Como Abordar os Próximos Requisitos de Conformidade Regulatória para Segurança de GenAI

Quando você pensou que gerenciar os riscos de segurança de dados em torno da GenAI e controlar a sombra da GenAI eram suficientes, surge um novo problema.

As demandas regulamentares e legais para proteger a GenAI estão aumentando, e as organizações logo precisarão demonstrar como lidam com os riscos associados a ela. O Ato de Inteligência Artificial da UE (Ato de IA da UE) é a indicação mais clara de que as coisas estão mudando. Ele rotula explicitamente aplicações específicas de IA como “de alto risco” e impõe requisitos rigorosos para transparência, responsabilidade e supervisão humana. As penalidades por não conformidade são destinadas a ser punitivas, calculadas como porcentagens da receita global, e não como multas fixas. Para empresas multinacionais, isso transforma a governança da IA de uma prática recomendada em uma obrigação legal, com consequências graves para a não conformidade.

Nos Estados Unidos, a Comissão Federal de Comércio (FTC) deixou claro que o uso de IA será examinado sob seu mandato para prevenir “práticas injustas ou enganosas”. Isso significa que as empresas não podem se esconder atrás da complexidade técnica. Se os clientes ou funcionários forem enganados sobre como seus dados são gerenciados, ou se a IA apresentar riscos não divulgados, os executivos podem ser responsabilizados.

As primeiras ações de aplicação da lei já demonstraram que os reguladores estão dispostos a fazer exemplos de empresas que agem muito rapidamente sem controles adequados. Por exemplo, a FTC tomou medidas contra DoNotPay, uma empresa que promoveu uma ferramenta de IA como um “advogado robô” capaz de gerar documentos legais válidos e orientação legal especializada, encontrando que as alegações da empresa sobre as capacidades de sua IA eram falsas ou enganosas e violavam a Seção 5 do Ato da FTC. Em outro caso, a FTC exigiu que Everalbum, Inc., destruísse modelos e algoritmos de IA construídos usando fotos de consumidores coletadas sem consentimento adequado – uma penalidade direta por usar dados de maneira que diverge do consentimento do usuário e das expectativas legais.

No nível estadual, Califórnia e Nova York estão liderando uma onda de leis de IA e privacidade que se baseiam em estruturas existentes, como a Lei de Privacidade do Consumidor da Califórnia (CCPA). Essas leis alinham-se com requisitos de privacidade mais amplos, exigindo que as empresas tratem a governança da IA e a privacidade de dados como um programa integrado.

A colisão já é aparente. Hoje, um consumidor pode solicitar, sob a GDPR ou a CCPA, que suas informações pessoais sejam removidas dos sistemas de uma empresa. No entanto, não há um processo equivalente para solicitar a remoção de dados uma vez que tenham sido incorporados a um modelo de GenAI. A falta de uma opção “remova-meus-dados-do-seu-modelo” logo se tornará um ponto de contenda entre reguladores e empresas.

Por Que a Conformidade Parece Mais Difícil Desta Vez

À primeira vista, regular a IA não parece muito diferente dos desafios de conformidade anteriores. No entanto, a governança da GenAI introduz uma nova complicação – a imprevisibilidade. A fronteira entre inofensivo e prejudicial não é sempre clara. Um único prompt pode divulgar informações proprietárias, e uma saída pode levar conteúdo confidencial a lugares onde não pertence. Controles tradicionais, como DLP e auditorias de permissões, não foram projetados para esse nível de velocidade ou complexidade.

Para a conformidade com a GDPR, o foco era a privacidade. As tarefas eram diretas – identificar dados pessoais, implementar controles e documentar a conformidade. A GenAI, no entanto, complica as coisas porque não se trata apenas dos dados em si, mas de como esses dados são transformados, remixados e revelados de maneiras inesperadas. As organizações enfrentam riscos como o Copilot expor planilhas sensíveis armazenadas no SharePoint, funcionários colando código proprietário no ChatGPT para depurar scripts e saídas geradas por IA que contêm contexto suficiente para vazarem informações confidenciais.

As ferramentas tradicionais não foram projetadas para lidar com os riscos de segurança e conformidade da GenAI. As regras de DLP ignoram a nuances. As auditorias de permissões lutam para acompanhar a colaboração. E a IA sombra significa que a atividade ocorre fora das ferramentas aprovadas.

O Que os Líderes de Segurança Podem Fazer Agora

O desafio regulatório que se aproxima parece assustador, mas não precisa ser esmagador. O primeiro passo é redefinir o problema. A GenAI não é uma nova categoria de risco; é um amplificador. Ela amplifica problemas existentes – como permissões de dados excessivas, classificação pobre e visibilidade limitada – tornando-os mais perigosos. Abordar esses riscos pode ajudar a atender aos requisitos de conformidade da GenAI.

Os CSOs devem priorizar a construção de fundamentos sólidos sobre políticas perfeitas para atender melhor às demandas regulatórias futuras. Isso inclui obter visibilidade sobre o uso de IA, aplicar classificação de dados sensível ao contexto e criar políticas adaptáveis que equilibrem segurança e produtividade.

As organizações que terão sucesso não serão aquelas com os mais livros de regras e mandamentos; serão aquelas com uma compreensão clara do que está acontecendo, combinada com proteções que atendem aos requisitos de conformidade. Aqui estão as etapas principais a seguir:

1. Avalie a visibilidade. Identifique onde a GenAI está em uso, incluindo a IA sombra. Evite esperar por um incidente para descobrir que a finanças está colando previsões no ChatGPT.
2. Classifique usando o contexto. Vá além de regex ou nomes de arquivos. A classificação semântica ajuda a identificar se plan_final.docx é inofensivo ou altamente sensível.
3. Restrinja as permissões. O privilégio mínimo não deve ser opcional; é essencial para manter a conformidade e evitar que o Copilot exponha minutos sensíveis da diretoria a um estagiário. Pastas compartilhadas em excesso são uma fonte comum de risco e violações de conformidade futuras.
4. Trate as saídas como entradas. O texto gerado por IA pode vazar tão facilmente quanto os prompts. Auditorie e monitore como ele é compartilhado downstream.
5. Desenvolva estratégias de conformidade adaptáveis. Políticas escritas hoje podem se tornar ineficazes em seis meses.

Para os executivos, a mensagem é clara. A pressão regulatória está avançando mais rápido do que muitos esperam, e esperar que os padrões se estabeleçam não é um plano viável. As estruturas de governança devem ser colocadas em prática agora, não apenas para reduzir o risco, mas também para demonstrar aos reguladores, clientes e conselhos que a adoção de IA é deliberada e responsável.