As primeiras obrigações de transparência do AI Act tornaram-se executórias. Para profissionais oriundos da proteção de dados, elas não devem parecer familiares — porque não são.
As primeiras obrigações de transparência do AI Act tornaram-se executórias. Para profissionais que trabalham em governança de IA, elas parecerão irrilevantes. Para profissionais vindos da proteção de dados, não devem. A diferença não é doutrinária. É estrutural.
A proteção de dados regula a relação entre um indivíduo e aqueles que tratam suas informações. A governança de IA opera em um plano diferente. Governa o comportamento, a opacidade e a integridade dos sistemas que moldam decisões que afetam indivíduos. O objeto imediato da regulação é o sistema. O interesse protegido último permanece sendo a pessoa.
O Artigo 50, cujos deveres centrais de transparência começam a se aplicar, é o ponto em que as duas gramáticas divergem visivelmente dentro de uma única disposição. O direito de saber que o interlocutor é uma máquina, que um conteúdo foi gerado por IA, que expressões faciais estão sendo usadas para reconhecimento emocional, que uma imagem foi manipulada. Nenhum desses são direitos informacionais sobre dados pessoais. O interesse protegido é diferente: a capacidade da pessoa de se localizar em relação ao sistema ao qual está exposta.
É por isso que o AI Act atribui esses deveres diretamente a provedores e implantadores, em vez de permitir que sua alocação legal seja alterada por contrato. Quando o interesse protegido são os dados, as obrigações se concentram em quem controla o tratamento. Quando o interesse protegido é a consciência da pessoa em relação ao sistema, a obrigação precisa estar onde essa consciência é formada. Às vezes no design, às vezes na implantação.
Para quem lê isso a partir de um contexto de privacidade, o que entra em vigor não cederá aos hábitos interpretativos desenvolvidos sob o GDPR. Seu objeto não é o mesmo. É o momento em que a regulação digital europeia começa a tratar a consciência da pessoa em relação ao sistema como um interesse protegido por si mesmo.
Organizações que ainda estão mapeando essas obrigações apenas sob a lente do GDPR estão partindo de um enquadramento equivocado. O ponto de partida correto é a pergunta: em quais pontos da jornada do usuário a consciência de estar interagindo com IA precisa ser garantida, e por qual ator?
The first transparency obligations under the EU AI Act have become enforceable. To professionals working in AI governance, they will look unremarkable. To professionals coming from data protection, they should not. The difference is not doctrinal. It is structural.
Data protection regulates the relation between an individual and those who process her information. AI governance operates on a different plane. It governs the behaviour, opacity and integrity of the systems that shape decisions affecting individuals. The immediate object of regulation is the system. The ultimate protected interest remains the person.
Article 50, whose core transparency duties begin to apply, is the point where these two grammars visibly diverge inside a single provision. The right to know that the interlocutor is a machine, that a piece of content was AI-generated, that facial expressions are being used for emotion recognition, that an image was manipulated. None of these are informational rights over personal data. The protected interest is different: the person's ability to locate herself in relation to the system she is exposed to.
This explains why the AI Act assigns these duties directly to providers and deployers, rather than allowing their legal allocation to be altered by contract. When the protected interest is data, obligations concentrate on whoever controls the processing. When the protected interest is the person's awareness of the system, the obligation has to sit wherever that awareness is formed. Sometimes at design, sometimes at deployment.
For those reading this from a privacy background, what enters into force will not yield to the interpretive habits developed under the GDPR. Its object is not the same. It is the moment European digital regulation begins to treat the person's awareness of the system as a protected interest in its own right.
Organisations still mapping these obligations only through the GDPR lens are starting from a flawed frame. The correct starting point is the question: at which points in the user journey does awareness of interacting with AI need to be guaranteed, and by which actor?
Las primeras obligaciones de transparencia de la Ley de IA de la UE se han vuelto ejecutables. Para los profesionales que trabajan en gobernanza de IA, parecerán irrelevantes. Para los profesionales procedentes de la protección de datos, no deberían. La diferencia no es doctrinal. Es estructural.
La protección de datos regula la relación entre un individuo y quienes tratan su información. La gobernanza de IA opera en un plano diferente. Gobierna el comportamiento, la opacidad y la integridad de los sistemas que configuran las decisiones que afectan a los individuos. El objeto inmediato de la regulación es el sistema. El interés protegido último sigue siendo la persona.
El artículo 50, cuyos deberes centrales de transparencia comienzan a aplicarse, es el punto en que estas dos gramáticas divergen visiblemente dentro de una sola disposición. El derecho a saber que el interlocutor es una máquina, que un contenido fue generado por IA, que las expresiones faciales están siendo utilizadas para el reconocimiento emocional, que una imagen fue manipulada. Ninguno de estos son derechos informativos sobre datos personales. El interés protegido es diferente: la capacidad de la persona de situarse en relación con el sistema al que está expuesta.
Para quienes leen esto desde un contexto de privacidad, lo que entra en vigor no cederá a los hábitos interpretativos desarrollados bajo el RGPD. Su objeto no es el mismo. Es el momento en que la regulación digital europea comienza a tratar la conciencia de la persona en relación con el sistema como un interés protegido por sí mismo.
I primi obblighi di trasparenza dell'AI Act dell'UE sono diventati esecutivi. Per i professionisti che lavorano nella governance dell'IA, sembreranno irrilevanti. Per i professionisti provenienti dalla protezione dei dati, non dovrebbero. La differenza non è dottrinale. È strutturale.
La protezione dei dati regola il rapporto tra un individuo e coloro che trattano le sue informazioni. La governance dell'IA opera su un piano diverso. Governa il comportamento, l'opacità e l'integrità dei sistemi che modellano le decisioni che riguardano gli individui. L'oggetto immediato della regolamentazione è il sistema. L'interesse protetto ultimo rimane la persona.
L'articolo 50, i cui doveri centrali di trasparenza iniziano ad applicarsi, è il punto in cui queste due grammatiche divergono visibilmente all'interno di un'unica disposizione. Il diritto di sapere che l'interlocutore è una macchina, che un contenuto è stato generato dall'IA, che le espressioni facciali vengono utilizzate per il riconoscimento delle emozioni, che un'immagine è stata manipolata. Nessuno di questi sono diritti informativi sui dati personali. L'interesse protetto è diverso: la capacità della persona di collocarsi in relazione al sistema a cui è esposta.
Per chi legge questo da un contesto di privacy, ciò che entra in vigore non cederà alle abitudini interpretative sviluppate sotto il GDPR. Il suo oggetto non è lo stesso. È il momento in cui la regolamentazione digitale europea inizia a trattare la consapevolezza della persona in relazione al sistema come un interesse protetto di per sé.