Qual é a diferença desta ferramenta em relação a outras semelhantes, como é o caso do ChatGPT? E se existe aqui também uma preocupação relacionada com a origem, sendo de origem chinesa, por que o TikTok não é uma preocupação?

Quanto à primeira parte da questão em relação ao ChatGPT, a ideia que tem sido transmitida é que o DeepSeek está na China, os dados são enviados para a China e o próprio DeepSeek, que aliás, já fez um comentário, se não estou em erro, para a autoridade italiana a dizer que não se considerava abrangido pelo RGPD e portanto o Regulamento Geral de Proteção de Dados. Ou seja, a partir do momento em que os dados são enviados para a China, estão sujeitos à legislação chinesa e estando sujeitos à legislação chinesa, há condições de segurança que não são asseguradas e que em Portugal e na União Europeia seriam. O ChatGPT, por seu turno, pese embora também envie dados para os Estados Unidos, afirma que os dados dos cidadãos da União Europeia são guardados dentro da União Europeia, portanto será plenamente aplicável o RGPD. Claro que se me perguntar se existem razões de política internacional associadas, certamente existirão também, mas a preocupação que tem sido manifestada pelas autoridades de controle em matéria de proteção de dados, e já são algumas que têm levantado estas dúvidas e são ainda poucas as que fizeram bloqueios, tem sido quanto à segurança dos dados, porque a partir do momento em que os dados vão para a China, poderão ser usados para qualquer finalidade que a legislação interna chinesa autoriza. Ao passo que o ChatGPT é diferente. E aliás, mesmo quanto aos dados guardados pelo ChatGPT, eles em princípio não serão enviados para os Estados Unidos se pertencerem ou se forem tratados no âmbito da União Europeia.

E no caso do TikTok?

No caso do TikTok, o TikTok tem levantado problemas semelhantes também, mas a informação recolhida pelo TikTok é diferente. Mas em rigor, os problemas colocam-se de forma semelhante. Tanto quanto sei, o TikTok também poderá enviar dados para fora da União Europeia. Simplesmente, se calhar é o caso da CNPD não ter recebido ainda uma denúncia quanto ao TikTok, não ter aberto ainda um processo quanto a isso. Mas os problemas principais do TikTok, mais do que a transferência de dados, e também consta que poderá haver transferência de dados para a China, o que tem levado aos problemas que temos conhecido também nos Estados Unidos, são problemas de conteúdo também, que é o conteúdo de desinformação, o conteúdo de vício pelos quais é conhecido. Mas se me perguntar em matéria de proteção de dados, se há problemas semelhantes, há, embora os dados recolhidos e tratados sejam diferentes.

Mas qual é o perigo concreto desses dados passarem para as mãos do governo chinês?

Os perigos são a utilização de dados. Imagine que se colocam dados de natureza pessoal nas pesquisas feitas no DeepSeek. Imagine que se colocam palavras-passe, que se colocam dados íntimos e tudo isto permite o tratamento dessa informação por uma jurisdição que não está sujeita às mesmas garantias de proteção de dados que existem na União Europeia, o que pode levar à exploração de vulnerabilidades, até questões de inteligência do próprio governo chinês. Portanto, há uma desconfiança generalizada quanto a países que, de acordo com os nossos standards europeus, não oferecem garantias de proteção de dados adequadas. E portanto, a partir do momento em que nós queremos pôr em prática um regulamento geral de proteção de dados que oferece garantias superiores de proteção de dados, nós não podemos abrir a porta a que sejam prestados serviços dentro da União Europeia por parte de empresas que por não estarem aqui sediadas, querem evitar cumprir esta norma, quando o critério não é onde é que estão sediadas, é onde é que prestam os seus serviços. É uma questão de proteção da informação.

Precisamente do ponto de vista da legislação, só agora é que estamos a começar a lidar diariamente com estas ferramentas ou ChatGPT, por exemplo. O que é que deveria ser feito em termos da legislação para proteger os utilizadores?

Nós já temos tido dentro da União Europeia muita legislação. Aliás, isto até foi recentemente discutido e naqueles comentários muito midiatizados dos Eight Events. Nós temos o regulamento de Inteligência Artificial, nós temos o regulamento da Proteção de Dados, nós temos o Digital Services Act, nós temos o regulamento de Cibersegurança, temos a NIS2, temos uma malha legislativa da União Europeia que já regula de forma muito apertada todos os requisitos de segurança informática, ou grande parte deles, segurança informática e de segurança de informação e de segurança de dados pessoais. Portanto, a legislação já existe e já é muito apertada. Aliás, as críticas que nos têm sido dirigidas são precisamente essas, que a legislação é tão apertada que até pode, em alguns casos, condicionar a inovação. Portanto, a legislação existe. Existem mecanismos que permitem impedir o tratamento de dados pessoais. O RGPD prevê, e aliás, foi isso que a Itália fez, prevê a possibilidade de se limitar o tratamento de dados pessoais por parte de entidades que não oferecem garantias. Foi isso que conduziu a esta recente decisão. E portanto, não é verdadeiramente necessário legislar mais. Pode haver normas que não estão inteiramente transpostas ainda naquelas que requerem transposição, mas os mecanismos existem, o standard de proteção de dados existe. É uma questão de ser posto em prática e de fazer o enforcement. O enforcement destas normas que nós temos nem sempre é fácil de fazer.

Ou seja, a aplicação das normas. Enforcement é aplicação das normas.

A aplicação efetiva das normas nem sempre é fácil de fazer, porque pese embora nós tenhamos normas que são transversais a vários países da União Europeia ou a quase todos ou a todos, em grande medida, temos sempre Enfim, procedimentos diferentes em cada uma das jurisdições. Por exemplo, a autoridade de controle tem poderes, de acordo com o RGPD, para limitar o tratamento de dados pessoais, portanto, dizer àquela entidade: "Não tratas mais esses dados ou tratas de certa forma". Mas como é que isso se põe em prática? Depois é preciso fazer com que a aplicação seja efetivamente bloqueada, é preciso fazer com que deixe de estar na App Store, por exemplo, para serviços iOS, em Portugal. Tudo isto, uma coisa é dizermos law in action, outra é law in books. Uma coisa é a legislação como ela existe e como é que nós a aplicamos em concreto. E a aplicação é que vai variando de país para país e vai colocando problemas diferentes para legislações uniformes.

Precisamente, no caso português, a Comissão Nacional de Proteção de Dados diz que abriu agora uma investigação. Também diz que vai tornar pública a opinião, aquela que é a posição da Comissão Nacional de Proteção de Dados sobre esta ferramenta, sobre o DeepSeek. Eu queria lhe perguntar o que é que se antecipa depois dessa tomada de posição. E também perguntar se consegue avançar já com alguma perspectiva sobre qual é que será essa tomada de posição.

A tomada de posição da Comissão Nacional de Proteção de Dados deverá ser, parece-me, em linha com aquilo que tem sido adotado nas demais jurisdiões, que é: se este prestador de serviços está a recolher dados de cidadãos da União Europeia, a transferi-los para países que, de acordo com a legislação da União Europeia, não oferecem garantias adequadas de proteção, têm de ser tomadas medidas para que uma de duas coisas aconteça: ou passam a cumprir o RGPD ou deixam de prestar serviços em território nacional. E antecipo que a posição da CNPD seja neste sentido: ou cumprem ou não prestam serviços.

Muito obrigada. Queria só fazer-lhe uma questão que é: como especialista em direito à cibersegurança, que tipo de precauções é que os utilizadores devem ter no que toca a estas ferramentas de inteligência artificial? Dávamos conta há umas semanas que há uma nova ferramenta, por exemplo, a Character AI, que incitou à violência alguns jovens nos Estados Unidos, por exemplo, ou mesmo até ao suicídio. São alguns dos exemplos. Claro que aqui estamos a falar de proteção de dados, bem sei, mas e nesse ponto da proteção de dados, o que é que os utilizadores podem fazer para se prevenir?

Há vários pontos por onde podemos começar. Naquelas aplicações que permitem fazer o opt-out de tratamento de dados para fins próprios da aplicação ou desenvolvimento ou melhoria de respostas, esse opt-out, em princípio, protegerá mais a informação.

O que é o opt-out? Desculpe.

Sempre que as aplicações dizem: "Por defeito, nós tratamos os dados para melhoria do nosso serviço, para tratamento de informação, para depois poder dar respostas mais adequadas e mais personalizadas às prestações e às características."

Mas não é aquele aviso que diz "dá acesso aos dados", é isso?

Sim, exatamente. Sempre que possível e se o utilizador quiser, claro, porque a pessoa pode também prescindir dos seus dados como quiser, mas deverá fazer o opt-out para evitar que esses dados sejam processados para fins que são depois difíceis de antecipar. Mas deverá também ter sempre muito cuidado naquilo que põe nas plataformas. Este problema tem sido discutido em várias empresas, porque cada vez mais os trabalhadores também usam ChatGPT para melhorar os seus serviços. Mas há uma regra básica que é não colocar informação, em particular informação de terceiros, em plataformas de inteligência artificial, quando não se sabe o que é que vai acontecer com essa informação. Por outro lado, devem também procurar as aplicações que oferecem maiores garantias de privacidade, para tentar mitigar esse risco. Mas isto é apenas na perspectiva da privacidade. Na perspectiva da qualidade dos resultados, continua a ser necessário confirmar os resultados que são dados por programas de inteligência artificial. Aliás, tem-se visto, em particular na área da Justiça, porque às vezes há respostas que não são reais, são inventadas pela plataforma. Portanto, é preciso ver que a inteligência artificial continua a ser artificial e temos de ter a noção de que não é infalível e deve ser sempre objeto de confirmação. Agora, é um instrumento de trabalho e um instrumento de pesquisa muitíssimo interessante. Há pessoas, aliás, nas quais eu me incluo, que já praticamente não usam o Google, usam plataformas de inteligência artificial para fazer pesquisas. É ter o cuidado de saber que essa informação vai ficar em algum lado, que essa pesquisa vai ficar guardada em algum local e ter cuidado com aquilo que se faz na plataforma. Por fim, com aquela referência que fez daquele programa de inteligência artificial que fez a recomendação do suicídio, isso é uma situação absolutamente anômala, mas tal como grande parte dos serviços online, tende a haver o cuidado mínimo por parte de quem tem o poder de supervisão dos menores de idade, saber o que é que estão a fazer nas redes, como é que estão a fazer e os alertar para os riscos que estas plataformas colocam para qualquer utilizador.