A rápida evolução da inteligência artificial está levando empresas a substituir com frequência modelos e plataformas em busca de melhor desempenho, novas funcionalidades e maior aderência às necessidades do negócio. Segundo os especialistas da Check Point Software, esse movimento pode criar lacunas de governança quando políticas de segurança permanecem vinculadas ao fornecedor ou ao modelo de IA, em vez de acompanhar o caso de uso da tecnologia.
Na avaliação deles, à medida que diferentes modelos e provedores passam a coexistir dentro das organizações, cresce o risco de controles relacionados a acesso, proteção de dados, auditoria e aprovação humana deixarem de ser aplicados de forma consistente durante migrações entre plataformas.
Isso porque a escolha do modelo é uma decisão técnica de implementação. Já o propósito do negócio e o nível de risco aceitável são decisões de governança que precisam permanecer estáveis, independentemente da tecnologia utilizada.
Para reduzir esse risco, os especialistas recomendam que a governança acompanhe o caso de uso da IA e não a tecnologia utilizada. Isso significa que requisitos relacionados à finalidade do uso da IA, aos dados processados e às ações permitidas devem permanecer válidos mesmo quando houver substituição do modelo ou do fornecedor.
Cinco requisitos para uma governança de IA consistente
Segundo a Check Point, cinco requisitos devem acompanhar cada caso de uso de inteligência artificial, independentemente da plataforma adotada:
1. Identidade e responsabilidade
Cada interação com IA deve estar associada a um usuário, aplicação, serviço ou agente conhecido, além da definição de um responsável pelo uso da tecnologia e pelos riscos envolvidos.
2. Finalidade permitida
A aprovação de uma ferramenta de IA não determina automaticamente todas as atividades que ela pode executar. A organização deve estabelecer quais finalidades são permitidas para cada caso de uso.
3. Limites para os dados
As políticas relacionadas a dados pessoais, propriedade intelectual, código-fonte, credenciais e outras informações sensíveis devem acompanhar os dados durante prompts, uploads, sistemas de recuperação de informações e ferramentas conectadas.
4. Limites para respostas e ações
A governança deve definir quais conteúdos a IA pode gerar e quais ações pode executar, estabelecendo quando decisões de maior impacto exigem validação humana ou aprovações adicionais.
5. Evidências e auditoria
As organizações precisam manter registros suficientes para compreender os resultados produzidos pela IA, investigar incidentes e verificar se os controles continuam funcionando mesmo após mudanças de tecnologia.
O teste de mudança de modelo
Para avaliar se a governança está preparada para acompanhar a evolução da IA, a Check Point propõe que as empresas realizem um teste de mudança de modelo.
O exercício consiste em responder se, ao substituir um modelo ou fornecedor de IA, permanecem válidos os mesmos controles de acesso, regras para tratamento de dados, restrições sobre ações permitidas, exigências de aprovação humana, registros para auditoria e processos de validação da nova implementação.
Se uma ou mais dessas respostas forem negativas, as empresas podem estar com sua governança excessivamente dependente da tecnologia utilizada, e não das políticas corporativas.
De acordo com a Check Point, o mesmo teste também pode ser aplicado quando um projeto-piloto entra em produção, uma aplicação passa a utilizar dados corporativos, um colaborador migra para outro assistente de IA ou um fluxo de trabalho passa a executar ações de forma autônoma.
Governança além do modelo
Para a Check Point, manter requisitos consistentes é apenas o primeiro passo. À medida que o uso de IA se expande entre usuários, aplicações e agentes autônomos, torna-se necessário contar com um plano de controle capaz de aplicar políticas de forma uniforme em diferentes ambientes de IA.
Nesse contexto, soluções como o Check Point AI Defense Plane e o AI Gateway integram a arquitetura de segurança da empresa para descoberta, proteção e governança da inteligência artificial, permitindo monitorar o uso da tecnologia, aplicar políticas de forma centralizada e ampliar os controles conforme o nível de risco de cada aplicação.
Imagem: divulgação.
