EUA ou a China. Do ponto de vista da política industrial, tal abordagem é uma loucura.»
Um cheque em branco para toda uma tecnologia? Normalmente, o RGPD permite o tratamento para fins específicos (por exemplo, conservação para registos fiscais ou prevenção de fraudes). No entanto, o artigo 88.º-C (ou artigo 88.º-A) acordado legitima toda uma tecnologia. Independentemente da finalidade para a qual seja utilizado, qualquer sistema de IA poderia, por defeito, recolher legalmente quaisquer dados pessoais. Por exemplo, o artigo proposto permitiria também o treino e a utilização da IA para manipulação, desinformação, a geração de imagens de nudez ou drones assassinos e, na verdade, qualquer outra finalidade questionável. Muitas operações de tratamento que até agora eram ilegais poderiam, de repente, tornar-se legais — apenas porque são realizadas «no contexto» de um sistema de IA. Por exemplo, o tratamento de dados para fins de publicidade personalizada (sem consentimento) é atualmente ilegal na UE. Agora, porém, a publicidade poderia tornar-se subitamente legal se fosse personalizada utilizando tecnologia de IA.
Max Schrems: «É como dizer que vale tudo — não importa o que se faça — desde que seja feito com IA. Se algo é ilegal numa folha de cálculo do Excel, torna-se legal se for feito com um agente de IA. É totalmente absurdo dar tratamento preferencial a uma tecnologia de alto risco em detrimento de todos os outros sistemas informáticos.»
A promessa de 45 anos de proteção de dados está a desmoronar-se. A nível europeu, a legislação em matéria de proteção de dados existe desde 1981. Durante décadas, foi prometido aos europeus que essa proteção de dados (supostamente) «rigorosa» garantiria que plataformas como o Twitter/X, o Facebook ou o Instagram, e empresas como a Google ou a Microsoft, que recolhem enormes quantidades de dados, «nunca» os utilizariam para outros fins que não aqueles para os quais foram partilhados. O artigo 88.º-C (ou agora 88.º-A) proposto quebra esta promessa: todos os dados recolhidos ficam subitamente à disposição de qualquer sistema de IA para qualquer utilização.
Max Schrems: «Desde a década de 1980 que prometemos às pessoas que, embora as grandes empresas possam reter dados, só lhes é permitido utilizá-los de forma limitada. No entanto, o artigo 88.º-A abre subitamente as comportas e permite a utilização ilimitada de todos os dados para a IA.»
Mais limitações massivas às proteções e aos direitos. Além disso, os Estados-Membros da UE propuseram restringir drasticamente a definição de «dados pessoais». Isto significa que, entre outras coisas, não é claro se o rastreio online continuaria a ser abrangido pelo RGPD. Isto deverá ser feito através dos chamados «pseudónimos», que, em regra, deixarão de estar abrangidos pelo RGPD. O problema é que a maioria dos sistemas informáticos funciona principalmente com pseudónimos (tais como IDs de utilizador, IDs de rastreamento, endereços IP ou números de segurança social). A decisão sobre se os dados continuam a ser «pessoais» seria tomada principalmente pelas empresas reguladas pela lei. Estes debates arrastam-se normalmente durante anos e mergulham os procedimentos em enormes atrasos e custos exorbitantes — o que está longe de ser uma «simplificação».
Max Schrems: «Estas alterações saíram diretamente do manual de qualquer grande sociedade de advogados que defenda as grandes empresas tecnológicas. Passámos anos nos tribunais e perante as autoridades para conseguir que estas alegações fossem rejeitadas. O legislador da UE irá provavelmente impulsioná-las e, consequentemente, tornar a legislação da UE ainda mais complexa e inexequível.»
Próximo campo de batalha: o Parlamento Europeu. Este acordo não constitui um acordo sobre a lei definitiva. O Conselho tem de negociar a redação final com o Parlamento Europeu, que ainda não tomou uma posição. A Comissão Europeia é a terceira instituição envolvida no chamado «trílogos» que conduzirão a uma lei definitiva da UE. A Comissão já deu uma volta de 180 graus há algum tempo e, atualmente, dá claramente prioridade aos interesses dos lobbies da indústria em detrimento dos direitos fundamentais.
A posição do Parlamento Europeu ainda está a ser definida. Enquanto a maioria do Partido Popular Europeu (PPE) tende a defender a introdução de cada vez mais lacunas nas leis digitais da UE, os deputados europeus dos grupos políticos de centro-esquerda têm, até agora, resistido e defendem a manutenção do status quo. Cada vez mais, também os grupos de extrema-direita opõem-se às propostas de um «passe livre» para as grandes empresas tecnológicas.
Última esperança: o Tribunal de Justiça? Aquestão principal parece ser se uma lei sem quaisquer restrições significativas pode, de alguma forma, ser conciliada com os direitos fundamentais da UE. No passado, o Tribunal de Justiça da União Europeia anulou legislação da UE em casos que envolviam violações muito menos significativas dos direitos fundamentais da UE, tais como a retenção de dados ou a transferência de dados da UE para os Estados Unidos.
Max Schrems: «Se o legislador perdeu todo o sentido de proporção e orientação, as pessoas só podem recorrer aos tribunais. Qualquer lei extrema que apresente um risco elevado de ser anulada acabaria, ao mesmo tempo, por criar apenas mais incerteza jurídica, em vez da simplificação prometida.»
