O Código de Prática do Reino Unido para a Segurança Cibernética da IA: O que Significa e Por que é Importante
Com a crescente adoção da IA, tanto seus benefícios quanto riscos se tornam cada vez mais evidentes. Governos ao redor do mundo estão elaborando diretrizes e, em alguns casos, promulgando legislações para regular a segurança e o uso da IA. Em resposta a esses desafios, o governo do Reino Unido introduziu um Código de Prática para a Segurança Cibernética da IA, estabelecendo padrões básicos de segurança.
Embora essa estrutura voluntária não tenha o peso legal do Ato de IA da UE, é uma das primeiras diretrizes de segurança apoiadas pelo governo especificamente para a IA. Organizações como a OWASP e a MITRE desenvolveram estruturas de risco e controle para IA, mas os esforços do governo dos EUA foram paralisados devido a interrupções que afetaram agências como o NIST e o CISA.
Esta iniciativa destaca o compromisso do Reino Unido em garantir o desenvolvimento e a implantação da IA sem comprometer o progresso tecnológico. As novas diretrizes do Reino Unido definem 13 princípios de segurança, 10 dos quais se alinham diretamente com as capacidades integradas das plataformas de segurança de IA existentes.
Visão Geral do Código de Prática de Segurança Cibernética da IA do Reino Unido
Publicada em janeiro de 2025, o Código de Prática aborda os riscos cibernéticos distintos associados à IA, como envenenamento de dados, obfuscação de modelos e injeção indireta de prompts. Ele serve como um adendo ao existente Código de Prática de Software, enfatizando a necessidade de medidas de segurança específicas para a IA.
Princípios de Segurança
O Código é estruturado em torno de vários princípios-chave que guiam as organizações na segurança de seus sistemas de IA:
Princípio 1: Aumentar a Consciência dos Funcionários sobre Ameaças e Riscos de Segurança da IA
As organizações devem educar seus funcionários sobre as potenciais ameaças de segurança da IA para fomentar uma cultura de consciência de segurança.
Princípio 2: Projetar Sistemas de IA para Segurança, Bem como Funcionalidade e Desempenho
Considerações de segurança devem ser integradas ao processo de design dos sistemas de IA, garantindo que a funcionalidade e o desempenho não ofusquem os requisitos de segurança.
Princípio 3: Avaliar as Ameaças e Gerenciar os Riscos para seu Sistema de IA
As organizações devem realizar modelagem de ameaças abrangente para identificar e mitigar riscos potenciais para seus sistemas de IA.
Princípio 4: Habilitar a Responsabilidade Humana para Sistemas de IA
Quando projetar um sistema de IA, desenvolvedores e/ou operadores de sistemas devem incorporar e manter capacidades que permitam a supervisão humana.
Princípio 5: Identificar, Rastrear e Proteger os Ativos e Dependências do seu Sistema de IA
As organizações devem manter um inventário dos ativos de IA e suas dependências para protegê-los efetivamente.
Princípio 6: Ambientes de Desenvolvimento e Treinamento Seguros
Os ambientes de desenvolvimento e teste devem ser protegidos para prevenir acessos não autorizados e possíveis compromissos.
Princípio 7: Proteger a Cadeia de Suprimentos de Software
As organizações devem avaliar e gerenciar riscos decorrentes do uso de componentes de IA de terceiros para garantir a segurança geral do sistema.
Princípio 8: Documentar Seus Dados, Modelos e Prompts
As organizações devem manter documentação abrangente dos dados usados, modelos de IA desenvolvidos e prompts aplicados para garantir transparência e segurança.
Princípio 9: Realizar Testes e Avaliações Apropriados
Os sistemas e modelos de IA devem passar por testes rigorosos para detectar vulnerabilidades, preconceitos e problemas de desempenho antes da implantação.
Princípio 10: Comunicação e Processos Associados aos Usuários Finais
As organizações devem estabelecer canais de comunicação claros para informar os usuários finais e entidades afetadas sobre comportamentos, riscos e mudanças dos sistemas de IA.
Princípio 11: Manter Atualizações, Patches e Mitigações de Segurança Regulares
Os sistemas de IA devem ser atualizados regularmente com patches de segurança e mitigações para abordar vulnerabilidades emergentes.
Princípio 12: Monitorar o Comportamento do seu Sistema
O monitoramento contínuo dos sistemas de IA é essencial para detectar anomalias, incidentes de segurança e comportamentos inesperados.
Princípio 13: Garantir a Descarte Adequado de Dados e Modelos
As organizações devem implementar processos de exclusão segura de dados e aposentadoria de modelos para prevenir acessos não autorizados a ativos de IA desatualizados.
Comparando o Código de Segurança Cibernética da IA do Reino Unido com o Ato de IA da UE
Enquanto o Código de Segurança da IA do Reino Unido se concentra especificamente em princípios de segurança cibernética para o desenvolvimento e implantação da IA, o Ato de IA da UE adota uma abordagem regulatória mais ampla para a governança da IA. As principais diferenças entre essas estruturas incluem:
- Escopo: O Código do Reino Unido é um conjunto de diretrizes de segurança voluntárias, enquanto o Ato da UE é uma estrutura abrangente e legalmente vinculativa.
- Foco em Segurança Cibernética: O Código do Reino Unido prioriza os aspectos técnicos da segurança da IA, enquanto o Ato da UE enfatiza considerações éticas.
- Aplicação Regulamentar: A conformidade com o Código é encorajada, mas não obrigatória, enquanto o Ato da UE impõe penalidades por não conformidade.
- Categorização de Sistemas de IA: O Ato da UE classifica sistemas de IA em quatro categorias de risco, enquanto a abordagem do Reino Unido não classifica sistemas por risco.
- Impacto nos Negócios: As empresas no Reino Unido podem adotar o Código sem enfrentar repercussões legais imediatas, ao contrário das organizações na UE que devem cumprir o Ato.
Conclusão
O Código de Prática para a Segurança Cibernética da IA do Reino Unido representa um passo significativo para estabelecer diretrizes claras e eficazes para a segurança da IA. Ao alinhar-se com esses princípios, as organizações podem melhorar a segurança de seus sistemas de IA, promovendo confiança e confiabilidade nas tecnologias de IA.
