A conformidade dos sistemas de informação territoriais não se resume mais apenas ao RGPD. A entrada em vigor progressiva do regulamento europeu sobre inteligência artificial, combinada com o endurecimento das exigências da CNIL sobre o direito ao apagamento e a rastreabilidade dos tratamentos, redesenha as obrigações das coletividades que implementam serviços online, portais cidadãos ou componentes de IA em seus softwares de negócios.
Norma ISO/IEC 42001 e governança da IA territorial
A norma ISO/IEC 42001, publicada em dezembro de 2023, continua subutilizada pelas direções dos sistemas de informação (DSI) territoriais. No entanto, ela fornece um quadro de gestão diretamente operacional para qualquer organismo que desenvolva ou utilize sistemas de inteligência artificial.
Sua arquitetura baseia-se em uma lógica de melhoria contínua: análise de riscos e impactos, documentação de modelos, monitoramento em produção, transparência em relação às pessoas afetadas e controle da qualidade dos dados de treinamento. Para uma intercomunalidade que integra um motor de triagem automática de solicitações de usuários ou uma ferramenta preditiva de manutenção de edifícios, essa norma estrutura o que muitas vezes se refere a iniciativas isoladas dentro das direções de negócios.
A CNIL a destaca como um alavanca de preparação para as futuras normas harmonizadas do regulamento europeu sobre IA. Recomendamos às coletividades envolvidas em projetos de IA que mapeiem desde já seus tratamentos algorítmicos e os confrontem com as exigências da ISO/IEC 42001, antes que a pressão regulatória transforme essa boa prática em uma obrigação de fato.
Para acompanhar a evolução desses temas ao longo dos meses, as novidades de Collectivité Numérique constituem um ponto de entrada regular sobre as evoluções regulatórias e técnicas que dizem respeito aos territórios.
Direito ao apagamento nas arquiteturas multi-software das coletividades
O direito ao apagamento não é um assunto teórico para as coletividades que interconectam vários softwares de negócios. A rastreabilidade dos dados pessoais ao longo de toda a cadeia aplicativa torna-se um critério de auditoria por si só.
A CNIL lembrou em 2026, no âmbito de uma sanção relacionada ao não cumprimento desse direito, que os organismos devem ser capazes de tratar efetivamente os pedidos das pessoas e garantir a rastreabilidade. O problema, em uma coletividade de tamanho intermediário, é a dispersão dos dados entre o software de gestão de relações com cidadãos (GRC), a plataforma de desmaterialização de contratos, o sistema de informação geográfica (SIG) e as eventuais ferramentas de IA implementadas como sobrecamada.
Um agente que recebe um pedido de apagamento deve identificar todos os sistemas envolvidos, verificar as bases legais de conservação próprias a cada tratamento e, em seguida, documentar a execução ou a recusa justificada. Sem um mapeamento atualizado dos fluxos de dados e sem um procedimento formalizado, a coletividade se expõe a um risco crescente de sanção.
- Manter um registro dos tratamentos que identifique explicitamente as interconexões entre softwares e os prestadores envolvidos em cada fluxo de dados pessoais.
- Definir um circuito de tratamento dos pedidos de exercício dos direitos com prazos internos inferiores ao prazo regulatório, para absorver a complexidade técnica sem ultrapassar o mês legal.
- Testar o procedimento de apagamento pelo menos uma vez por ano em um caso fictício, verificando se cada componente aplicativo realmente excluiu ou anonimizou os dados em questão.
Segurança dos serviços online e portais cidadãos: integrar a proteção desde a concepção
A segurança desde a concepção não é mais uma recomendação, é uma exigência operacional. A pressão regulatória sobre a segurança dos dados se intensifica, e as coletividades que implementam portais cidadãos ou serviços online devem integrar a rastreabilidade e a proteção desde a fase de concepção.
Concretamente, isso significa que o caderno de encargos de um portal familiar ou de uma plataforma de denúncias deve incluir exigências de criptografia dos dados em trânsito e em repouso, de registro de acessos e de isolamento dos ambientes de produção e de teste. Muitas coletividades descobrem essas restrições após a implementação, quando o prestador entregou uma solução cuja arquitetura torna o isolamento caro de implementar.
Verificações a exigir ao escolher um editor
Observamos que as coletividades frequentemente subestimam a fase de seleção do editor em favor da negociação de preços. Os seguintes pontos merecem atenção especial ao redigir o caderno de encargos:
- A capacidade do editor de fornecer um plano de resposta a incidentes documentado, com compromissos de notificação em prazos compatíveis com as obrigações do RGPD.
- A existência de auditorias de segurança independentes sobre a solução, e a possibilidade para a coletividade de contratar sua própria auditoria.
- A portabilidade dos dados em caso de mudança de prestador, incluindo os formatos de exportação e os prazos de restituição contratuais.
- A localização dos dados e o regime jurídico aplicável, especialmente para soluções que dependem de infraestruturas em nuvem fora da Europa.
Conformidade IA além do RGPD: documentação e transparência
A CNIL recomenda agora documentar os impactos e os riscos dos sistemas de IA, informar as pessoas afetadas e prever modalidades adequadas para o exercício de seus direitos. A conformidade de um projeto de IA territorial se dá em três registros simultâneos: o RGPD para os dados pessoais, o regulamento europeu sobre IA para a classificação de riscos e as obrigações de transparência, e o direito administrativo para a motivação das decisões individuais.
Para uma coletividade que utiliza um algoritmo de apoio à decisão (atribuição de vagas em creches, priorização de pedidos de habitação social), a documentação do modelo e de seus potenciais vieses deve ser acessível não apenas aos agentes, mas também aos administrados. A ausência dessa documentação fragiliza juridicamente qualquer decisão contestada.
O quadro normativo evolui rapidamente. As coletividades que aguardam a publicação de textos definitivos para agir acumulam uma dívida de conformidade que será mais cara de resolver do que prevenir. Antecipar a conformidade reduz o custo global do projeto de IA e garante os usos já implementados.
