Segurança da informação, normas, regulamentação, privacidade e gestão de risco.
Por Roy Kish – Infoguard, parte do Grupo Idor
Encontramos hoje cada vez mais organizações que já utilizam inteligência artificial, mesmo que ainda não tenham definido uma política estruturada sobre o tema.
Os colaboradores usam ferramentas de Generative AI para redigir documentos, resumir reuniões, analisar dados e escrever código. Os departamentos de marketing ligam a IA à informação de clientes, as equipas de apoio colocam chatbots em funcionamento e as unidades de negócio começam a operar AI Agents com acesso a sistemas e dados da empresa.
Para nós, na Infoguard, a questão já não é se a IA vai entrar na organização. Na maioria dos casos já lá está.
A pergunta importante é outra: quem a gere, quem a supervisiona e quem responde quando alguma coisa corre mal?
A regulamentação já não é um assunto do futuro
No mundo da inteligência artificial, a regulamentação avança depressa.
O Regulamento Europeu da IA (AI Act) ilustra a passagem de princípios gerais para um quadro que fixa requisitos mais claros sobre a utilização de sistemas de IA. Quanto mais um sistema afeta pessoas, direitos ou decisões relevantes, maior é o controlo, a documentação, a transparência e a supervisão que a organização tem de assegurar.
Mas nós, na Infoguard, enquanto empresa de segurança da informação, aconselhamos as organizações a não olharem apenas para a regulamentação da IA.
Na prática, a utilização de IA já recai sobre obrigações existentes nas áreas da privacidade, da segurança da informação, da gestão de risco, dos contratos com fornecedores e da responsabilidade da gestão.
Mesmo uma organização que não opera diretamente sob a regulamentação europeia tem de perguntar a si própria o que acontece quando uma ferramenta de IA trata dados pessoais, acede a informação sensível ou influencia decisões de negócio.
Tal como o vemos, isto já não é apenas uma questão tecnológica. É uma questão de gestão.
A privacidade tem de entrar logo na fase de especificação
Um dos pontos que sublinhamos repetidamente é que não vale a pena esperar pelo fim do projeto para falar de privacidade.
Se um sistema de IA recebe acesso ao CRM, à correspondência, a documentos de colaboradores, a dados de clientes ou a informação de negócio sensível, é preciso parar e colocar algumas questões básicas:
- Precisamos mesmo de todos estes dados?
- Estamos autorizados a usá-los para esta finalidade?
- São transferidos para um fornecedor externo?
- Onde ficam armazenados?
- São usados para treinar o modelo?
- Quem lhes pode aceder?
- O que acontece aos dados quando deixamos de usar o sistema?
É exatamente aqui que princípios como Privacy by Design, Data Minimization e gestão do ciclo de vida da informação deixam de ser teóricos e passam a ser um processo de trabalho.
Nós, na Infoguard, preferimos ver as questões de privacidade a entrar já na fase de avaliação do use case, e não só depois de o sistema estar em produção.
As normas tornam a governação algo realmente gerível
A regulamentação pode dizer-nos o que é exigido. Mas a organização continua a precisar de um método que a ajude a gerir isso na prática.
É aqui que entra a ISO/IEC 42001, a norma internacional para um sistema de gestão de inteligência artificial.
Vemo-la como um quadro importante porque obriga a organização a olhar para a IA como um sistema de gestão completo: política, responsáveis, riscos, controlos, objetivos, monitorização e melhoria contínua.
A par dela, a ISO/IEC 27001 fornece a base para a gestão da segurança da informação e a ISO/IEC 27701 acrescenta a camada de gestão da privacidade.
Na prática, os três mundos ligam-se:
- ISO 27001 – como gerimos a segurança da informação.
- ISO 27701 – como gerimos a privacidade e os dados pessoais.
- ISO 42001 – como gerimos os sistemas de IA e os riscos associados.
Para nós trata-se de uma ligação natural. Uma organização que já construiu bons processos de governação em torno da segurança da informação e da privacidade não precisa de começar do zero, mas precisa de os estender ao mundo da inteligência artificial, dos Agents e da IA.
Uma política de IA é muito mais do que uma lista de ferramentas
Vemos bastantes organizações que começam bem mas param cedo demais.
Publicam uma lista de ferramentas permitidas e proibidas e julgam ter uma política de IA.
É um começo, mas uma governação a sério tem de ir mais longe.
Recomendamos que se defina também: que informação pode ser introduzida em ferramentas de IA, que utilizações exigem aprovação, como se avalia um novo fornecedor, quem está autorizado a ligar IA a um sistema da empresa, quando são envolvidos o CISO, o DPO ou o departamento jurídico e que decisões exigem Human Oversight.
Além disso, vale a pena construir um AI Inventory estruturado.
Ou seja, saber que sistemas e utilizações de IA existem, quem é o responsável por cada um, a que dados acedem e qual o seu nível de risco.
Não se pode gerir aquilo cuja existência se desconhece.
De quem é então a responsabilidade?
Esta é uma das perguntas que mais ouvimos.
A resposta é que não se pode colocar toda a responsabilidade num único departamento.
- As TI gerem os sistemas.
- O CISO gere os riscos de segurança da informação.
- O DPO analisa os aspetos de privacidade.
- O departamento jurídico trata da regulamentação e dos contratos.
- A unidade de negócio é normalmente quem pede a implementação e responde pelo impacto no negócio (BIA).
Recomendamos por isso uma responsabilidade partilhada mas claramente definida.
Cada sistema ou use case relevante precisa de um Owner. Em paralelo, a organização tem de decidir quem detém a responsabilidade global pela política de IA e pela gestão do risco.
Gostamos de testar isto com quatro perguntas simples:
- Quem aprovou a utilização?
- Quem a supervisiona e documenta?
- Quem gere o risco?
- Quem responde se alguma coisa correr mal?
Se não houver resposta clara às quatro, a governação provavelmente ainda não está suficientemente madura.
E os colaboradores?
Mesmo a melhor política não serve de nada se os colaboradores não souberem que existe.
Hoje vemos um risco crescente de Shadow AI: colaboradores a usar ferramentas de IA de que a organização não tem qualquer conhecimento.
A AI Literacy e a formação dos colaboradores têm, por isso, de fazer parte do processo.
Os colaboradores precisam de saber que informação não pode ser introduzida, quando um resultado exige revisão humana e quando uma nova ferramenta tem de passar por aprovação.
Além disso, um fornecedor que gere serviços de IA externamente e em conformidade permite mapear ou reduzir o fenómeno e os seus riscos, e trazer as formas de trabalho para quadros controlados e geridos.
Como nós, na Infoguard, olhamos para isto
Nós, na Infoguard, acompanhamos as organizações no ponto de encontro entre segurança da informação, privacidade, regulamentação, normas e gestão de risco.
Tal como o vemos, a passagem para a IA não reinventa as regras do jogo. Exige que a organização pegue nos princípios que já conhece e os estenda a um mundo novo, mais rápido e mais dinâmico.
No âmbito dos serviços de segurança da informação para empresas, ajudamos as organizações a ligar política de IA, avaliações de risco, privacidade, normas, responsabilidade organizacional e formação dos colaboradores, para que a adoção de IA decorra como um processo gerido e não como uma iniciativa isolada.
Por onde começar?
Recomendamos começar de forma simples:
- Mapear os sistemas e utilizações de inteligência artificial existentes.
- Classificá-los por dados, permissões e nível de risco.
- Definir uma política de IA e regras de privacidade.
- Atribuir um Owner e um processo de aprovação para as utilizações relevantes.
- Analisar as lacunas face à regulamentação e às normas aplicáveis.
A pergunta já não é se a organização vai usar IA.
A pergunta é se a inteligência artificial está a avançar mais depressa do que o sistema de gestão que a rodeia.
Para nós, a AI Governance não é um obstáculo à inovação. É o que permite a uma organização inovar sem abdicar de controlo, privacidade e responsabilidade.
Este artigo foi escrito em colaboração com os especialistas em segurança da informação da Infoguard.