Substituir o nome de um cliente por «Cliente A» antes de pedir à IA que resuma um documento reduz alguma exposição. Não torna o documento automaticamente anónimo. Uma profissão invulgar, uma morada, uma data precisa ou a descrição de uma situação podem continuar a permitir identificar a pessoa.
A CNIL distingue a anonimização, que procura impedir a identificação de forma irreversível, da pseudonimização, que substitui identificadores permitindo voltar a atribuir a informação através de dados adicionais. Os dados pseudonimizados continuam a ser dados pessoais. Esta distinção deve orientar a linguagem usada numa interface, num contrato ou numa política interna.
Partir da tarefa, não do documento completo
Imagine um escritório profissional que pretende reformular uma carta. Para melhorar o tom ou a estrutura, o modelo precisa do nome do cliente, da data de nascimento e do historial completo do processo? Muitas vezes, parte do texto pode ser removida antes de considerar qualquer mecanismo de substituição.
Este exemplo descreve um método de preparação, não uma garantia aplicável a todos os casos. O sigilo profissional, as categorias de dados e as regras próprias da profissão devem ser avaliados com os especialistas competentes da organização.
Procurar também indícios indiretos
Uma preparação rigorosa examina nomes, contactos, referências de processos, localizações precisas, montantes distintivos, datas e combinações de informação. Considera também anexos, nomes de ficheiros e metadados quando estes elementos são transmitidos ao serviço.
Uma ferramenta automática pode ajudar a detetar e substituir informação. A sua qualidade depende, contudo, do formato, da língua e do contexto. Uma digitalização mal reconhecida ou um identificador escrito de forma invulgar podem passar despercebidos. Antes do envio, continua a ser necessária uma revisão proporcional à sensibilidade do material.
Proteger a tabela de correspondência
Se «Cliente A» puder ser associado a um nome real através de uma tabela, essa tabela precisa de acesso separado e limitado. Enviá-la juntamente com o texto alterado anularia o benefício prático da separação.
Considere também cópias temporárias e registos. Uma interface pode mostrar texto preparado enquanto um registo técnico conserva o documento original. Descrever o percurso completo dos dados ajuda a revelar diferenças entre o que o utilizador vê e o que o sistema realmente processa.
Escolher o serviço e os usos permitidos
Preparar documentos não substitui a avaliação do fornecedor. Condições de reutilização, conservação, subcontratantes, locais de tratamento e procedimentos de eliminação continuam a ser questões distintas. A CNIL incentiva as organizações a definir usos permitidos e a formar os utilizadores sobre os limites dos sistemas generativos.
Para a sua equipa, uma regra explícita é mais útil do que uma recomendação genérica de prudência. Especifique as categorias de documentos permitidas, a informação a remover, o procedimento de revisão e a pessoa a contactar em caso de dúvida. Preveja também uma divulgação acidental.
Testar antes de alargar a utilização
Prepare documentos fictícios representativos dos formatos habituais: cartas, tabelas, notas de reuniões e digitalizações. Inclua deliberadamente identificadores diretos e indiretos e observe o que é detetado, o que passa despercebido e o que é removido incorretamente.
Este teste ajuda a definir o papel da ferramenta e as verificações a realizar pelas pessoas. Por si só, não constitui uma determinação jurídica de que a anonimização foi alcançada. A nossa abordagem à segurança e ao controlo dos dados começa por este tipo de âmbito concreto, antes de selecionar a integração e as proteções adequadas.
