Muitas vezes sim, mas a resposta depende de quatro decisões, e não da marca do modelo: onde os dados são guardados, onde corre a inferência, quem atua como subcontratante e se os dados pessoais atravessam uma fronteira pelo caminho. Tome essas decisões por fluxo de trabalho, registe-as por escrito e confirme-as com um advogado. Isto não constitui aconselhamento jurídico.
#Pontos principais
- O nome do modelo não decide a conformidade; decidem-na o armazenamento, a inferência, o subcontratante e a transferência.
- O local da inferência importa tanto como o do armazenamento, porque cada chamada ao modelo trata os dados onde quer que o modelo corra.
- Os modelos que um fornecedor disponibiliza em cada país mudam com frequência, por isso peça a lista atual de regiões por escrito e datada.
- Escolha primeiro o alojamento e depois o modelo, ou o piloto pode nunca ser autorizado a entrar em produção.
- Nada disto é aconselhamento jurídico: o seu advogado confirma a base legal antes de se usarem quaisquer dados de clientes.
#O que abrangem as leis de proteção de dados dos EAU e da Arábia Saudita?
Nos EAU, os dados pessoais regem-se pelo Decreto-Lei Federal n.º 45 de 2021 relativo à proteção de dados pessoais (portal do governo dos EAU). Na Arábia Saudita, a lei de proteção de dados pessoais (PDPL) tornou-se plenamente aplicável a 14 de setembro de 2024, sendo a SDAIA o regulador (Clyde & Co, setembro de 2024).
Ambas as leis regulam a forma como os dados pessoais são tratados e transferidos. O que exigem para o seu fluxo de trabalho concreto, e como tratam uma chamada ao modelo feita a partir de outro país, são questões para o seu advogado. Este artigo dá-lhe as decisões a levar a essa conversa. Não constitui aconselhamento jurídico, por isso confirme cada ponto com o seu advogado.
#Porque é que o local da inferência importa, e não apenas o do armazenamento?
Muitas equipas verificam onde está a base de dados e param aí. Mas sempre que um fluxo de trabalho envia o registo de um cliente para um modelo, esse registo é tratado onde quer que o modelo corra. Se o armazenamento estiver no país e a inferência acontecer noutra região, os dados pessoais viajaram na mesma. Peça ao fornecedor a região de inferência por escrito, para cada modelo, com a data em que a confirmou.
O mesmo se aplica a registos, caches de prompts, cópias de avaliação e acessos do suporte do fornecedor. Cada um é um local onde os dados de clientes podem ficar guardados ou ser lidos. Liste-os ao lado da base de dados principal, e não depois dela.
#Que modelos de IA podem ser alojados nos EAU ou na Arábia Saudita?
Não vamos indicar aqui um modelo e um país, porque a disponibilidade por região é definida por cada fornecedor de nuvem e de modelos e muda com cada novo lançamento. Peça ao fornecedor a sua lista atual de regiões para a versão exata do modelo que pretende usar. Obtenha-a por escrito, guarde a data e volte a verificá-la antes de cada novo fluxo de trabalho.
As opções a comparar incluem normalmente um modelo disponibilizado através da região local de um fornecedor de nuvem, um modelo de pesos abertos executado em infraestrutura que a sua empresa controla e a API do próprio fornecedor do modelo. Cada uma dá uma resposta diferente às decisões abaixo, por isso compare-as com base nessas decisões e não em pontuações de benchmarks.
#O que registar para cada fluxo de trabalho?
- Armazenamento: onde ficam os dados de origem, os registos e quaisquer cópias, e quem os pode ler.
- Inferência: a região onde o modelo corre para este fluxo de trabalho, confirmada por escrito pelo fornecedor, com data.
- Subcontratante: quem trata os dados em seu nome, seja o fornecedor do modelo, o fornecedor de nuvem ou ambos, e o que diz o contrato.
- Transferência transfronteiriça: se algum passo envia dados pessoais para fora do país e que base legal o advogado confirmou para isso.
- Minimização: de que campos o modelo realmente precisa. Nomes, números de identificação e números de conta podem muitas vezes ser mascarados antes da chamada.
Tratámos em detalhe a questão do subcontratante em quem é o subcontratante quando a IA corre na sua nuvem. Trate também o texto dos clientes como dados de entrada não fiáveis: a injeção de prompts é o primeiro risco da lista OWASP Top 10 for LLM Applications.
We are
A Stennir mapeia o armazenamento, a inferência, o subcontratante e a transferência de cada fluxo de trabalho, aloja onde as suas regras exigem e deixa a sua empresa como dona das contas, dos dados e do botão de desligar.
We aren't
A Stennir não é uma sociedade de advogados e não emite pareceres jurídicos. O seu advogado confirma a base legal antes de qualquer coisa correr sobre dados de clientes.
#É possível automatizar um fluxo de trabalho sem mover dados para uma nuvem nos EUA?
Muitas vezes, sim, escolhendo o alojamento antes do modelo. Comece pelo fluxo de trabalho e pelos dados em que toca, escolha uma implementação que mantenha o armazenamento e a inferência onde as suas regras exigem e só depois escolha um modelo disponível nesse local. Escolher primeiro o modelo é a forma de as equipas acabarem com um piloto que o jurídico não aprova para produção.
Os compradores também fazem esta pergunta em árabe: «هل يجوز استخدام ChatGPT مع بيانات العملاء في السعودية حسب نظام حماية البيانات الشخصية؟». O enquadramento é o mesmo, e a Stennir trabalha-o com a sua equipa em árabe e em inglês.
#O que deve fazer a seguir um responsável de compliance ou de operações?
Escolha um fluxo de trabalho que toque em dados de clientes e preencha as cinco decisões acima. Leve a folha ao seu advogado. A consultoria de IA inclui a região de alojamento na construção recomendada, e a implementação de IA põe o fluxo de trabalho a funcionar onde as suas regras exigem. Veja IA para compliance, faça a avaliação de prontidão gratuita ou marque uma chamada de 30 minutos.
#Perguntas frequentes
É legal usar o ChatGPT com dados de clientes na Arábia Saudita?
Depende de como os dados são tratados, guardados e transferidos, e não do nome do produto. A PDPL é aplicada pela SDAIA, e o vosso advogado tem de confirmar a base legal de cada fluxo de trabalho. Isto não constitui aconselhamento jurídico. Levem ao advogado as decisões de armazenamento, inferência, subcontratante e transferência para o uso concreto.
Onde ficam os nossos dados?
Onde decidirem, fluxo de trabalho a fluxo de trabalho. A Stennir regista a região de armazenamento, a região de inferência e todos os locais onde uma cópia pode ficar, como registos e caches. As contas estão em nome da vossa empresa, por isso podem ver as definições e alterá-las ou encerrá-las sem nos pedir.
De que precisam da nossa parte para começAR?
O fluxo de trabalho que têm em mente, os campos em que toca, os vossos contratos atuais de nuvem e de fornecedores e um contacto no jurídico ou no compliance. Com isso, a decisão de alojamento pode ser tomada antes de escolher qualquer modelo, que é a ordem que permite a um piloto chegar mais tarde a produção.
O que pode correr mal?
A falha comum é verificar o armazenamento e esquecer a inferência: a base de dados fica no país enquanto cada chamada ao modelo vai para outro lado. Outras são registos guardados numa região diferente, pessoal de suporte do fornecedor capaz de ler prompts e um fornecedor que altera a lista de regiões depois de assinarem. Voltem a verificar a lista antes de cada novo fluxo de trabalho.
