O dever de ‘compliance’ na utilização empresarial de ‘chatbots’

Imaginemos um consumidor que entra no sítio, na internet, de uma empresa, coloca uma pergunta e recebe, em segundos, uma resposta cordial, segura e aparentemente personalizada. O problema é que ninguém lhe disse que, do outro lado, não estava uma pessoa. Estava um algoritmo. Os chatbots estão hoje por toda a parte. São os novos rececionistas digitais, disponíveis 24/24, que nunca se cansam, nunca pedem aumentos e nunca chegam atrasados. Mas esta descrição não leva em devida conta que o chatbot interage com clientes, presta informações e orienta ou leva a decisões de terceiros. Na verdade, o chatbot interage em nome da empresa. É por isso que a utilização empresarial de chatbots passou a ser encarada pela regulamentação comunitária como uma questão de compliance.

A partir de 2 de agosto do corrente, tornaram-se aplicáveis as obrigações de transparência previstas no artigo 50.º do Regulamento (UE) 2024/1689, conhecido como Regulamento da Inteligência Artificial e, em consequência, os sistemas destinados a interagir diretamente com pessoas devem, em regra, informar o interlocutor de que está a comunicar com uma máquina, salvo quando tal seja evidente pelas circunstâncias e pelo contexto. Este dever de transparência não se cumpre camuflando uma referência à utilização de Inteligência Artificial nos termos e condições de utilização. Deve verificar-se no próprio momento da interação, de forma clara e inteligível.

Mas o dever de compliance não termina no aviso inicial. A empresa deve estar ciente para o que utiliza o chatbot, que informação lhe disponibiliza, que dados recolhe, quem controla as respostas e em que situações a conversa deve ser transferida para um operador humano. Deve, ainda, estabelecer regras para os casos em que o sistema não compreende a pergunta, fornece informação contraditória ou formula uma resposta suscetível de produzir consequências jurídicas. Um chatbot que responde sobre garantias, crédito, seguros, contratos, saúde, recrutamento ou direitos laborais não é juridicamente neutro. A sua resposta pode criar expectativas, influenciar uma decisão, orientar um comportamento ou agravar a posição de uma pessoa vulnerável. Quanto maior for o impacto da interação, maior deve ser o grau de supervisão humana.

A segunda exigência é, pois, a da governação. Não pode existir um chatbot sem responsável interno, sem registo das alterações relevantes, sem controlo de acessos e sem procedimento de auditoria. A empresa deve conseguir reconstruir o que o sistema disse, em que contexto o disse e com base em que informação.

A terceira exigência é a responsabilidade. Quando um chatbot erra, não bastará dizer que “foi a Inteligência Artificial”, ainda que, mimetizando as respostas que estamos habituados a ouvir quando interagimos com a Administração Pública (o popular “foi o sistema”): como se o sistema tivesse vida e responsabilidades próprias. A imputação pode explicar a origem técnica do erro, mas não resolve a questão jurídica. A empresa escolheu o sistema, definiu a sua finalidade, autorizou a sua utilização e beneficia da redução de custos que ele proporciona. Não pode depois transformar a máquina num álibi. A Inteligência Artificial não tem personalidade jurídica, não celebra contratos, não indemniza consumidores e não comparece perante um tribunal.

Também por isso, os conteúdos gerados ou manipulados artificialmente, incluindo determinados textos, imagens, sons e vídeos destinados a informar o público, passam a estar sujeitos a deveres específicos de identificação. O compliance dos chatbots exige, em suma, transparência perante o utilizador, supervisão humana efetiva, proteção de dados, segurança da informação, mecanismos de reclamação e responsabilização clara. Não basta, pois, comprar uma licença, instalar uma janela de conversação e esperar que a tecnologia faça o resto. Perante a lei, a empresa continua a ser a única responsável pelas consequências do que diz e faz o algoritmo do chatbot.