REP27 · Software · empresas de IA
Artigo 3(2) RGPD · Lei de IA · dois representantes diferentes
Duas leis europeias agora pedem que empresas fora da União nomeiem alguém dentro dela, e elas estão constantemente confusas. O Artigo 27 do RGPD quer um representante para dados pessoais , acionado pelos seus usuários. A Lei de IA quer um representante autorizado para sistemas de alto risco , acionado pelo que o sistema faz. A maioria das empresas de IA precisa do primeiro muito antes do segundo, e quase nenhuma delas percebe que o primeiro se aplica desde sua primeira inscrição europeia.
Fornecedores de modelos Ajuste fino Agentes Análise Registros de prompt usuários da UE
Eles não são alternativas e um nunca satisfaz o outro. O do RGPD é barato, imediato e se aplica a quase todos; o da Lei de IA se aplica por classe de risco e chega em fases.
A surpresa recorrente é a terceira linha. As equipes aceitam que contas de usuários são dados pessoais e então tratam prompts como texto opaco, quando os prompts são exatamente onde nomes, endereços, detalhes médicos e históricos de emprego chegam em volume.
Registros pseudonimizados com um identificador de sessão ou conta ainda são dados pessoais. A verdadeira anonimização é irreversível, e quase nenhum pipeline de produção a alcança.
A infraestrutura não é estabelecimento. O considerando 22 pede atividade efetiva e real através de arranjos estáveis próprios.
Os funcionários do seu cliente são indivíduos, e seus prompts são processamento. Ser B2B muda o contrato, não a análise sob o Artigo 3(2).
O Artigo 27 se aplica também aos processadores. É uma das poucas obrigações que não muda com o papel.
Para fornecedores de IA, o argumento comercial geralmente supera o legal. As equipes de compras europeias adicionaram o representante ao questionário padrão, ao lado do contrato de processamento de dados e da lista de sub-processadores.
Assinado e datado, nomeando uma entidade com um número de empresa real que eles podem consultar.
Com um código de verificação, o comprador pode verificar sem entrar em contato com você, o que elimina uma troca de e-mail em cada negociação.
Detido pelo representante e disponível para as autoridades, que muitas vezes é o documento mais fraco no arquivo de um fornecedor de IA.
Nomeado em seu aviso de privacidade sob o Artigo 13(1)(a), onde a equipe jurídica do comprador irá olhar antes de perguntar a você.
O registro é o documento que transforma uma obrigação abstrata em uma obrigação prática, e para empresas de IA é incomumente revelador: força você a escrever o que acontece com os prompts.
| Processamento | Categorias de dados | Pergunta típica sobre retenção |
|---|---|---|
| Conta e faturamento | Nome, e-mail, empresa, referência de pagamento | Quanto tempo após o cancelamento? |
| Registros de prompt e conclusão | Qualquer coisa que os usuários digitam, que é imprevisível | Eles são usados para treinamento, e um usuário pode optar por não participar? |
| Ajustando conjuntos de dados | Conteúdo do cliente, às vezes categorias especiais | Um único registro pode ser removido após o treinamento? |
| Avaliação de abuso e segurança | Conteúdo sinalizado, notas do revisor | Quem revisa, em qual país? |
| Análise de produtos | Identificadores, eventos, dados de sessão | Agregado ou por usuário? |
A terceira linha é a que encerra a maioria das conversas com compradores europeus. Se a resposta honesta é que um registro não pode ser removido de um modelo treinado, diga isso no registro e descreva o que você faz em vez disso; uma limitação documentada é defensável, uma silenciosa não é.
Um dia. É o único item nesta lista que está concluído no momento em que começa.
Uma semana, principalmente gasta descobrindo o que o registro realmente faz, em vez do que a documentação diz que faz.
Nomeie o representante, descreva o manuseio de solicitações de forma honesta, declare os períodos de retenção que você realmente pode cumprir.
Optar por, optar por não ou nunca. Seja qual for a sua escolha, faça a interface corresponder ao aviso.
Classificação de risco, e só então trabalho de conformidade. Fazer isso primeiro é como as empresas passam seis meses e ainda não têm representante.
Se o seu produto tem usuários europeus, a designação é um custo fixo, pequeno e imediato que remove uma categoria inteira de descobertas evitáveis. Não o torna compatível, não audita seu pipeline e não transfere sua responsabilidade. O que faz é colocar um nome acessível dentro da União ao lado do seu, que é o mínimo que a regulamentação exige de uma empresa que decidiu vender aqui.
Aplica-se assim que você oferece serviços a pessoas na União ou monitora seu comportamento. O marketing direcionado à Europa com uma lista de espera já envolve o processamento de dados pessoais de pessoas na União.
Não. É um papel separado para provedores de sistemas de alto risco, com deveres de avaliação de conformidade e registro. Uma designação não pode servir a ambos os regimes.
A disponibilidade pública não remove dados pessoais do escopo. Se seu conjunto de treinamento contém dados sobre pessoas na União e você determina o propósito, você está processando isso.
Sim, e eles geralmente são a evidência mais forte de que o processamento é contínuo e não ocasional, o que fecha a isenção do Artigo 27(2)(a).
Reduz o risco e é uma boa prática. Não remove a obrigação, porque o processamento ainda acontece durante esses 30 dias.
Então pode não haver processamento por você de forma alguma, e nenhuma designação é necessária. Este é um dos poucos casos genuinamente limpos.
Não. O Artigo 27(2)(b) isenta autoridades e órgãos públicos. O uso para pesquisa pode afetar a base legal, nunca a designação.
Publicar pesos não é por si só o processamento de dados pessoais da UE. A obrigação segue seu serviço, sua API e seus usuários.
Não. Um representante é precisamente o mecanismo para empresas sem um, e os compradores aceitam isso porque a regulamentação o faz.
Apenas com uma designação por escrita e sua aceitação do papel. Um contrato de revenda não cria um, e a maioria dos revendedores recusa uma vez que leem os deveres.
O quadro diz respeito a transferências para os Estados Unidos. Não toca no Artigo 27, que se aplica independentemente do mecanismo de transferência.
Dentro de 24 horas após um formulário preenchido, com o parágrafo de aviso de privacidade e um certificado verificável fornecido ao mesmo tempo.
€290 por ano para Base, €490 para Padrão, €890 para Multi, que adiciona a pessoa responsável pelo GPSR para empresas que também enviam hardware.
Relacionado: a versão SaaS desta página · se você atuar como um processador
Uma designação assinada do Artigo 27 dentro de 24 horas, um certificado com um código de verificação que seus compradores podem verificar por conta própria, e um balcão de solicitações em oito idiomas.
Veja os planos