Orientação do ICO do Reino Unido sobre IA, o que as organizações precisam saber em 2026

O Information Commissioner's Office (ICO) é o principal regulador do Reino Unido para IA na medida em que ela envolve dados pessoais. Embora o Reino Unido não tenha uma lei de IA autônoma, os poderes de fiscalização do ICO sob o GDPR do Reino Unido e a Data Protection Act 2018, combinados com as reformas da Data (Use and Access) Act 2025, conferem-lhe autoridade substancial sobre os sistemas de IA que processam dados pessoais.

Principais desenvolvimentos de 2025 e 2026

Reformas da DUAA (5 de fevereiro de 2026). A Seção 80 substituiu o Artigo 22 pelos Artigos 22A a 22D, ampliando as circunstâncias em que a tomada de decisão unicamente automatizada é permitida. O regime mais rígido é mantido para dados de categoria especial (saúde, etnia, biometria). O ICO passou a contar com ferramentas ampliadas de investigação e fiscalização, incluindo notificações de apresentação de documentos.

Consulta sobre a orientação de ADM (31 de março a 29 de maio de 2026). O ICO abriu consulta sobre o projeto de orientação atualizada para a tomada de decisão automatizada. O projeto enfatiza viabilizar a ADM responsável em vez de tratá-la como excepcional. A orientação final é esperada para o verão de 2026. As organizações devem participar da consulta e planejar a conformidade com a orientação final.

ICO AI Toolkit. A orientação publicada pelo ICO sobre IA e proteção de dados abrange: equidade na IA; transparência na IA; responsabilização e governança na IA; e licitude e limitação de finalidade na IA. Esse toolkit continua sendo a principal referência prática para as organizações do Reino Unido que implementam IA que processa dados pessoais.

Postura de fiscalização. O ICO pode impor multas de até £17,5 milhões ou 4% do faturamento anual global sob o UK GDPR. A DUAA elevou as penalidades da PECR ao mesmo patamar do UK GDPR. O ICO tem sido atuante na fiscalização de IA; a investigação conjunta sobre a Clearview AI, as investigações de reclamações relacionadas à IA e o engajamento com preocupações específicas de IA demonstram a disposição do regulador para agir.

O que o ICO espera das organizações

Base legal. A IA que processa dados pessoais precisa de uma base legal nos termos do Artigo 6 do UK GDPR. Para o treinamento de IA com dados pessoais, as regras reformadas de limitação de finalidade da DUAA (Artigo 5(1)(b)) dão mais margem para reaproveitar dados, mas os requisitos de base legal, transparência e equidade permanecem.

Avaliação de Impacto sobre a Proteção de Dados (DPIA). Exigida para o processamento de alto risco, o que inclui a avaliação sistemática de indivíduos, a tomada de decisão automatizada com efeitos significativos, o processamento em larga escala de dados de categoria especial e o uso inovador de tecnologia. A maioria das implementações de IA de maior impacto aciona os requisitos de DPIA.

Transparência. Os indivíduos devem ser informados sobre o uso de IA em decisões que os afetem. Os avisos de privacidade devem divulgar o processamento automatizado, a lógica envolvida e a relevância e as consequências previstas.

Direitos dos indivíduos. Direito de acesso (Artigo 15), incluindo informações significativas sobre a lógica envolvida nas decisões automatizadas. Direito de retificação quando a IA processa dados inexatos. Direito de eliminação quando aplicável. Direito de oposição ao profiling.

Coordenação do DRCF

O ICO integra o Digital Regulation Cooperation Forum (DRCF) ao lado da Ofcom, da FCA (Financial Conduct Authority) e da CMA, presidido pela CEO da CMA, Sarah Cardell, no período 2025/26. O DRCF publicou, em outubro de 2025, um call for views (pedido de contribuições) sobre IA agêntica. Para as organizações reguladas por múltiplos reguladores do Reino Unido, o DRCF fornece orientação coordenada que reduz expectativas conflitantes.

Fontes primárias: ICO, ADM Rights Guidance · ICO, AI and Data Protection Guidance · Data (Use and Access) Act 2025

Leituras relacionadas