GDPR 2.0 e IA: Porque é que os modelos de linguagem de grande dimensão padrão não podem cumprir a lei de proteção de dados

GDPR 2.0 e IA: Porque é que os modelos de linguagem de grande dimensão padrão não podem cumprir a lei de proteção de dados

The Nightmare Scenario

Here is a scenario that keeps Chief Privacy Officers and Data Protection Officers awake at night. It is not a data breach. It is not a hack. It is a customer exercising their fundamental rights under European law.

A customer (let us call him Mr. Schmidt) sends an email to your company. He cites Article 17 of the General Data Protection Regulation: the "Right to Erasure," commonly known as the Right to be Forgotten. He is no longer a customer. He wants his personal data deleted from all your systems. He has the legal right to demand this, and you have 30 days to comply.

For your traditional IT systems, this is a solved problem. Your database administrator runs a script: DELETE FROM customers WHERE id = 'schmidt_42';. The rows disappear from PostgreSQL. The backups are purged according to your retention schedule. The log entries are anonymized. You send Mr. Schmidt a confirmation email documenting what was deleted. Compliance achieved. The process costs approximately EUR 50 in administrative overhead.

But there is a problem. Last quarter, your data science team used customer support logs (including thousands of emails and chat transcripts from Mr. Schmidt over his 8-year relationship with your company) to fine-tune your Customer Service AI. This Large Language Model has ingested Mr. Schmidt's complaints, his shipping addresses, his payment disputes, perhaps even medical information he mentioned in a product liability claim.

Mr. Schmidt's data does not exist in the AI as a row in a table. It has been dissolved. It has been tokenized, converted into high-dimensional embedding vectors, and diffused across billions of floating-point weights. It is not stored in any human-readable form. It exists as a probabilistic tendency for the model to generate certain token sequences when prompted in certain ways.

Não pode executar uma consulta SQL numa rede neuronal. Não pode identificar quais neurónios específicos "contêm" o endereço de envio do Sr. Schmidt. Se perguntar ao modelo "Qual é o endereço do cliente schmidt_42?", ele poderá gerá-lo a partir das suas memórias dissolvidas. Ou poderá não gerar. Mas os dados estão lá, incorporados na estrutura matemática dos pesos do modelo.

Para "eliminar" verdadeiramente os dados do Sr. Schmidt, teria de destruir o modelo por completo e treiná-lo de novo do zero, excluindo cuidadosamente todos os dados associados a ele. Se esse modelo custou 5 milhões de EUR e demorou três meses a treinar num cluster de GPUs H100, um único pedido RGPD de um único cliente acabou de se tornar uma catástrofe financeira.

E tem 2 milhões de clientes. O que acontece quando o próximo pedido de eliminação chegar amanhã? E o seguinte no dia depois?

A Realidade Jurídica: Artigo 17.º do RGPD em Detalhe

O artigo 17.º do RGPD é inequívoco. Afirma que "o titular dos dados tem o direito de obter do responsável pelo tratamento o apagamento dos dados pessoais que lhe digam respeito, sem demora injustificada".

O regulamento define o apagamento como tornar os dados "já não disponíveis". Os tribunais europeus e as autoridades de proteção de dados têm interpretado consistentemente isto como exigindo a eliminação efetiva, não apenas ocultar ou desativar os dados. Os dados devem ser destruídos de uma forma que torne a recuperação impossível.

Para redes neuronais treinadas com dados pessoais, isto cria uma situação impossível:

• Os dados não estão "armazenados" em nenhuma forma recuperável. Foram transformados em padrões estatísticos distribuídos por milhares de milhões de parâmetros.
• Não existe nenhuma operação de "eliminar". As arquiteturas de redes neuronais não fornecem nenhum mecanismo para remover a influência de exemplos de treino específicos.
• O retreino é economicamente proibitivo. Para modelos grandes, o retreino completo custa milhões de euros e demora meses.
• O retreino parcial não funciona. Técnicas como "machine unlearning" não conseguem remover dados de forma comprovável. O fantasma dos dados permanece detetável.

As consequências jurídicas são graves. As violações do RGPD podem resultar em coimas até 20 milhões de EUR ou 4% do volume de negócios anual global, consoante o que for mais elevado. Para uma grande empresa, uma incapacidade sistemática de cumprir os pedidos de eliminação pode resultar em milhares de milhões em responsabilidades.

Porque é que o "Machine Unlearning" é uma Promessa Falsa

A comunidade académica de ciência da computação tem trabalhado freneticamente numa área chamada "machine unlearning". O objetivo é desenvolver algoritmos que possam atualizar cirurgicamente os pesos dos modelos para "esquecer" exemplos de treino específicos sem exigir um novo treino completo.

Isto parece promissor. Na prática, é um problema por resolver para modelos de grande dimensão e, muito provavelmente, insolúvel dadas as restrições matemáticas fundamentais.

Problema 1: Esquecimento Catastrófico

As redes neuronais aprendem ajustando pesos para minimizar o erro de previsão em todo o conjunto de dados de treino. Os pesos codificam representações distribuídas e sobrepostas. Tentar modificar cirurgicamente os pesos para remover um conhecimento específico danifica tipicamente a integridade estrutural do conhecimento relacionado.

Os investigadores descobriram que as tentativas de unlearning causam "esquecimento catastrófico", em que o modelo perde capacidades muito para além dos dados visados. Um modelo treinado com dados de apoio ao cliente pode "esquecer" como formar frases gramaticalmente corretas após um procedimento de unlearning direcionado a um único cliente.

Problema 2: A Verificação é Impossível

Mesmo após um procedimento de unlearning, como prova que os dados desapareceram realmente? Ataques sofisticados como Membership Inference Attacks e Model Inversion Attacks conseguem detetar se dados específicos fizeram parte do conjunto de treino. A investigação mostrou que as técnicas atuais de unlearning falham nestes testes. A assinatura estatística dos dados de treino permanece detetável.

Se um regulador auditar o seu modelo e concluir que, apesar do seu procedimento de "unlearning", o modelo ainda apresenta padrões característicos dos dados do Sr. Schmidt, está em incumprimento. O ónus da prova recai sobre si para demonstrar a eliminação completa e, com a tecnologia atual, essa prova não pode ser fornecida.

Problema 3: Precedente Legal

As autoridades europeias de proteção de dados ainda não se pronunciaram formalmente sobre se o machine unlearning satisfaz os requisitos do RGPD. No entanto, a tendência da aplicação da lei sugere que exigirão uma eliminação demonstrável e verificável. "Executámos um algoritmo que provavelmente reduziu a influência dos dados" dificilmente satisfará reguladores habituados à certeza das instruções DELETE de bases de dados.

A Solução Arquitetural: Separação entre Raciocínio e Dados

Na Dweve, reconhecemos cedo que o machine unlearning é uma armadilha. Não se resolve um problema arquitetural com remendos algorítmicos. A solução é conceber sistemas de IA onde o problema nunca exista em primeiro lugar.

A nossa abordagem baseia-se num princípio arquitetural fundamental: separação estrita entre capacidades de raciocínio e dados pessoais. O modelo de IA contém inteligência (a capacidade de raciocinar, analisar e gerar). Os dados pessoais vivem em sistemas de armazenamento separados e governáveis, onde podem ser devidamente geridos, auditados e eliminados.

Princípio 1: Modelos baseados em restrições sem dados pessoais

Os modelos fundacionais da Dweve são construídos com recurso à Descoberta de Restrições Binárias, e não à aprendizagem profunda tradicional sobre dados pessoais. Treinamos os nossos modelos principais (os 1.937 algoritmos no Dweve Core e os 456 conjuntos de restrições no Dweve Loom) em fontes estritamente não pessoais:

• Artigos científicos e documentação técnica (domínio público)
• Repositórios de código aberto (licenciados)
• Tarefas de raciocínio sintético e quebra-cabeças lógicos
• Padrões estatísticos anonimizados e agregados
• Especificações formais e bases de conhecimento estruturadas

Filtramos de forma rigorosa qualquer Informação Pessoal Identificável (PII) antes de iniciar qualquer processo de treino. O nosso pipeline epistemológico de sete fases no Dweve Spindle inclui deteção automática de PII como parte das fases de Candidato e Extraído. A hierarquia de 32 agentes inclui agentes especializados em identificar e remover dados pessoais antes de estes poderem entrar no sistema de conhecimento.

O resultado são modelos que compreendem linguagem, lógica, raciocínio e conhecimento de domínio sem conterem informações pessoais de qualquer indivíduo específico. Compreendem o conceito de uma "reclamação de cliente" sem saber quem é qualquer cliente específico. Conseguem analisar uma disputa de envio sem nunca terem visto a morada do Sr. Schmidt.

Princípio 2: Injeção de contexto em tempo de execução

Se o modelo não contém dados pessoais, como é que ajuda o Sr. Schmidt com a sua pergunta específica sobre a sua encomenda específica?

A resposta é a injeção de contexto em tempo de execução. Quando o Sr. Schmidt pergunta "Onde está a minha encomenda?", o nosso sistema:

1. Autentica e autoriza o pedido - Verifica a identidade do Sr. Schmidt e o seu direito de aceder a estes dados.
2. Consulta o armazenamento de dados seguro - Recupera os registos relevantes do Sr. Schmidt de uma base de dados tradicional e em conformidade com o RGPD (as suas encomendas recentes, estado do envio, números de rastreio).
3. Injeta contexto na memória de trabalho - Coloca os dados recuperados na janela de contexto do modelo, juntamente com a sua pergunta.
4. Gera uma resposta - O modelo utiliza as suas capacidades de raciocínio para analisar o contexto fornecido e gerar uma resposta útil.
5. Limpa o contexto - Imediatamente após a geração da resposta, a janela de contexto é limpa. Os dados pessoais existiram na memória apenas durante os milissegundos necessários para processar o pedido.

O prompt torna-se efetivamente: "Aqui está um registo de cliente: [dados estruturados da base de dados]. O cliente pergunta: 'Onde está a minha encomenda?' Por favor, forneça uma resposta útil."

O modelo não "se lembra" do Sr. Schmidt entre sessões. Não acumula conhecimento sobre ele. Cada interação é sem estado. Os dados pessoais fluem pelo sistema como água por um cano, tocando temporariamente o motor de raciocínio, mas nunca sendo absorvidos por ele.

Princípio 3: Ciclo de vida do conhecimento governável

O Dweve Spindle fornece governação de conhecimento de nível empresarial com gestão completa do ciclo de vida. Cada informação que entra no sistema é rastreada através do nosso pipeline epistemológico de sete fases:

1. Candidato: Informação bruta identificada e etiquetada com fonte, carimbo temporal e classificação de dados.
2. Extraído: Informação estruturada extraída com deteção de PII.
3. Analisado: Decomposto em factos atómicos com classificação de sensibilidade.
4. Ligado: Associado ao grafo de conhecimento com mapeamento de relações.
5. Verificado: Validação multi-fonte e confirmação de exatidão.
6. Certificado: Garantia de qualidade com pontuação de confiança.
7. Canónico: Estatuto de autoridade com trilho de auditoria completo.

Para dados pessoais, este pipeline garante que cada informação tenha uma linhagem clara, um período de retenção definido e um caminho de eliminação. Quando o Sr. Schmidt solicitar a eliminação, podemos:

• Identificar todos os sistemas onde os seus dados existem
• Executar a eliminação em todos os sistemas
• Gerar um relatório de conformidade que mostre exatamente o que foi eliminado, quando e de onde
• Provar que não restam dados residuais nos pesos de qualquer modelo (porque nunca lá estiveram)

Privacidade Diferencial para Aprendizagem Agregada

Existem casos de utilização legítimos em que é necessário aprender padrões a partir de dados que incluem informações pessoais. Um hospital pode querer treinar uma IA para detetar indicadores precoces de cancro a partir de exames de doentes. Uma seguradora pode precisar de modelar padrões de risco a partir do histórico de sinistros. Um banco pode querer detetar padrões de fraude a partir de dados de transações.

Para estes casos, a Dweve implementa Privacidade Diferencial (DP), o padrão de ouro da aprendizagem automática que preserva a privacidade.

A Privacidade Diferencial é um enquadramento matemático que oferece garantias de privacidade comprováveis. Durante o processo de aprendizagem, adicionamos ruído estatístico calibrado aos cálculos. Limitamos a influência de qualquer ponto de dados individual para evitar que este domine os padrões aprendidos.

O resultado é um modelo que aprende padrões ao nível da população ("Doentes com as características X, Y, Z têm um risco elevado da condição W") sem conseguir reproduzir os dados específicos de qualquer indivíduo ("O doente Hans Mueller tem o marcador genético Z").

Com a Privacidade Diferencial, podemos calcular um orçamento matemático de privacidade chamado épsilon (ε). Este valor quantifica a fuga máxima possível de privacidade. Podemos provar aos reguladores: "A probabilidade de reidentificar qualquer indivíduo a partir deste modelo é limitada por ε, que está abaixo do limiar regulamentar." A privacidade transforma-se de uma promessa vaga numa garantia matemática com prova formal.

Esta abordagem satisfaz o princípio do RGPD da "privacidade desde a conceção e por defeito" (artigo 25.º). A proteção da privacidade não é uma reflexão tardia nem uma caixa de verificação. Está incorporada nos fundamentos matemáticos da forma como o sistema aprende.

A Vantagem da Conformidade

Muitas empresas, sobretudo as sediadas em jurisdições com proteções de privacidade mais fracas, encaram o RGPD como um fardo. Tratam a privacidade como um centro de custos, um obstáculo legal, um entrave à inovação.

Nós vemos as coisas de outra forma. A conformidade com o RGPD, quando bem feita, é uma vantagem competitiva.

Confiança: Os clientes preocupam-se cada vez mais com a forma como os seus dados são tratados. Um compromisso demonstrável com a privacidade (não apenas uma política de privacidade escondida nas entrelinhas, mas decisões arquiteturais concretas que tornam o uso indevido impossível) gera confiança, que se traduz em fidelização do cliente e na disponibilidade para partilhar dados.

Redução de risco: As multas do RGPD são avultadas, mas os danos reputacionais decorrentes de violações de privacidade podem ser piores. As empresas que incorporam a privacidade na sua arquitetura eliminam categorias inteiras de risco.

Melhores sistemas: As restrições arquiteturais que permitem a privacidade (separação de responsabilidades, fluxos de dados explícitos, trilhos de auditoria, gestão do ciclo de vida) também produzem sistemas melhor concebidos. São mais fáceis de manter, de depurar e de testar. A privacidade e a qualidade reforçam-se mutuamente.

Preparação para o futuro: A regulamentação da privacidade está a tornar-se cada vez mais rigorosa. O Regulamento IA da UE, que entra em vigor em 2026, acrescenta requisitos adicionais para os sistemas de IA que processam dados pessoais. As empresas que construírem hoje uma arquitetura conforme com a privacidade não terão de adaptar os seus sistemas amanhã.

O Que Isto Significa para a Sua Organização

Se está a implementar sistemas de IA que interagem com dados pessoais, enfrenta uma escolha:

Opção 1: Esperar pelo melhor. Implementar LLMs padrão, treiná-los com dados de clientes e esperar que os reguladores não apareçam. Esperar que os algoritmos de "desaprendizagem automática" amadureçam antes de ser apanhado. Esperar que as multas continuem a ser teóricas.

É esta a abordagem que a maioria dos fornecedores de IA adota atualmente. É também a abordagem que resultará em falhas de conformidade massivas à medida que a aplicação da lei se intensifica.

Opção 2: Incorporar a conformidade na arquitetura. Implementar sistemas de IA concebidos de raiz para respeitar o ciclo de vida dos dados, manter trilhos de auditoria e permitir a eliminação efetiva. Utilizar modelos que contêm inteligência sem conter dados pessoais. Aplicar privacidade diferencial em qualquer aprendizagem agregada que tenha de tocar em dados pessoais.

Esta é a abordagem Dweve. Exige mais trabalho inicial, mas elimina categorias inteiras de risco legal, reputacional e financeiro.

O Caminho a Seguir

O RGPD foi promulgado em 2018, antes de existir a atual geração de modelos de linguagem de grande dimensão. Os redatores do regulamento não poderiam ter antecipado o desafio específico dos dados pessoais dissolvidos nos pesos das redes neuronais.

Mas os princípios que articularam continuam válidos: os indivíduos têm direitos fundamentais sobre os seus dados pessoais, incluindo o direito a que sejam apagados. Qualquer sistema de IA que não consiga honrar estes direitos é, fundamentalmente, não conforme. Não importa quão impressionantes sejam as capacidades ou quão valiosos sejam os conhecimentos obtidos. Se não conseguir apagar os dados, está a violar a lei.

As empresas que prosperarão na era da IA não são as que acumulam mais dados ou treinam os maiores modelos. São as que constroem os sistemas mais fiáveis. Sistemas que conseguem explicar as suas decisões, que respeitam os direitos dos utilizadores, que conseguem provar conformidade através da arquitetura e não de promessas.

A Dweve constrói IA que respeita os direitos dos dados por conceção. A nossa arquitetura Binary Constraint Discovery garante que os dados pessoais nunca entram nos pesos dos modelos. A nossa plataforma de governação de conhecimento Spindle proporciona gestão completa do ciclo de vida com trilhos de auditoria completos. As nossas implementações de privacidade diferencial permitem aprendizagem agregada com garantias matemáticas de privacidade.

Se a sua organização está a lidar com a interseção entre IA e regulamentação de privacidade, se precisa de capacidades de IA sem a responsabilidade do RGPD, se quer construir confiança dos clientes através de proteção de privacidade demonstrável, devemos conversar.

O direito a ser esquecido não é opcional. É a lei. E com a arquitetura certa, é alcançável.