A maioria das organizações dispõe de políticas sólidas de governação da IA no papel. O problema é que nunca houve uma distância tão grande entre o que está no papel e a prática, e colmatar essa lacuna tornou-se o desafio mais premente em matéria de gestão de riscos para os responsáveis pela conformidade atualmente. As políticas são aprovadas, os quadros de referência são documentados e os controlos são implementados, mas, entretanto, os colaboradores estão a integrar assistentes de IA, copilotos e fluxos de trabalho baseados em IA no seu trabalho diário todas as semanas, muitas vezes sem qualquer indício claro de que seja necessária supervisão.
Cada ferramenta adotada fora de um processo de análise formal, cada caso de utilização que, discretamente, se expande para novas fontes de dados, aumenta um pouco mais essa lacuna. E quanto mais essa lacuna se alarga, mais difícil se torna perceber onde reside a sua verdadeira exposição.
Imagine o seguinte: a sua política de governação da IA foi aprovada há seis meses. Desde então, três equipas introduziram discretamente novas ferramentas, alguns casos de utilização passaram a envolver dados de clientes e nada disso desencadeou uma revisão formal. A discrepância entre o que foi aprovado e o que está efetivamente em funcionamento hoje é precisamente onde se acumulam os riscos relacionados com a IA.
Por que razão a aprovação única não consegue acompanhar a evolução da utilização da IA
Os novos dados costumavam seguir percursos previsíveis. As equipas propunham um projeto, os fluxos de trabalho eram analisados, os riscos avaliados e os controlos acordados antes de qualquer coisa entrar em funcionamento. Esse processo funcionava porque a mudança era visível. A IA reduziu todo o prazo e tornou a expansão praticamente invisível.
O que começa por ser um caso de utilização interno restrito vai-se expandindo discretamente ao longo do tempo. Liga-se a novas fontes de dados, mais utilizadores obtêm acesso e os resultados começam a fluir para sistemas a jusante que nunca fizeram parte do projeto original. Cada passo, por si só, parece razoável, mas, em conjunto, esses passos criam uma vulnerabilidade difícil de detetar até que algo corra mal. A aprovação que abrangia o projeto original raramente abrange o ponto em que o caso de utilização se encontra seis meses depois, o que significa que uma aprovação única não pode reger algo que continua a evoluir após a implementação.
A lacuna de visibilidade é onde reside o risco associado aos dados da IA
Pergunte a si mesmo: a sua organização consegue identificar, neste preciso momento, em que pontos a IA está a interagir com dados sensíveis ou sujeitos a regulamentação?
Para muitas organizações, a resposta sincera é «não», ou, pelo menos, não com toda a certeza.
Uma ferramenta aprovada para utilização interna de baixo risco começa a recolher dados de clientes. O acesso alarga-se à medida que a adoção cresce. Os resultados fluem para sistemas que nunca foram abrangidos pela análise inicial, e ninguém tomou uma decisão errada ao longo do processo. O caso de utilização simplesmente evoluiu, e ninguém estava atento o suficiente para se aperceber disso. Este é o resultado previsível de uma mudança não observada, não de má-fé. O risco relacionado com os dados de IA raramente resulta de uma adoção imprudente. Resulta de uma mudança que ninguém está a acompanhar ativamente.
A distância entre a governação e as operações é o problema central
As funções de governação e privacidade têm-se, tradicionalmente, envolvido em pontos de controlo: aprovações de projetos, auditorias periódicas e revisões formais. Esse modelo partia do princípio de que a mudança seria visível e de que haveria sempre um momento definido para intervir.
A IA elimina ambas as suposições. A maior parte das mudanças ocorre no seio dos fluxos de trabalho quotidianos, e não em planos de projeto ou pedidos formais de alteração, e quando uma revisão trimestral as deteta, o caso de utilização já evoluiu. Uma governação que só intervém periodicamente torna-se, por definição, reativa e, num ambiente de IA em rápida evolução, ser reativo significa estar vulnerável.
A maioria das organizações não tem políticas deficientes. O que lhes falta é proximidade em relação às operações e, em ambientes caracterizados por mudanças contínuas, essa distância em relação à atividade quotidiana constitui, por si só, um risco significativo.
A classificação de dados e os controlos de privacidade têm de poder ser aplicados em tempo real
A classificação de dados é um bom exemplo de uma situação em que a governação da IA falha na prática. A maioria das organizações dispõe de quadros de classificação bem definidos, mas, na prática, as equipas sabem que os seus dados são sensíveis sem terem a certeza se estes podem ser utilizados numa ferramenta específica de IA, se um determinado resultado requer revisão ou quais as restrições que se aplicam a jusante. Quando a classificação é abstrata em vez de prática, torna-se um documento de referência em vez de um controlo funcional.
A governação da privacidade enfrenta o mesmo problema de timing. É mais eficaz quando é implementada numa fase inicial e reavalia os casos de utilização à medida que estes se alteram, mas a análise da privacidade continua a ocorrer frequentemente tarde demais, depois de as decisões-chave de conceção já estarem consolidadas. Em ambientes de IA em rápida evolução, essa lacuna só se agrava. Um controlo que não possa ser aplicado no momento em que uma decisão é tomada não está, de todo, a funcionar como um controlo.
A responsabilização pela IA deve ir além da aprovação inicial
À medida que a utilização da IA se acelera, a clareza torna-se mais valiosa do que a complexidade.
Cada caso de utilização da IA requer uma responsabilização que vá além da aprovação inicial, incluindo a responsabilidade pelos resultados empresariais, pelos dados envolvidos e pela eficácia contínua do controlo à medida que o caso de utilização evolui. Quando essa responsabilização não é clara, as reavaliações deixam de ser realizadas e o risco persiste por muito mais tempo do que deveria. Em ambientes dinâmicos, a ambiguidade não fica confinada, porque se amplifica.
Uma atribuição clara de responsabilidades não atrasa a adoção da IA. Impede o tipo de acumulação silenciosa de riscos que obriga as organizações a intervir a posteriori, o que é sempre mais perturbador e mais dispendioso do que antecipar-se a essa situação.
Está a fazer as perguntas certas sobre a governação da IA?
As discussões ao nível da liderança sobre a governação da IA centram-se frequentemente na existência de políticas e na forma como estas foram comunicadas. Uma questão mais útil é saber se o seu programa de governação reflete efetivamente o que se passa atualmente.
Considere estas questões relativas à visibilidade operacional:
- Consegue identificar em que situações a IA está a interagir com dados sensíveis neste momento?
- Os seus colaboradores compreendem os limites práticos da utilização da IA, e não apenas o que está escrito no documento da política?
- Existe algum mecanismo para detetar quando um caso de utilização evoluiu o suficiente para exigir uma reavaliação?
Estas não são apenas questões de conformidade. São questões de visibilidade operacional, e as organizações que conseguem respondê-las com confiança são aquelas cuja governação da IA está realmente a funcionar. A verdadeira maturidade da governação reflete-se naquilo que a sua equipa consegue ver e sobre o que consegue agir em tempo real, e não apenas no que está documentado.
Manter-se próximo do local onde o risco da IA é gerado
A governação de dados e a privacidade não se tornaram menos essenciais. O que mudou foi o contexto em que têm de operar. As organizações que se estão a adaptar a essa realidade não estão a elaborar mais políticas. Estão a manter-se a par da forma como a IA está a ser utilizada, a garantir a visibilidade à medida que os casos de utilização evoluem, a traduzir os quadros de classificação em decisões que as equipas possam pôr em prática no momento e a assegurar que a responsabilização não termine na aprovação.
O Archer foi concebido precisamente para esta mudança. Enquanto plataforma líder na área de GRC, o Archer ajuda as organizações a manter uma visão atualizada e unificada da utilização da IA, dos riscos relacionados com os dados e da responsabilidade pelos controlos, permitindo que as equipas de governação se mantenham a par do ritmo do trabalho moderno, em vez de terem de correr atrás dele.
Num ambiente caracterizado por mudanças contínuas, uma governação eficaz da IA depende de nos mantermos próximos do local onde o risco surge.
Está pronto para colocar a IA ao serviço do seu programa de conformidade e gestão de riscos?Descarregue o whitepaper «IA para a Conformidade e Gestão de Riscos: Dicas para o Sucesso» e obtenha estratégias práticas para reduzir o trabalho manual, melhorar a precisão e criar um programa preparado para o que vier a seguir.
Perguntas frequentes
Por que razão a governação da IA está a falhar na maioria das organizações, apesar de estas disporem de políticas formais?
A maioria das organizações dispõe de políticas de governação da IA bem documentadas, mas essas políticas falham na prática porque foram concebidas para um mundo em que a mudança é visível e previsível. A IA acelera o ritmo da mudança e torna a expansão praticamente invisível — as ferramentas ligam-se discretamente a novas fontes de dados, mais utilizadores obtêm acesso e os resultados fluem para sistemas que nunca fizeram parte da análise inicial. É precisamente na discrepância entre o que foi aprovado e o que está efetivamente a funcionar que se acumulam os riscos relacionados com a IA. O problema central não é uma política fraca; é a distância entre as equipas de governação e as operações do dia-a-dia.
A maioria das organizações dispõe de políticas de governação da IA bem documentadas, mas essas políticas falham na prática porque foram concebidas para um mundo em que a mudança é visível e previsível. A IA acelera o ritmo da mudança e torna a expansão praticamente invisível — as ferramentas ligam-se discretamente a novas fontes de dados, mais utilizadores obtêm acesso e os resultados fluem para sistemas que nunca fizeram parte da análise inicial. É precisamente na discrepância entre o que foi aprovado e o que está efetivamente a funcionar que se acumulam os riscos relacionados com a IA. O problema central não é uma política fraca; é a distância entre as equipas de governação e as operações do dia-a-dia.
O que é a lacuna de visibilidade no risco relacionado com os dados de IA e de que forma esta lacuna gera riscos de incumprimento normativo?
A lacuna de visibilidade refere-se à distância crescente entre o que o programa de governação de uma organização acompanha e o que os sistemas de IA estão, na realidade, a fazer com dados sensíveis ou regulamentados. Esta lacuna surge quando um caso de utilização que foi aprovado para um objetivo específico e de baixo risco evolui discretamente — recolhendo dados de clientes, alargando o acesso dos utilizadores ou enviando resultados para sistemas a jusante que nunca fizeram parte do âmbito do projeto. Como cada passo, individualmente, parece razoável por si só, não é desencadeada qualquer revisão formal. Quando uma auditoria periódica deteta essa deriva, a exposição já existe. Colmatar esta lacuna requer visibilidade operacional contínua, e não apenas revisões baseadas em pontos de controlo.
A lacuna de visibilidade refere-se à distância crescente entre o que o programa de governação de uma organização acompanha e o que os sistemas de IA estão, na realidade, a fazer com dados sensíveis ou regulamentados. Esta lacuna surge quando um caso de utilização que foi aprovado para um objetivo específico e de baixo risco evolui discretamente — recolhendo dados de clientes, alargando o acesso dos utilizadores ou enviando resultados para sistemas a jusante que nunca fizeram parte do âmbito do projeto. Como cada passo, individualmente, parece razoável por si só, não é desencadeada qualquer revisão formal. Quando uma auditoria periódica deteta essa deriva, a exposição já existe. Colmatar esta lacuna requer visibilidade operacional contínua, e não apenas revisões baseadas em pontos de controlo.
Como devem as organizações garantir a responsabilização relativamente aos casos de utilização da IA após a aprovação inicial?
A responsabilização por um caso de utilização de IA não pode terminar na aprovação inicial, porque o próprio caso de utilização continua a evoluir após a implementação. Uma governação eficaz da IA requer uma atribuição de responsabilidades claramente definida em três dimensões: o resultado empresarial que o caso de utilização proporciona, os dados envolvidos nesse caso de utilização e a eficácia contínua dos controlos à medida que o caso de utilização se altera. Quando a atribuição de responsabilidades é ambígua, as reavaliações são negligenciadas e o risco persiste por mais tempo do que deveria. As organizações que estabelecem esta estrutura de responsabilização antes da implementação evitam as intervenções reativas e dispendiosas que se seguem quando os riscos são descobertos a posteriori — e criam programas de governação capazes de acompanhar efetivamente o ritmo da adoção da IA.
