Empresas necessitam de políticas internas de inteligência artificial

É historicamente pertinente afirmar que, nos últimos 30-40 anos, o mundo vivenciou verdadeiras transformações tecnológicas no âmbito da computação. Em razão da linha evolutiva da tecnologia digital, constata-se hoje uma ruptura com o velho mundo, inaugurando-se uma nova era marcada pela inundação do cotidiano por inéditas e irrecusáveis formas de falar (prompt, código, dashboard, emojis, metadados) e de ver o mundo (visão computacional, reconhecimento facial, ressonância magnética, sensores remotos, satélites). Estes recentes campos de saber dão suporte a práticas políticas, sociais, econômicas e comerciais que a geração anterior jamais poderia suspeitar.  

Agora, a inteligência artificial está circundando diversas áreas do conhecimento, remodelando as habilidades profissionais em campos como a saúde, direito, educação, jornalismo, engenharia, indústria, comércio, finanças, marketing e vendas, inclusive a administração pública. Chega-se a um patamar competitivo de profunda reconfiguração do mercado, com inovadoras formas de produzir, decidir e competir.

Contudo, à medida que o poder de automação e decisão dessas ferramentas expande, cresce também a preocupação das autoridades governamentais em coibir abusos. Como resultado, as empresas esbarram com um desafio incontornável que é o um cenário regulatório complexo e dinâmico. 

Na Europa, o EU AI Act (Lei de Inteligência Artificial da União Europeia) inaugurou a vanguarda regulatória ao estabelecer o primeiro marco legal abrangente, fundamentado na abordagem baseada em riscos. O rigor da norma foi direcionado a sistemas considerados de “alto risco”, com a exigência de transparência, auditoria e supervisão humana, forçando as empresas globais a se adequarem aos padrões europeus, de forma muito similar como ocorreu com a GDPR (Regulamento Geral sobre a Proteção de Dados). 

No Brasil, o ambiente não é menos efervescente. O usuário brasileiro tem recebido a IA Generativa com bastante otimismo, e ansioso para explorar suas potencialidades, o que acelera a pressão sobre o uso dessas ferramentas no ambiente de trabalho. 

Apesar da avançada tramitação do Projeto de Lei 2338/2023 que objetiva estabelecer o marco regulatório nacional de IA (também focada em gerenciamento de riscos), as empresas já estão sujeitas a  Lei Geral de Proteção de Dados Pessoais (LGPD), que impõe limites severos à coleta e processamento automatizado de informações, exigindo transparência e respeito à privacidade dos usuários desde a concepção dos sistemas (Privacy by Design). Ainda, há leis como o Código de Defesa do Consumidor e regulamentação do SAC (Decreto nº 11.034/2022) que demandam resolutividade, segurança de dados e a opção de intervenção humana quando as marcas utilizam chatbots. 

É neste cerco institucional que emerge o calcanhar de Aquiles das empresas, qual seja, o risco cibernético atrelado ao erro humano. Sistemas de inteligência artificial são sistemas sociotécnicos, ou seja, suas falhas extrapolam a tecnologia e dão causa a danos sociais, legais e reputacionais. Atualmente, as maiores preocupações cibernéticas ao utilizar a IA generativa envolvem o vazamento de propriedade intelectual, exposição de dados sensíveis e as “alucinações” (quando a IA gera e afirma fatos inverídicos). 

Observa-se que grande parte desses incidentes de segurança ou de privacidade não decorre de falhas de software, mas do uso inadvertido da tecnologia pela força de trabalho, como por exemplo, funcionários que, por desconhecimento, inserem contratos confidenciais ou dados pessoais de clientes em modelos públicos e não-seguros. Somado a isso, diversas pesquisas de mercado indicam que parcela significativa das empresas ainda não possui uma política formal para orientar a equipe no uso da IA, ou ainda que seja, comunicações formais a este respeito.

Nesse contexto, a implementação de uma Política Interna de Governança de IA deixa de ser mera recomendação e passa a representar uma questão de alto risco para o negócio. Diante do elevada exposição à vulnerabilidades que podem ser aproveitadas por agentes mal-intencionados, as empresas não podem esperar pelo legislador, devem se antecipar para proteger seus ativos. 

Embora o Brasil ainda não possua uma lei específica e estruturada exclusivamente para a Inteligência Artificial, as empresas não se encontram desamparadas ou operando em um vácuo jurídico. A utilização de sistemas de IA já encontra limites claros em legislações vigentes, como a Lei Geral de Proteção de Dados (LGPD) na limitação e uso de informações pessoais, as leis de propriedade intelectual e as regulamentações de proteção ao consumidor. 

Há, ainda, instruções setoriais e frameworks internacionais em constante desenvolvimento que orientam práticas objetivas de identificação, avaliação e gerenciamento de riscos de IA, destacando-se o Framework de Gerenciamento de Riscos de IA do NIST (NIST AI RMF), que auxilia no mapeamento e medição de riscos, e os padrões ISO para Inteligência Artificial (como a ISO/IEC 22989 e a ISO/IEC 42001). Esses padrões são referências robustas e confiáveis para orientar a construção de políticas internas de tratamento de riscos e controles operacionais para que as ferramentas tecnológicas sejam aproveitadas em sua maior potencialidade. 

Como exemplo prático de como estas normas consolidadas podem guiar a governança para um nível aceitável de maturidade em IA, veja abaixo algumas das medidas recomendadas: 

• Mapeamento e inventário: Entender quais ferramentas de IA estão sendo usadas pelas equipes e para qual finalidade comercial.
• Políticas claras e treinamento: Estabelecer regras sobre o que pode ou não ser compartilhado com os modelos e treinar os colaboradores. Educar a equipe mitiga a maior porta de entrada para incidentes de segurança, especialmente o “fator humano”.
• Supervisão e auditoria: Garantir que decisões críticas tomadas com auxílio da IA sejam validadas por humanos, prevenindo vieses e o perigoso “viés de automação”, onde usuários confiam cegamente em resultados errados da máquina.
• Gerenciamento de terceiros e contratos: Assegurar que os fornecedores/provedores de modelos de IA assinem contratos que retenham os dados da empresa apenas no ambiente corporativo, sem utilizá-los para treinar modelos abertos.

Acredita-se que este novo regime tecnológico, alicerçados em inteligência artificial, continuará a sua marcha histórica, remodelando a forma como as empresas gerenciam sua força de trabalho e se relacionam com os consumidores. Novas práticas, visões e ferramentas amplificam riscos antigos e abrem portas para novos eventos de violação dos bens mais preciosos da empresa, colocando em xeque a sua continuidade. 

Neste cenário, é evidente que a urgência da governança da inteligência artificial independe de lei local específica. A combinação entre aceleração tecnológica, pressão regulatória e riscos sociotécnicos estabelece um ponto sem retorno no ambiente de negócios, no qual a ausência de diretrizes internas claras, controles operacionais e capacitação da força de trabalho deixam de ser uma fragilidade tolerável e passam a representar uma desvantagem competitiva estrutural. 

Assim, empresas que adotam uma postura proativa na construção de políticas internas de governança de IA, ancoradas em boas práticas internacionais e na conformidade com o arcabouço legal vigente, passam a mitigar riscos legais, cibernéticos e reputacionais, bem como pode criar as condições necessárias para explorar o potencial da inteligência artificial de forma responsável, sustentável e alinhada aos objetivos estratégicos do negócio. 

*Lucas Anjos é advogado no escritório Cerveira, Bloch, Goettems, Hansen & Longo Advogados Associados. Pós Graduação em Compliance, Auditoria e Controladoria pela PUC-RS. Atuante no consultivo empresarial, proteção de dados e inteligência artificial. Certificado em LGPD pela IAPP – International Association of Privacy Professionals. Membro da Comissão de Privacidade, Proteção de Dados e Inteligência Artificial da OAB-SP.

Imagem: Freepik