IA e privacidade: o que acontece com a foto que você envia?

Resposta curta: a foto enviada a uma ferramenta de IA normalmente é transmitida a um sistema remoto, processada por um modelo e devolvida a você. Se a foto é guardada depois, por quanto tempo, se é usada para aperfeiçoar modelos e com quem é compartilhada depende da política de privacidade da ferramenta. Este texto não se refere a nenhuma ferramenta específica. Explicamos o que ler na política e qual é a base dos direitos previstos no GDPR e na KVKK. Não é uma orientação jurídica.

O que normalmente acontece com a foto que você envia?

Na maioria das ferramentas de IA, o fluxo é este (a política da ferramenta pode mudar esses pontos):

1. Envio: a foto é transmitida, pela conexão, ao sistema da ferramenta ou a um provedor de modelo que ela utiliza.
2. Processamento: um modelo lê a foto e faz a alteração que você pediu.
3. Resultado: a saída é mostrada a você e, em muitos casos, fica salva no seu histórico.
4. Registro e revisão: o sistema pode registrar as solicitações; esses registros podem ser examinados para detectar abuso.
5. Uso posterior: segundo a política, a foto ou os resultados podem ser usados para melhorar o serviço, ou apagados depois de um tempo.

Por isso, importa saber se a ferramenta é uma empresa única ou se envia a foto a provedores de modelos de terceiros. Nas políticas, esses provedores costumam ser chamados de “subprocessadores” ou “prestadores de serviço”.

Uma foto é dado pessoal?

A foto de uma pessoa reconhecível normalmente é dado pessoal. O GDPR define dado pessoal como qualquer informação relativa a uma pessoa singular identificada ou identificável. Outros dados dentro da foto também informam: as fotos tiradas com celular costumam trazer, incorporados, a data da captura, o modelo do aparelho e às vezes a localização (EXIF). Placas, a fachada da casa e os rostos de outras pessoas ao fundo também revelam informações.

O que verificar na política de privacidade?

Pergunta	Onde procurar	Bom sinal
Quem processa minha foto?	Seção de controlador de dados e subprocessadores	Identidade e contato da empresa claros, provedores listados
Para que ela é usada?	Finalidades do tratamento	Finalidade clara; “prestar o serviço” e “melhorar” separados
É usada para treinar modelos?	Termos como “melhoria do serviço” e “treinamento”	Dito de forma explícita e com opção de desativar
Por quanto tempo é guardada?	Seção de prazo de retenção	Prazo ou critério que define o prazo estão escritos
Com quem é compartilhada?	Destinatários e transferências	Categorias de destinatários e transferência internacional informadas
Como apago?	Direitos e configurações da conta	Há passos para excluir a conta e o histórico
E as crianças?	Limite de idade	Limite de idade e informação sobre os responsáveis

Se nenhum desses pontos estiver claro, ou se você não encontrar a política, não envie fotos sensíveis para essa ferramenta.

Quais são os seus direitos segundo o GDPR?

Na UE, as organizações que tratam dados precisam informar você: identidade, finalidades, destinatários, prazo de retenção e quais são os seus direitos (artigo 13 do GDPR). A página de orientações do EDPB lista os direitos das pessoas:

• Acesso: saber se os dados são tratados e obter uma cópia gratuitamente.
• Retificação: corrigir dados errados e completar dados incompletos.
• Apagamento: em certos casos, por exemplo quando os dados já não são necessários para a finalidade da coleta, pedir que sejam apagados.
• Limitação do tratamento: a organização pode manter os dados, mas não pode realizar outras operações com eles.
• Portabilidade: receber seus dados em formato estruturado, comum e legível por máquina; apenas em condições específicas.
• Oposição: opor-se ao tratamento com base em interesse legítimo ou interesse público, por motivos da sua situação particular; a oposição ao marketing deve ser atendida sem necessidade de justificativa.

A organização deve responder ao pedido em até um mês; em pedidos complexos, o prazo pode ser prorrogado por mais dois meses, mas ela deve informar isso dentro do primeiro mês. Se recusar, deve explicar o motivo e informar sobre o direito de apresentar reclamação a uma autoridade de proteção de dados.

Quais são os seus direitos segundo a KVKK?

De acordo com a Lei nº 6698, de Proteção de Dados Pessoais (KVKK), o controlador, ao coletar seus dados, deve informar sua identidade, a finalidade do tratamento, para quem e com que finalidade os dados podem ser transferidos, o método e o fundamento jurídico da coleta e seus direitos previstos no artigo 11 (artigo 10). Pelo artigo 11, ao procurar o controlador, você pode:

• Saber se os dados pessoais são tratados e solicitar informações.
• Saber a finalidade do tratamento e se ele é feito de acordo com essa finalidade.
• Conhecer os terceiros, no país ou no exterior, para os quais os dados são transferidos.
• Solicitar a correção dos dados, caso estejam incompletos ou tenham sido tratados de forma incorreta.
• Solicitar a exclusão ou a destruição dos dados, nas condições previstas, e que isso seja comunicado aos terceiros para os quais foram transferidos.
• Contestar um resultado desfavorável que surja exclusivamente da análise feita por sistemas automatizados.
• Pedir indenização se sofrer dano em razão de um tratamento ilegal.

Pelo artigo 13, o controlador deve concluir o pedido de forma gratuita e no menor prazo possível, conforme a natureza da solicitação, e no máximo em trinta dias; pode aceitar o pedido ou recusá-lo com a justificativa. Se o pedido for recusado, a resposta for considerada insuficiente ou não houver resposta no prazo, você pode apresentar uma reclamação ao Conselho de Proteção de Dados Pessoais (Kişisel Verileri Koruma Kurulu) (artigo 14).

Modelos de IA e a discussão sobre dados pessoais

Se um modelo contém dados pessoais depois de treinado é um tema que os reguladores vêm examinando. O Comitê Europeu para a Proteção de Dados (EDPB) aprovou, em 18 de dezembro de 2024, o Parecer 28/2024 sobre alguns aspectos de proteção de dados relacionados a modelos de IA; o parecer foi elaborado a pedido da autoridade de supervisão da Irlanda e trata de aspectos como a base legal e a anonimização. O ICO, do Reino Unido, também dedica seções separadas, em seu guia sobre IA e proteção de dados, à licitude e à transparência. Na prática, se uma empresa usa sua foto para treinamento, espera-se que isso esteja escrito de forma clara; se não estiver, você pode perguntar.

Passos práticos para proteger sua foto

1. Não envie o que não é necessário: evite documentos de identidade, carteira de motorista, fotos de crianças e fotos íntimas de outras pessoas.
2. Remova a localização: o celular tem uma opção para desativar a localização nas fotos compartilhadas.
3. Recorte: tire do enquadramento placas e documentos que aparecem ao fundo.
4. Peça permissão a outras pessoas: se houver outra pessoa na foto, pergunte antes.
5. Confira as configurações: procure as opções de desativar o uso para treinamento e de apagar o histórico.
6. Limpe o histórico: ao terminar o trabalho, apague os resultados e os envios.
7. Exerça seus direitos: envie um pedido de acesso ou de exclusão e acompanhe o prazo de resposta.

Exemplo de pedido: “Olá, gostaria de saber se meus dados pessoais vinculados à minha conta estão sendo tratados, solicito que me informem as finalidades do tratamento e os destinatários para quem os dados foram transferidos, e peço a exclusão das fotos que enviei.”

Transferência para o exterior e subprocessadores

Muitas ferramentas de IA podem enviar a foto a servidores ou provedores de modelos em outros países. A KVKK tem um artigo específico sobre a transferência de dados pessoais para o exterior (artigo 9), que atribui as obrigações ao controlador; além disso, o artigo 11 dá o direito de conhecer os terceiros, no país ou no exterior, para quem os dados são transferidos. Na UE, também há regras próprias do GDPR para as transferências. Por isso, procure na política as seções “destinatários”, “transferências” e “subprocessadores”.

Se essas seções não forem claras, pergunte algo simples: para quais empresas minha foto vai e com qual finalidade? Se a resposta da ferramenta não for clara, pense duas vezes antes de enviar fotos sensíveis. A resposta também pode vir por e-mail; guarde a resposta por escrito.

Erros comuns

• Enviar sem ler a política: o prazo de retenção e o uso no treinamento estão escritos lá.
• Achar que a ferramenta gratuita não tem custo: os dados podem ser parte do modelo de negócio; leia a política.
• Enviar a foto de outra pessoa sem permissão: isso gera problemas de consentimento e de dados pessoais.
• Esquecer a localização: dados incorporados podem continuar no arquivo compartilhado.
• Achar que, ao apagar, os dados desaparecem de todos os lugares: backups e registros do provedor seguem o prazo da política.

Que fotos nunca enviar?

Algumas fotos são sensíveis demais para qualquer margem de erro: documentos como identidade e carteira de motorista, cartão bancário, imagens com endereço e placa de carro, fotos de crianças, imagens com informações de saúde e as lembranças privadas de outra pessoa. Se você precisar processar uma imagem assim, primeiro cubra ou recorte as partes sensíveis. Em vez de enviar a foto mais pessoal para uma ferramenta nova só por diversão, comece com uma foto comum de teste e veja como a ferramenta se comporta.

Resumo

• A foto normalmente é processada em um sistema remoto; armazenamento, treinamento e compartilhamento seguem a política.
• Uma pessoa reconhecível na foto é dado pessoal; dados incorporados, como a localização, também contam.
• Na política, veja o controlador, a finalidade, o treinamento, o prazo de retenção, os destinatários e como apagar.
• GDPR e KVKK dão direitos de acesso, correção, exclusão e oposição; o prazo de resposta é de um mês no GDPR e de até trinta dias na KVKK.
• Não envie fotos sensíveis, remova a localização e peça permissão a outras pessoas.