No mês passado, o Governo do Reino Unido introduziu novos avanços regulamentares para reforçar a cibersegurança em modelos e software de IA. Concebidas para fortalecer os sistemas digitais contra ataques informáticos e sabotagem, estas alterações destinam-se a promover a confiança na utilização da IA em vários setores - uma confiança que é extremamente necessária.
Dado que o custo do cibercrime já está projetado para atingir 13,82 biliões de dólares até 2028 - e poderá crescer a uma taxa ainda mais elevada à medida que a nova geração de cibercriminosos obtém acesso a uma IA cada vez mais sofisticada - é compreensível que a confiança nesta tecnologia esteja a começar a diminuir.
Embora estas novas medidas representem um progresso significativo na resposta aos atuais desafios de cibersegurança, continuam a existir questões e preocupações relativamente à adaptabilidade e eficácia futuras dos quadros regulamentares, particularmente entre a comunidade de programadores.
Numa sondagem recente junto de programadores do Reino Unido e dos EUA, 72% no total afirmaram que as regulamentações criadas para proteger a privacidade não estão preparadas para o futuro, enquanto 56% acreditam que estruturas regulamentares dinâmicas - que se destinam a ser adaptáveis aos avanços tecnológicos - podem constituir uma ameaça real. Um aspeto particularmente alarmante é o risco de segurança associado aos sistemas de IA que necessitam de vastos conjuntos de dados para o treino, os quais incluem frequentemente informações pessoais sensíveis.
Tendo isto em conta, regulamentações variáveis ou inconsistentes podem criar vulnerabilidades ou lacunas na forma como estes dados sensíveis são protegidos, aumentando o risco de violações ou utilização indevida de dados.
À medida que as regulamentações evoluem, garantir a segurança e a privacidade das informações pessoais utilizadas no treino de IA parece destinado a tornar-se cada vez mais difícil, o que poderá conduzir a consequências graves tanto para os indivíduos como para as organizações.
A mesma sondagem revelou ainda que 30% dos programadores acreditam existir uma falta geral de compreensão entre os reguladores, que não estão equipados com o conjunto adequado de competências para compreender a tecnologia que têm por missão regulamentar.
Como conceber quadros regulamentares adaptáveis e eficazes
Perante as dúvidas relacionadas com as competências e os conhecimentos, a par do rápido avanço da IA e das ameaças à cibersegurança, o que devem exatamente ter em mente os reguladores ao criarem quadros regulamentares que sejam simultaneamente adaptáveis e eficazes?
Na minha opinião, em primeiro lugar, os reguladores devem conhecer todas as opções disponíveis quando se trata de possíveis tecnologias de reforço da privacidade (PETs). Embora algumas PETs já estejam a ser utilizadas para minimizar o risco de violações de dados, outras estão a evoluir enquanto escrevo, apresentando um enorme potencial em termos de proteção de dados sensíveis e salvaguarda da privacidade. Conhecer as vantagens e limitações de cada uma ajuda a adotar uma abordagem flexível na sua implementação, em vez de tentar criar, por exemplo, uma única política que abranja tudo de uma só vez:
- Tecnologias de autenticação: A autenticação multifator (MFA) - normalmente integrada pelos programadores nos sistemas de autenticação para fornecer uma camada adicional de segurança - é utilizada em aplicações que vão desde a banca online ao software empresarial. A autenticação biométrica é outro método avançado e seguro atualmente utilizado, que recorre a características físicas únicas, como impressões digitais ou reconhecimento facial. Além disso, olhando para o futuro, a adoção de mecanismos de identidade federada, como o FIDO (Fast Identity Online) ou o OpenID Connect, é promissora. Estes mecanismos não só reforçam a segurança, como também simplificam os processos de autenticação dos utilizadores em várias plataformas, oferecendo uma abordagem unificada e segura à gestão de identidades.
- Encriptação ponto a ponto (E2EE): Esta tecnologia proporciona uma segurança robusta ao garantir que os dados são encriptados desde o remetente até ao destinatário, impedindo o acesso não autorizado, inclusive por parte dos prestadores de serviços. No entanto, implementar E2EE pode ser complexo e consumir muitos recursos, exigindo frequentemente um poder computacional significativo e uma gestão de chaves sofisticada. Como a E2EE impede os prestadores de serviços de acederem aos dados, também pode limitar a sua capacidade de prestar assistência na recuperação de dados ou de cumprir pedidos legais de informação; uma situação que poderá constituir um problema em casos de investigação criminal ou recuperação de dados.
- Encriptação homomórfica total (FHE): Embora a FHE ainda seja considerada numa fase inicial de concretização plena, registou avanços significativos nos últimos anos. Sendo um tipo de encriptação que permite o processamento de dados sem exigir a sua desencriptação, constitui uma combinação perfeita entre IA e segurança dos dados, uma vez que permite às organizações utilizar o potencial da tecnologia sem comprometer as expectativas de privacidade dos utilizadores. Por exemplo, a FHE pode ser utilizada por instituições financeiras para treinar confidencialmente modelos de IA de deteção de fraude em vários bancos sem expor quaisquer dados pessoais; e os prestadores de cuidados de saúde podem realizar diagnósticos preditivos sem expor as informações privadas dos seus pacientes.
- Computação multipartidária (MPC): Esta tecnologia complementa a FHE ao proporcionar ao utilizador final a capacidade de desencriptar dados encriptados depois de verificar que tem o direito de aceder a esses dados. A MPC permite que um quórum de entidades designadas participe num protocolo colaborativo que alcançará um consenso sobre o controlo de acesso antes de voltar a encriptar os dados da chave pública de encriptação do protocolo para a chave pública de encriptação do utilizador final, concedendo assim ao utilizador final acesso aos dados não encriptados. Cada entidade do quórum possui apenas uma parte da chave privada de desencriptação do protocolo e, por conseguinte, não consegue desencriptar quaisquer dados por si só. Além disso, os dados não encriptados nunca são disponibilizados a ninguém para além do próprio utilizador final.
Elaboração colaborativa de políticas
Assim que os reguladores tiverem uma compreensão sólida — e atual — das PET — das quais existem muitas mais —, o passo seguinte consiste em os decisores políticos garantirem que os regulamentos não sufocam o avanço tecnológico, continuando simultaneamente a proteger contra as ciberameaças.
Para elaborar políticas de privacidade ponderadas e eficazes, que evoluam em paralelo com os avanços tecnológicos, é essencial recordar que estas não funcionam isoladamente. Não se espera que sejam os únicos responsáveis por isto. Em vez disso, os decisores políticos devem trabalhar em conjunto com os criadores da tecnologia — que, por sua vez, devem começar a conceber a sua tecnologia tendo em conta os quadros existentes, em vez de esperarem que estes se adaptem a novos quadros.
Incorporar uma aprendizagem contínua na organização é igualmente crucial, tal como permitir que os colaboradores participem em eventos e conferências do setor, a fim de se manterem atualizados relativamente aos desenvolvimentos mais recentes e de se reunirem com especialistas. Sempre que possível, devemos colaborar com o setor, por exemplo, convidando representantes de empresas tecnológicas a realizar seminários ou demonstrações internas.
Acredito firmemente que tudo o que foi referido acima deve ser tido em conta à medida que integramos sistemas cada vez mais complexos, como a IA, a IoT e a análise avançada de dados, nas nossas vidas quotidianas, e que aumenta o potencial de ciberameaças.
Ao prepararmos os regulamentos para o futuro, podemos garantir que não estamos constantemente a tentar acompanhar os cibercriminosos, mas sim a proteger proativamente a nossa infraestrutura digital. Ao adotarmos um quadro regulamentar dinâmico e adaptável, podemos proteger melhor os dados sensíveis, salvaguardar a privacidade dos utilizadores e manter a confiança do público nas tecnologias digitais.
Subscreva o nosso boletim informativo para receber as informações mais recentes, tendências e estratégias para proteger a sua tecnologia e impulsionar a inovação.
