A IA já está em sua empresa. Se não tiver garantia, você está ficando para trás

A IA já entrou em sua organização, quer você a tenha adotado oficialmente ou não. Os funcionários estão utilizando o ChatGPT para redigir documentos, potencialmente carregando informações confidenciais em ferramentas on-line para uma análise mais rápida e contando com ferramentas generativas para agilizar tudo, desde a produção de código até o suporte ao cliente. A IA está evoluindo com ou sem a sua aprovação, e essa realidade deve preocupar todos os diretores de segurança da informação.

Essa disseminação silenciosa de ferramentas de IA não aprovadas em todos os departamentos deu origem a uma camada de TI invisível em rápida expansão. Ela é descentralizada, muitas vezes indetectável e repleta de vulnerabilidades. As repercussões - que vão desde violações de conformidade e vazamentos de dados até a tomada de decisões não rastreáveis - são significativas. No entanto, muitas organizações ainda acreditam que podem contê-la por meio de políticas ou firewalls.

A realidade é que a IA não pode ser interrompida; ela só pode ser protegida. Quanto mais rápido as empresas reconhecerem isso, mais rápido elas poderão resolver as lacunas de segurança que a IA já criou.

A IA sombra é um ponto cego de segurança crescente nas organizações

Já vimos esse cenário antes. O aumento inicial da adoção da nuvem no início da década de 2010 seguiu uma trajetória semelhante - as equipes adotaram ferramentas que aumentaram sua produtividade, muitas vezes ignorando os protocolos de segurança. Muitas equipes de segurança tentaram resistir, mas acabaram lutando para conter violações, configurações incorretas e problemas de conformidade após o fato.

Hoje, a mesma tendência está se repetindo com a IA. Nosso relatório 2024 State of AI Security Report indica que mais da metade das organizações está usando IA para criar aplicativos personalizados, mas poucas têm visibilidade clara de onde esses modelos estão hospedados, como estão configurados ou se estão comprometendo dados confidenciais.

Essa situação apresenta dois grandes riscos:

1. Funcionários que utilizam ferramentas públicas de IA com dados proprietários ou confidenciais, expondo essas informações a sistemas externos sem a devida supervisão.
2. Equipes internas implantando modelos de IA sem controles de segurança suficientes, levando a fraquezas e práticas exploráveis que podem falhar nas auditorias de conformidade.

A IA obscura não é apenas um problema de segurança; ela pode se transformar em uma crise de governança. Sem visibilidade do uso da IA, você não pode gerenciar os processos de treinamento, o acesso aos dados ou a geração de resultados. O não rastreamento das decisões orientadas por IA significa que você não pode explicá-las ou defendê-las, deixando sua organização vulnerável a ameaças regulamentares, de reputação e operacionais.

Por que as ferramentas de segurança convencionais são inadequadas

A maioria das soluções de segurança não foi projetada para enfrentar os desafios específicos da IA. Elas não conseguem identificar artefatos de modelos, examinar caminhos de dados de IA, monitorar interações de modelos de linguagem ampla (LLM) ou impor a governança de modelos. Mesmo as ferramentas especializadas tendem a abordar apenas aspectos isolados, forçando as organizações a gerenciar soluções fragmentadas sem uma perspectiva de segurança unificada.

Esse é um problema crítico. A segurança de IA não pode ser um complemento ou uma reflexão tardia. Ela deve ser integrada à sua estratégia de gerenciamento de nuvem, aos protocolos de proteção de dados e aos fluxos de trabalho do DevSecOps. Não fazer isso subestima a função crescente da IA em suas operações e perde a chance de protegê-la como infraestrutura de negócios fundamental.

A estratégia falha de bloquear a IA deve ser abandonada

Pode parecer simples impor proibições abrangentes por meio de políticas como "nenhuma ferramenta de IA de terceiros" ou "nenhuma experimentação interna de IA". No entanto, essa abordagem não é realista. Os funcionários já estão usando a IA para aumentar a produtividade, não com intenção maliciosa, mas porque ela produz resultados.

A IA funciona como um impulsionador da produtividade, e as pessoas continuarão a usá-la desde que ela as ajude a cumprir prazos, reduzir tarefas repetitivas e resolver problemas com eficiência.

A tentativa de bloquear totalmente o uso da IA não a eliminará; apenas a empurrará ainda mais para a clandestinidade. Quando surgirem problemas, você os enfrentará sem visibilidade, políticas estabelecidas ou um plano de resposta.

Adote a IA com estratégia, segurança e visibilidade

Uma abordagem mais inteligente envolve a adoção proativa da IA em seus próprios termos, concentrando-se em três áreas principais:

1. Forneça aos funcionários alternativas seguras e aprovadas. Para reduzir a dependência de ferramentas arriscadas, ofereça opções seguras. Seja por meio de LLMs internos, aplicativos de terceiros aprovados ou assistentes de IA integrados nas plataformas principais, o objetivo é fornecer ferramentas igualmente eficientes, mas significativamente mais seguras.

2. Estabeleça e aplique políticas claras. A governança de IA deve ser precisa, prática e fácil de implementar. Defina quais dados podem ser compartilhados com as ferramentas de IA, estabeleça limites claros e atribua a responsabilidade de revisar e aprovar as iniciativas internas de IA. Comunique amplamente essas políticas e garanta que as medidas de aplicação técnicas e processuais estejam funcionando.

3. Priorize a visibilidade e o monitoramento. Não se pode proteger o que não se pode ver. Implemente ferramentas capazes de detectar o uso de IA sombra, identificar chaves de acesso expostas, sinalizar modelos mal configurados e monitorar onde dados confidenciais podem estar vazando em conjuntos de dados ou resultados de treinamento. O gerenciamento da postura de IA está rapidamente se tornando tão essencial quanto o gerenciamento da postura de segurança na nuvem.

Os CISOs devem orientar essa transformação

Este é um momento crucial para a liderança em segurança. A função do CISO está se expandindo além da proteção da infraestrutura para incluir a capacitação para a inovação segura. Isso significa ajudar a organização a aproveitar a IA para obter velocidade e eficiência e, ao mesmo tempo, garantir que a segurança, a privacidade e a conformidade sejam parte integrante de cada etapa.

Essa liderança envolve:

• Educar os membros do conselho e os executivos sobre os riscos reais e percebidos da IA
• Estabelecer parcerias com equipes de engenharia e de produtos para incorporar a segurança no início dos ciclos de implantação da IA
• Investir em ferramentas contemporâneas projetadas para a segurança do sistema de IA
• Promover uma cultura em que o uso responsável da IA seja uma responsabilidade compartilhada

Os CISOs não precisam ser especialistas em IA, mas devem fazer perguntas essenciais: Quais modelos estamos usando? Quais dados os alimentam? Quais medidas de proteção foram implementadas? Podemos verificar nossa postura de segurança?

A conclusão essencial: A inação representa o maior risco

A IA já está remodelando as operações comerciais. Seja facilitando respostas mais rápidas de atendimento ao cliente, melhorando a previsão financeira ou acelerando os fluxos de trabalho de desenvolvimento, a IA está profundamente integrada às tarefas diárias. Negar essa realidade não retardará a adoção da IA; apenas aumentará as vulnerabilidades, a exposição de dados e as falhas de conformidade.

A abordagem mais perigosa é não fazer nada. Os CISOs e os líderes de segurança devem reconhecer o inegável: A IA está presente em seus sistemas e fluxos de trabalho e veio para ficar. A questão fundamental é se você vai protegê-la de forma proativa ou esperar até que ela cause danos irreversíveis.

Adote a IA, mas sempre com uma abordagem de segurança em primeiro lugar. Essa é a única maneira de se preparar para o futuro.