Marc Sureda
A adoção de novos modelos de IA no âmbito empresarial promete vantagens como uma maior velocidade, uma redução de custos e resultados mais precisos. No entanto, a transição de uma tecnologia para outra gera um alerta crítico nos departamentos de segurança ao desligar o sistema anterior. A empresa de cibersegurança Check Point Software Technologies assinala que as companhias cometem o erro de vincular as suas políticas de proteção à plataforma de um fornecedor específico. Esta dependência provoca o que se denomina uma desviação de governação invisible, uma situação na qual as normativas internas de privacidade e controlo deixam de se aplicar de forma silenciosa ao atualizar ou modificar a infraestrutura tecnológica.
Na atualidade, as corporações coexistem com múltiplas ferramentas e modelos de inteligência artificial. Os diferentes departamentos adotam soluções segundo as suas necessidades de rendimento, normativas específicas ou integração de assistentes. Isto faz com que as políticas de segurança sejam interpretadas de maneira inconsistente em cada implementação. A título de exemplo, uma equipa de desenvolvimento pode estar a registar exclusivamente as instruções fornecidas pelos utilizadores, enquanto outro departamento revê os ficheiros, mas ignora a informação obtida dos repositórios internos. Como resultado, a disparidade entre os controlos teóricos e os que são realmente aplicados enfraquece a proteção global da organização. As listas de ferramentas autorizadas revelam-se insuficientes neste contexto, dado que a utilização segura depende da intenção do negócio e não do software utilizado.
Para evitar que as normativas fiquem obsoletas perante a chegada de um novo fornecedor, a proposta técnica passa por situar o caso de uso como o eixo central da governação. A escolha de um modelo ou outro é considerada uma decisão de implementação tecnológica, enquanto o propósito do negócio e a assunção de riscos se devem manter como diretrizes estáveis a longo prazo.
Com o objetivo de garantir esta continuidade, é necessário cumprir requisitos fundamentais aplicáveis a qualquer projeto, independentemente da tecnologia subjacente. Em primeiro lugar, exige-se vincular cada interação a uma identidade conhecida e atribuir um responsável de negócio. Em segundo lugar, deve definir-se de forma estrita o propósito permitido, delimitando as ações concretas que o sistema pode realizar. Da mesma forma, é imperativo estabelecer limites de dados para que as normativas de privacidade e propriedade intelectual se apliquem de maneira constante nos descarregamentos e na recuperação de informação. Por outro lado, revela-se vital impor restrições às ações autónomas do ambiente, exigindo a confirmação humana nas decisões de elevado impacto. Por fim, deve gerar-se a evidência e auditoria necessárias para investigar possíveis incidentes e verificar a eficácia dos controlos após qualquer migração.
Para comprovar a maturidade destes sistemas de proteção corporativa, propõe-se submeter as aplicações a um teste consistente num alteração simulada de modelo. Se, ao substituir o fornecedor, a organização não for capaz de garantir a manutenção das autorizações, as restrições de dados e as evidências de auditoria, significa que a sua governação depende de terceiros e apresenta falhas operacionais graves.
A concretização de uma arquitetura de governação verdadeiramente portável exige ir além da simples redação de políticas no papel. Neste sentido, é imprescindível implementar um plano de controlo comum que supervisione e aplique as normas de forma unificada em toda a estrutura empresarial. O plano de soluções orientadas para este fim, como o AI Defense Plane e a interface AI Gateway, facilita a criação de uma arquitetura que centraliza a deteção e a proteção da inteligência artificial corporativa. Tudo isto permite adaptar a supervisão em função do risco real, agilizando as tarefas quotidianas e maximizando a segurança nos fluxos de trabalho mais críticos.
