Opinião e Análise

Caitlin Mulholland

Isabella Z. Frajhof

Há uma crescente demanda pela elaboração de relatórios de impacto que identifiquem os riscos associados ao desenvolvimento e usos da <a href="https://www.jota.info/tudo-sobre/inteligencia-artificial?non-beta=1">inteligência artificial</a> (IA), especialmente no que se refere aos riscos a direitos humanos<a href="#_edn1" name="_ednref1">[1]</a>. Aqueles são compreendidos como um mecanismo de prestação de contas e responsabilização (accountability) e de transparência da tecnologia, fornecendo um mapeamento dos riscos, como estes afetam direitos, e as medidas de mitigação e/ou eliminação adotadas.
Assim, este artigo tem por objetivo detalhar as previsões do <a href="https://www25.senado.leg.br/web/atividade/materias/-/materia/157233">PL 2338/2023</a><a href="#_edn2" name="_ednref2">[2]</a>, que prevê, em seu artigo 23, o que se denominou como a Avaliação de Impacto Algorítmico (AIA), comparando com as previsões da AIA propostas pelo <a href="https://legis.senado.leg.br/comissoes/arquivos?ap=8139&amp;codcol=2629">recente substitutivo</a> apresentado pelo senador Eduardo Gomes (PL-TO).<a href="#_edn3" name="_ednref3">[3]</a>
A AIA é uma medida de governança mandatória para sistemas de IA classificados como de alto risco pelo fornecedor do sistema de IA em sua avaliação preliminar (art. 13, § 4º). Há, portanto, uma diferença entre estes dois tipos de avaliações, isto é, a AIA e a avaliação preliminar.
Esta última consiste em uma análise realizada de maneira individual pelo fornecedor para aferir o grau de risco do sistema de IA de acordo com as hipóteses previstas pelo art. 17, antes da sua colocação no mercado ou utilização. Por sua vez, a AIA se fundamenta como uma medida de governança que visa identificar, mitigar e/ou eliminar os riscos associados ao uso das IAs de alto risco, sendo obrigatória para IAs de alto risco, e opcional para IAs de baixo ou sem risco.
O art. 22, § único, indica que a autoridade competente criada pelo PL (art. 31), será notificada sobre o sistema de alto risco por meio do compartilhamento das avaliações preliminar e de impacto. Já as IAs que não forem classificadas como de alto risco apenas deverão registrar e documentar a avaliação preliminar para fins de responsabilização e prestação de contas, sem a necessidade de compartilhamento deste documento com a autoridade competente (art. 13, § 2º). O substitutivo ora analisado inova ao atribuir a competência da autoridade para regulamentar este procedimento de notificação e compartilhamento das avaliações.
Quanto a quem poderá elaborar a AIA, o art. 23, do PL 2338, indica que esta deverá ser realizada "por profissional ou equipe de profissionais com conhecimentos técnicos, científicos e jurídicos" que tenham independência funcional (o substitutivo adiciona "regulatório").
Ademais, o art. 23, § único, indica que caberá à autoridade competente regulamentar os casos em que a realização da AIA, ou a sua auditoria, deva ser necessariamente conduzida por "profissional ou equipe de profissionais externos ao fornecedor". Ou seja, via de regra, o profissional ou equipe responsável pela elaboração da AIA, ou por conduzir a sua auditoria, poderá(ão) ser colaborador(es) do próprio fornecedor, desde que tenha autonomia e liberdade em suas atribuições. Sobre este tema, o substitutivo indicou que caberá à autoridade regulamentar os critérios de independência funcional.
O art. 24, lista a metodologia mínima que deverá ser observada na elaboração da AIA, que deverá conter quatro etapas: preparação, cognição do risco, mitigação dos riscos e seu monitoramento.
Deverão ser registrados, ao menos: os riscos conhecidos, previsíveis e prováveis à época do desenvolvimento, e os riscos que podem razoavelmente dele esperar; os benefícios; probabilidade de consequências adversas, incluindo número de pessoas potencialmente impactadas, sua gravidade e medidas de mitigação; transparência (lógica de funcionamento; processo e resultados de testes, avaliações e medidas de mitigação de impactos a direitos, com especial destaque aos potenciais impactos discriminatórios); treinamento e ações de conscientização dos riscos; mitigação e indicação de riscos residuais, e sua justificação, testes de controle e de qualidade; e transparência ao público dos riscos residuais com alto grau de nocividade ou periculosidade à saúde ou segurança do usuário.
O substitutivo suprimiu a previsão da etapa de preparação da AIA, além de ter modificado alguns elementos, acrescentando à alínea "a" que os riscos estão associados a direitos fundamentais individuais e sociais, e removendo as alíneas "f" e "h", que se referiam aos testes e controles realizados.
Reforçando o princípio da precaução (art. 3º, XI), o art. 24, § 2º, do PL 2338, aponta que sistemas de IA que "possam gerar impactos irreversíveis ou de difícil reversão" deverão levar em consideração na AIA evidências: incipientes (riscos que estão começando a se manifestar, mas não estão completamente evidentes), incompletas (riscos que não são totalmente compreendidos, com informações insuficientes) e especulativas (evidências baseadas em suposições e/ou em hipóteses que ainda não foram comprovadas).
O art. 24, § 3º, possui uma redação confusa. A primeira parte do artigo indica que caberá à autoridade competente prever novos critérios e elementos para elaboração da AIA. A segunda parte indica que a autoridade poderá incluir "a participação dos diferentes segmentos sociais afetados, conforme risco e porte econômico da organização". Assim, a dúvida reside em saber se (1) novos critérios e elementos poderão ser definidos e variar de acordo com o risco e porte econômico da organização, ou (2) se a participação de organizações de diferentes segmentos sociais para propor estes novos critérios está condicionada ao seu risco e porte econômico.
Em relação à periodicidade de atualização da AIA, o PL definiu que a autoridade competente poderá regulamentar a sua frequência, devendo considerar o ciclo de vida dos sistemas de IA de alto risco e os setores de aplicação, podendo ser "incorpora[das] melhores práticas setoriais" (art. 24, § 4º). O substitutivo é taxativo, indicando que a autoridade deve observar a regulamentação setorial existente.
Ademais, o art. 24, § 5º, do PL 2338, cria a obrigação de que os agentes de IA comuniquem, imediatamente, "às autoridades competente e às pessoas afetadas pelo sistema de inteligência artificial" quando, após a sua introdução no mercado ou utilização, tiverem conhecimento de risco inesperado aos direitos de pessoas naturais. Há um erro formal de concordância, que parece indicar que esta comunicação deve ser feita às autoridades que atraem a competência para o tipo de incidente em questão. Por exemplo, a Autoridade Nacional de Dados Pessoais (<a href="https://www.jota.info/tudo-sobre/anpd?non-beta=1">ANPD</a>) deveria ser notificada quando o incidente envolver dados pessoais. Quanto ao substitutivo, o mesmo qualifica o risco, que não deve ser apenas inesperado, mas relevante.
Um aspecto importante da AIA é o seu reconhecimento enquanto "documento vivo”. Neste sentido, o art. 25, indica que a AIA é um processo iterativo contínuo, devendo ser executado ao longo de todo ciclo de vida dos sistemas de IA de alto risco, sendo requeridas atualizações periódicas, conforme regulamentação pela autoridade competente. Esta previsão está em linha com a regra geral das medidas de governança de sistemas de IA que, independentemente do seu grau de risco, devem ser adotadas desde a concepção, até o seu encerramento e descontinuação (art. 18, § 1º).
O art. 25, § 2º, indica que a atualização da AIA contará com participação pública, que deve ocorrer por meio de procedimento de consulta, ainda que de forma simplificada, buscando uma participação legítima e democrática.
Por sua vez, o art. 25 do substitutivo propõe alterações interessantes em relação à participação pública. O caput prevê que a atualização e a elaboração da AIA deverão, sempre que possível, de acordo com o risco e porte econômico da organização, incluir a participação pública. Esta deve ser efetiva, principalmente quando se referir a grupos vulneráveis. O par. único do artigo indica que a autoridade competente poderá dispensar a participação pública, indicando quando a mesma deverá ocorrer de forma simplificada e os critérios para sua realização.
O art. 26, do PL 2338, aponta que as conclusões da AIA serão públicas, garantindo-se a proteção aos segredos industriais e comerciais, com a necessidade de abertura de, ao menos, as seguintes informações: (I) finalidade, contexto de uso, escopo territorial e temporal da IA; (II) os riscos identificados, as medidas de mitigação, e seu patamar residual, diante da implementação das medidas adotadas; (III) descrição da participação dos diferentes segmentos afetados, quando estes tiverem participado na elaboração dos novos critérios e elementos da AIA (art. 24, § 3º).
Em contrapartida, o substitutivo altera o art. 26, fixando que ao menos as conclusões da AIA serão públicas, observados os segredos industrial e comercial. Acrescentou-se, de maneira bem-vinda, o art. 28, indicando que, caso um relatório de impacto de proteção de dados pessoais seja realizado, nos termos da LGPD, a AIA poderá ser realizada em conjunto.
As previsões da AIA do PL 2.338 evidenciam como esta medida de governança desempenha um papel importante na identificação e mitigação de riscos a direitos fundamentais. Este artigo pretendeu, portanto, contribuir para o debate deste importante mecanismo, destacando seu papel na proteção de direitos e no desenvolvimento de sistemas de IA seguros e confiáveis.
<hr />
<a href="#_ednref1" name="_edn1">[1]</a> RESIMAN, Dillon; SCHULTZ, Jason; CRAWFORD, Kate; WHITTAKER, Meredith. Algorithmic Impact Assessments: A practical Framework for Public Agency Accountability. AI Now, abril de 2018. Disponível em: <a href="https://ainowinstitute.org/aiareport2018.pdf">https://ainowinstitute.org/aiareport2018.pdf</a>. Acessado em 01.05.2021; SELBST, Andrew. Disparate Impact in Big Data Policing. 52 Georgia Law Review 109, 2017. Disponível em: &lt;<a href="https://ssrn.com/abstract=2819182">https://ssrn.com/abstract=2819182</a>&gt;. Acessado em 12.01.2022; ARTICLE 19. Governance with teeth: How human rights can strengthen FAT and ethics initiatives on artificial intelligence. Londres, Reino Unido, abril de 2019. Disponível em: &lt;<a href="https://www.article19.org/wp-content/uploads/2019/04/Governance-with-teeth_A19_April_2019.pdf">https://www.article19.org/wp-content/uploads/2019/04/Governance-with-teeth_A19_April_2019.pdf</a>&gt;. Acessado em 20.01.2020.
<a href="#_ednref2" name="_edn2">[2]</a> Acolhendo a esta demanda, o Projeto de Lei (PL) n. 2.338, de 2023, apresentado pelo Senador Rodrigo Pacheco, prevê, em seu artigo 23, o que se denominou como a Avaliação de Impacto Algorítmico (AIA). O referido PL é o resultado do <a href="https://www.stj.jus.br/sites/portalp/SiteAssets/documentos/noticias/Relato%CC%81rio%20final%20CJSUBIA.pdf">trabalho da CJUSBIA</a>, uma Comissão de Juristas responsável por subsidiar a elaboração do substitutivo sobre Inteligência Artificial no Brasil para os Projetos de Lei nºs 5.051, de 2019, 21, de 2020, e 872, de 2021. Diante da qualidade do trabalho final, o substitutivo foi autuado de maneira autônoma como projeto de lei.
<a href="#_ednref3" name="_edn3">[3]</a> O referido substitutivo foi apresentado na Comissão Temporária Interna sobre Inteligência Artificial no Brasil (CTIA), e ganhou notoriedade por incorporar demandas vindas do mercado, da sociedade civil e da academia.

53630142636_8fda01460e_k

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Previsões do projeto que tramita no Senado evidenciam papel importante desta medida de governança

Avaliação de impacto algorítmico no PL 2338/23

Avaliação de impacto algorítmico no PL 2338/23 evidencia papel importante desta medida de governança de inteligência artificial (IA)