Impacto da Lei de IA da UE nas Equipes de Cibersegurança e Privacidade
A Lei de IA da UE representa uma mudança regulatória significativa, estabelecendo novos padrões para o desenvolvimento, implantação e uso da inteligência artificial dentro da União Europeia. Esta legislação possui implicações abrangentes para diversas funções, especialmente para as equipes de cibersegurança e privacidade. Este artigo explora áreas críticas onde essas equipes devem se concentrar para garantir a conformidade e aproveitar as oportunidades apresentadas pela Lei de IA da UE.
Governança
Muitas organizações ainda precisam estabelecer uma colaboração multifuncional e de múltiplas partes interessadas para tarefas relacionadas à conformidade com a Lei de IA da UE, incluindo governança, gerenciamento de riscos e segurança. Gerenciar riscos de IA requer conhecimento especializado em segurança, privacidade, conformidade, ética e mais. As equipes de cibersegurança e privacidade precisam estabelecer proativamente tais colaborações para garantir sua participação nas discussões certas no momento certo. Essa abordagem proativa é essencial para integrar considerações de cibersegurança e privacidade desde o início e alinhar-se com os objetivos organizacionais mais amplos.
Visibilidade
Em um mundo onde grandes corporações desconhecem a existência de seus próprios data centers, garantir visibilidade em todos os sistemas de IA desenvolvidos e adquiridos dentro da empresa é primordial. A primeira ordem do dia ao se preparar para cumprir a Lei de IA é garantir visibilidade abrangente. Essa visibilidade deve ser traduzida em um processo de inventário. Adaptar os processos de aquisição para apoiar tal inventário agilizará os esforços de conformidade. Para as equipes de cibersegurança, isso inclui todas as ferramentas de cibersegurança, mesmo que a IA seja utilizada apenas para fins de marketing. Garantir visibilidade e estabelecer processos de inventário permitirá uma preparação avançada, como a execução de atividades demoradas, mesmo enquanto as empresas aguardam orientações adicionais sobre os requisitos de conformidade.
IA Explicável
Em todas as regulamentações, as equipes de privacidade devem garantir que as ferramentas e algoritmos de IA sejam tão claros e transparentes quanto possível, tornando-os, no mínimo, explicáveis. A inteligência artificial explicável significa que o raciocínio por trás de uma decisão deve ser suficientemente claro para que seus usuários humanos compreendam. A transparência é alcançada por meio da documentação de suposições e da lógica por trás do modelo de aprendizado de máquina. Isso ajuda a evitar o desafio da “caixa-preta”, onde os mecanismos internos da IA são obscuros ou até mesmo ocultos. Manter a IA explicável não significa que ela estará livre de erros ou preconceitos; significa apenas que as suposições feitas durante a criação da ferramenta ou algoritmo podem ser explicadas. Ter informações bem documentadas sobre o modelo de aprendizado de máquina, incluindo suas entradas, saídas esperadas e propósitos pretendidos, apoiará as partes interessadas e usuários a confiar e utilizá-lo.
Diretrizes para Estimativa de IA de Alto Risco
O próximo passo envolve estimar potenciais sistemas de IA de alto risco, considerando fatores como uso pretendido, dano potencial e processamento de dados. O desafio reside no fato de que diretrizes específicas para tal classificação ainda não são públicas e só serão divulgadas 18 meses após a entrada em vigor da Lei de IA da UE. Enquanto isso, as organizações precisam desenvolver e aplicar critérios e estruturas internas para avaliar efetivamente os níveis de risco dos sistemas de IA.
Desenvolvimento de IA
A Lei de IA da UE apresenta uma oportunidade de ouro para as equipes de cibersegurança e privacidade se tornarem parceiros-chave no desenvolvimento de sistemas de IA. Esses sistemas, frequentemente vistos como terrenos de inovação, muitas vezes ignoram as melhores práticas do desenvolvimento de software, incluindo controles de segurança. A regulamentação aumenta a conscientização sobre a necessidade de integrar controles de segurança desde a fase de design e enfatiza a importância de envolver as equipes de cibersegurança como partes interessadas. Isso proporciona uma oportunidade adicional para as equipes de cibersegurança investirem na educação das partes interessadas sobre os controles e medidas necessários antes que o jogo comece. Para as equipes de privacidade, é importante garantir que essas integrações não apenas cumpram os requisitos regulatórios, mas também superem os mais altos padrões de proteção de dados e privacidade do usuário, protegendo contra potenciais responsabilidades legais e riscos à reputação.
Implantação de IA
Mesmo que uma empresa não esteja desenvolvendo sistemas de IA, mas apenas os utilize, ainda deve cumprir várias obrigações. Uma obrigação criticamente importante é provar que a empresa utilizou o sistema de IA de alto risco de acordo com as instruções do fornecedor em casos de potencial responsabilidade. As empresas que utilizam sistemas de IA, estimados como de alto risco, devem garantir que tenham acordos robustos com os fornecedores. Idealmente, esses acordos incluirão compromissos semelhantes ao compromisso de direitos autorais do Copilot da Microsoft, onde a Microsoft se comprometeu a apoiar os usuários em potenciais reivindicações de responsabilidade devido a infrações de direitos autorais. Outras obrigações incluem requisitos para fornecer supervisão humana e monitorar os dados de entrada e a operação do sistema.
Para as equipes de cibersegurança, a exigência para os usuários de IA significa que elas também precisam começar a estimar os riscos associados aos sistemas de IA implantados, como análise de comportamento de usuários e entidades (UEBA), dentro de sua prática. As equipes devem iniciar discussões com fornecedores, quando necessário, e avaliar o impacto potencial na arquitetura e nos roteiros. As equipes de privacidade podem considerar a implementação de princípios de privacidade por design e a realização de avaliações de impacto à privacidade (PIA) regulares para identificar e, se necessário, mitigar riscos potenciais à privacidade dos dados dos indivíduos.
Conclusão
A Lei de IA da UE impõe novos desafios e responsabilidades às organizações, especialmente às suas equipes de cibersegurança e privacidade, mas também oferece oportunidades significativas. Ao estabelecer uma governança robusta, garantir visibilidade e preparar-se proativamente para gerenciar sistemas de IA de alto risco, as equipes de cibersegurança podem não apenas cumprir as novas regulamentações, mas também aproveitar a oportunidade de se tornarem parte integrante dos processos de desenvolvimento e implantação de IA. Tomar ações decisivas e precoces nessas áreas é a chave para navegar com sucesso pelos requisitos regulatórios de IA. Para as equipes de privacidade, garantir que a IA seja explicável, adicionar princípios de privacidade por design e realizar avaliações de impacto à privacidade regulares para cumprir é essencial. Tomar ações decisivas e precoces nessas áreas é a chave para navegar com sucesso por todos os requisitos regulatórios de IA.
