Introdução
Ferramentas de inteligência artificial estão sendo incorporadas a softwares empresariais sem contrato formal, sem diligência prévia e sem acionamento dos processos de gerenciamento de risco de terceiros (TPRM). Essa prática tem sido observada em ambientes de produção, onde unidades de negócios solicitam soluções de IA para otimizar o fornecimento de materiais.
Risco de IA em terceiros
Quando uma funcionalidade de IA é ativada em uma plataforma já aprovada, ela pode começar a processar dados sensíveis, como formulações proprietárias, parâmetros de processo, termos de fornecedores e especificações técnicas. O operador do modelo de base muitas vezes permanece desconhecido para a equipe de TPRM, impedindo a inclusão de cláusulas de proteção de dados adequadas.
Lacunas nos gatilhos de TPRM
Os processos tradicionais de TPRM são acionados por eventos comerciais claros, como assinatura de contrato ou emissão de ordem de compra. As atualizações de IA chegam como notas de versão ou changelogs que raramente são revisados, permitindo que o perfil de risco de uma ferramenta aprovada mude sem nenhum fluxo de trabalho adicional.
Desafios de sub-processadores
O fornecedor de SaaS pode contar com um modelo de IA fornecido por um terceiro, que por sua vez pode depender de infraestrutura de ainda mais outros parceiros. Essa cadeia de sub-processadores dificulta o mapeamento completo dos fluxos de dados e a avaliação de riscos associados.
Medidas recomendadas para fechar a lacuna
1. Desacoplamento da ingestão de IA: implementar um fluxo de trabalho que dispare uma reavaliação de TPRM sempre que uma atualização de fornecedor mencionar IA ou modelos de linguagem grande, independentemente de haver compra.
2. Adendo específico de IA ao questionário de diligência: incluir perguntas que identifiquem cada modelo de IA utilizado, confirmem se os dados dos clientes são usados para treinamento, listem sub‑processadores de IA e exigam comprovação de certificação de segurança de IA.
3. Revisão da composição dos comitês de governança: ampliar a participação para incluir especialistas em segurança da informação, privacidade de dados e, quando aplicável, responsáveis por operações industriais, garantindo que a avaliação de risco de IA seja abrangente.
Conclusão
O risco de IA em ambientes de produção está crescendo rapidamente, enquanto os processos de TPRM permanecem focados em eventos comerciais tradicionais. Ao adaptar fluxos de trabalho, atualizar questionários de diligência e diversificar a composição dos comitês de governança, as organizações podem mitigar os riscos emergentes e cumprir obrigações regulatórias relacionadas ao uso de IA de alto risco.
