Aferir o risco na adoção da IA

Se devidamente utilizada, o aumento da produtividade é um fator diferenciador e que tem marcado um novo patamar de competitividade entre organizações. No entanto, como qualquer outra inovação tecnológica, a sua adoção comporta Riscos. O problema surge quando a própria organização se sujeita à adoção de uma nova tecnologia, sem de facto conhecer o de Risco que enfrenta e terá de tratar.

O verdadeiro desafio não está na tecnologia, mas sim nos processos e pessoas e na forma como está a ser adotada dentro das organizações, frequentemente através do uso pelos colaboradores a título pessoal e através de dispositivos não geridos, criando uma superfície de ataque difícil de mapear.

A ilusão da produtividade sem riscos

Imaginemos o seguinte cenário, um colaborador pressionado por prazos, começa a recorrer ao ChatGPT para criar relatórios em poucos minutos. Entusiasmado, começa a copiar informações confidenciais, dados de clientes e estratégias de negócio diretamente para o chat. Nunca lhe ocorreu que está a partilhar segredos comerciais com um sistema externo sem qualquer controlo organizacional.

Como qualquer outro LLM, as vulnerabilidades definidas no OWASP TOP 10 LLM, demonstram que um dos maiores Riscos da sua utilização recai na fuga de informação e acesso não autorizado à infraestrutura. Por exemplo, explorando a vulnerabilidade de Prompt Injection, um email aparentemente inócuo pode conter instruções ocultas que, quando processadas por um assistente de Inteligência Artificial (IA), levam à divulgação de informações sensíveis ou execução de ações não autorizadas.

As vulnerabilidades que ninguém vê

A fuga de informação sensível pode decorrer de forma insuspeita e silenciosa, e não decorre devido a uma falha técnica ou acesso não autorizado a um sistema por um agente malicioso. Decorre tão simplesmente quanto um colaborador pedir a um assistente de IA para otimizar ou criar um componente de uma aplicação e este partilhar, para o efeito, parte do código da solução que está a desenvolver, ou copiar e colar a solução sugerida pelo LLM no repositório final dessa aplicação. Este ato pode facilmente levar à fuga de credenciais ou código proprietário bem como levar à injeção de código malicioso. Adicionalmente, controlar o uso destas ferramentas não é uma tarefa simples, sobretudo quando podem ser integradas em processos críticos da organização sem que esta se aperceba. Tal pode resultar do desconhecimento sobre a forma como determinados serviços contratados intercetam a infraestrutura de uma organização, ou do facto de, mesmo não sendo adotadas formalmente, os colaboradores poderem recorrer às suas versões pessoais das ferramentas em ativos da empresa ou em dispositivos próprios, como computadores ou smartphones.

A urgência na capacidade de aferir o risco

A capacidade de aferir e classificar o risco torna-se absolutamente crítica, pois não podemos simplesmente proibir o uso de ferramentas baseadas em IA, sendo necessária uma abordagem sistemática para classificar e gerir estes Riscos proactivamente.

E é por isso que a Balwurk desenvolveu uma framework que visa solucionar esta preocupação: “Multidimensional AI Classification and Risk Matrix”. Esta solução está disponível publicamente e adequa-se a qualquer organização e, em última instância, permite aos decisores tomar uma decisão sustentada por uma análise de risco na adoção e utilização de uma dada solução IA incluindo produtos de mercado, ou aplicações desenvolvidas internamente. Com a realização desta análise de Risco, a organização estará mais bem preparada para adotar os controlos de segurança necessários para a mitigação do risco, bem como adaptar a sua política de Uso Aceitável alargada à IA.

A questão não é se a organização deve ou não adotar uma solução IA, pois na conjuntura atual a organização, quer queira quer não, já a adotou ou tem de a adotar. A verdadeira questão é se consegue identificar e gerir o Risco dessa adoção antes que seja tarde demais.

Conteúdo co-produzido pela MediaNext e pela Balwurk