A abordagem da Nova Zelândia, orientação em vez de legislação

A Nova Zelândia não possui uma AI Act (lei de IA) independente. Diferentemente da União Europeia, que promulgou uma regulamentação abrangente baseada em risco, a Nova Zelândia optou por uma abordagem focada em adoção e baseada em princípios, que opera por meio da legislação já existente, principalmente a Privacy Act 2020, complementada por arcabouços voluntários e orientações governamentais. Trata-se de uma escolha de política deliberada, não de uma lacuna à espera de ser preenchida: a posição do governo, articulada na Estratégia Nacional de IA divulgada pelo Ministry of Business, Innovation and Employment (MBIE) em julho de 2025, é a de viabilizar a adoção de IA responsável em vez de impor exigências prescritivas que possam restringir a inovação.

Para organizações que operam na Nova Zelândia, isso significa que as obrigações de conformidade de IA decorrem dos arcabouços legais já existentes que já se aplicam ao seu setor e às suas atividades, e não de uma nova lei específica sobre IA. Os principais arcabouços são: a Privacy Act 2020 (para qualquer IA que processe informações pessoais); a Fair Trading Act 1986 (para conteúdo gerado por IA ou alegações que possam induzir os consumidores a erro); a Companies Act 1993 e os deveres dos administradores (para conselhos que governam o risco de IA); e arcabouços setoriais, incluindo as exigências de gestão de risco do Reserve Bank para serviços financeiros e o Health Information Privacy Code para IA na área da saúde. O Biometric Processing Privacy Code 2025 do Privacy Commissioner (em vigor desde 3 de novembro de 2025, com prazo de conformidade em 3 de agosto de 2026 para sistemas existentes) é mais um instrumento vinculante diretamente relevante para o reconhecimento facial baseado em IA e sistemas biométricos semelhantes.

A Privacy Act 2020, a principal obrigação legal para a IA

A Privacy Act 2020 da Nova Zelândia é o arcabouço legal mais diretamente relevante para a governança de IA na prática. Os Information Privacy Principles (IPPs, Princípios de Privacidade da Informação) da lei, treze princípios originais mais o novo IPP 3A, acrescentado em 2026, aplicam-se a qualquer "agência" (termo que abrange praticamente todas as empresas e órgãos governamentais) que colete, use ou divulgue informações pessoais. Sistemas de IA que são treinados com informações pessoais, que processam informações pessoais durante a inferência, ou que tomam decisões sobre indivíduos utilizando informações pessoais estão sujeitos aos IPPs.

Os princípios mais relevantes para a IA são: o IPP 1 (coletar informações pessoais apenas para uma finalidade lícita); o IPP 3 (coletar informações diretamente do indivíduo, salvo quando se aplique uma exceção); o IPP 8 (verificar se as informações são precisas e atuais antes de utilizá-las); o IPP 10 (usar informações pessoais apenas para a finalidade para a qual foram coletadas); e o IPP 11 (não divulgar informações pessoais a destinatários no exterior sem proteções adequadas). Para fornecedores de IA que processam informações pessoais fora da Nova Zelândia, o IPP 12 (divulgação antes do envio ao exterior) e a adequação das proteções no exterior são particularmente importantes.

Uma mudança significativa entrou em vigor em 1º de maio de 2026 sob a Privacy Amendment Act 2025 (sanção real em 24 de setembro de 2025): o novo IPP 3A exige que as agências notifiquem os indivíduos quando as informações pessoais forem coletadas indiretamente, ou seja, de fontes que não o próprio indivíduo. Para sistemas de IA que agregam informações pessoais de múltiplas fontes (redes sociais, corretores de dados terceirizados, análise comportamental), essa obrigação de notificação já está em vigor e exige uma revisão das práticas de coleta de dados.

O Office of the Privacy Commissioner (OPC) tem autoridade para investigar reclamações de privacidade e fazer recomendações. Violações graves da Privacy Act podem levar o Privacy Commissioner a encaminhar o caso ao Human Rights Review Tribunal, que pode conceder indenizações. O OPC publicou orientações específicas sobre IA e os IPPs, confirmando que os sistemas de IA devem ser concebidos segundo os princípios de privacy by design (privacidade desde a concepção) e que as decisões automatizadas que afetam indivíduos devem ser transparentes e passíveis de contestação.

O Algorithm Charter for Aotearoa New Zealand

O Algorithm Charter for Aotearoa New Zealand é um compromisso voluntário que os órgãos governamentais podem assinar para se comprometerem a desenvolver e utilizar algoritmos (incluindo IA) de maneira justa, ética e transparente. Os signatários se comprometem com seis princípios: manter supervisão humana sobre as decisões algorítmicas; incorporar o Tratado de Waitangi e as perspectivas Māori no design dos algoritmos; garantir transparência sobre o funcionamento dos algoritmos; avaliar os impactos sobre indivíduos e comunidades; publicar informações sobre algoritmos significativos; e dispor de processos claros para que as pessoas possam levantar preocupações sobre decisões algorítmicas que as afetem.

O Algorithm Charter não é juridicamente vinculante, e organizações do setor privado não podem assiná-lo em sua forma atual. No entanto, ele representa as expectativas do governo quanto ao uso responsável de algoritmos e fornece um arcabouço prático de governança que organizações do setor privado podem adotar por referência. Para qualquer organização que processe dados sobre comunidades Māori ou utilize IA em contextos que afetem indivíduos Māori, as considerações do Tratado de Waitangi incorporadas na Charter são particularmente relevantes, os princípios de soberania de dados Māori enfatizam os direitos coletivos sobre os dados e exigem que os sistemas de IA que utilizem dados provenientes de, ou relativos a, comunidades Māori respeitem a governança dos iwi e hapū sobre esses dados.

Estratégia Nacional de IA de 2025, o que ela significa para as empresas

O MBIE publicou a primeira Estratégia de IA Nacional da Nova Zelândia em julho de 2025, juntamente com orientações de IA Responsável para empresas. A estratégia é explicitamente focada em adoção: seu objetivo é reduzir as barreiras ao investimento em IA, esclarecer como as leis existentes se aplicam à IA e coordenar a criação de capacidade governamental. Ela não introduz novas obrigações vinculantes.

As orientações de IA Responsável para empresas, previstas na estratégia, recomendam que as organizações: mantenham um inventário de IA; realizem revisões de privacidade e éticas antes de implantar a IA; testem viés e robustez antes da entrada em operação; mantenham supervisão humana sobre decisões significativas assistidas por IA; implementem monitoramento contínuo; e documentem os processos de governança. Trata-se de recomendações voluntárias, mas que estão alinhadas com o que é legalmente exigido pela Privacy Act e com o que os reguladores setoriais cada vez mais esperam. Para setores regulados, a estratégia confirma explicitamente que as obrigações específicas do setor, provenientes do Reserve Bank, da Financial Markets Authority e do Health and Disability Commissioner, têm precedência e se aplicam integralmente.

O governo também anunciou, em julho de 2025, o New Zealand Institute for Advanced Technology, uma iniciativa de 231 milhões de dólares (2025 a 2029) incubada no MBIE para acelerar a adoção de IA em setores comercialmente significativos. Embora voltada para a inovação, ela sinaliza um investimento governamental expressivo em infraestrutura de IA e indica a direção da trajetória regulatória: viabilizar a adoção com salvaguardas adequadas, em vez de uma regulamentação restritiva ex ante.

O que as organizações na Nova Zelândia devem fazer agora

Para qualquer organização na Nova Zelândia que utilize IA que processe informações pessoais, as exigências imediatas de conformidade são: revisar os sistemas de IA em relação aos IPPs da Privacy Act 2020; implementar a exigência de notificação de coleta indireta do IPP 3A para qualquer sistema de IA que agregue dados de fontes que não os próprios indivíduos (em vigor a partir de 1º de maio de 2026); revisar os contratos com fornecedores de IA para garantir o cumprimento das obrigações de divulgação ao exterior dos IPPs 11 e 12; e documentar como as decisões significativas assistidas por IA podem ser explicadas e contestadas pelos indivíduos afetados.

Para organizações em setores regulados, serviços financeiros, saúde, infraestrutura crítica, as obrigações específicas do setor, provenientes da Financial Markets Authority, do Reserve Bank e do Health and Disability Commissioner, aplicam-se além da Privacy Act. Para os órgãos governamentais e seus contratados, o Algorithm Charter oferece um arcabouço prático de governança e sinaliza o padrão que os reguladores esperam.

O desenvolvimento de curto prazo mais provável a ser acompanhado: as orientações do Privacy Commissioner sobre IA e os IPPs, e qualquer movimento em direção a um arcabouço mais prescritivo, caso as abordagens voluntárias se mostrem insuficientes. A avaliação de adequação da Nova Zelândia pela Comissão Europeia (que permite transferências de dados da UE para a Nova Zelândia sem salvaguardas adicionais) cria um incentivo contínuo para manter padrões de privacidade amplamente alinhados com o GDPR, incluindo as proteções relativas à tomada de decisão automatizada que a UE mantém sob o Artigo 22 do GDPR.

Leitura complementar: OECD AI Policy Observatory

Leitura relacionada

Leitura complementar: OECD AI Policy Observatory