O problema da governação de dados de IA que os líderes de operações não podem ignorar
Peça a cinco pessoas para definirem "governança de dados" e obterá cinco respostas diferentes. Tim Fisher, vice-presidente de IA da DPM, não fica surpreendido com isso. "Não sei se existe uma definição verdadeiramente estabelecida que todas as empresas [utilizem]", afirma. "Para algumas pessoas, significa a equipa jurídica dizer-lhes o que podem e não podem fazer, enquanto noutras partes da organização significa coisas muito diferentes."
Para os fins deste artigo, estamos a utilizá-lo da forma como Fisher o define quando lhe pedem uma definição precisa: a camada política e jurídica de quem pode aceder aos dados, mediante que consentimento e sujeito a que regras — não de saber se os próprios dados são precisos, atuais ou estão bem organizados. Essa segunda questão é real e corresponde a uma disciplina diferente, com soluções diferentes; iremos abordá-la separadamente. Este artigo centra-se na questão política e na razão pela qual não pode esperar.
Onde o termo realmente se insere: a sobreposição entre o jurídico e as operações
Quando Fisher restringe a definição, chega a um ponto específico dentro de um organograma. "Penso na governança de dados sobretudo em termos de políticas e princípios", afirma — e, numa empresa maior, localiza-a com precisão: "O tipo de sobreposição no diagrama de Venn entre o jurídico e as operações de dados."
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Penso na governança de dados sobretudo em termos de políticas e princípios. O tipo de sobreposição no diagrama de Venn entre o jurídico e as operações de dados.
Essa sobreposição não é abstrata. Fisher aponta para uma razão muito mais antiga e concreta pela qual as empresas criam estas estruturas: a legislação dos valores mobiliários. "Nos EUA, a Comissão de Valores Mobiliários estabelece regras muito rigorosas sobre o que pode e não pode ser dito ou partilhado, por razões muito óbvias, relacionadas com o abuso de informação privilegiada e coisas do género", afirma.
"Por isso, essa é uma razão para uma empresa ter governança de dados." Relaciona isto diretamente com a fase de crescimento da empresa — a passagem de privada a cotada é muitas vezes o momento em que a governança deixa de ser opcional, quando são contratados consultores externos especificamente para criar as estruturas que uma empresa cotada é legalmente obrigada a ter.
Esta é a parte sobre a qual vale a pena refletir antes de tudo o resto: a governança existia como requisito legal rigoroso muito antes de a IA surgir. O que mudou foi a velocidade e a amplitude do risco — e é aí que as coisas se tornam urgentes para qualquer pessoa que atualmente coordene operações.
Porque é que a IA torna esta uma preocupação mais urgente para os líderes de operações
As empresas sempre tiveram dados que não deviam partilhar de forma descuidada. A novidade é a facilidade com que agora podem partilhá-los sem que ninguém tome essa decisão. O exemplo mais claro de Fisher é uma definição que a maioria dos funcionários já terá visto sem reparar: "A pequena opção que nunca viram, escondida cinco níveis abaixo na página de definições, que dá à OpenAI ou à Anthropic acesso a todos estes dados para treinarem os seus algoritmos", afirma. Ninguém precisa de ter a intenção de divulgar nada. Basta que a predefinição não seja alterada.
Esse é o mecanismo por detrás da maioria das falhas de governança na era da IA: equipas que "lançam" informações proprietárias ou de recursos humanos em modelos de linguagem de grande escala "sem compreenderem" ao que realmente deram o seu consentimento, porque ninguém criou a camada política que teria sinalizado o problema antes de este acontecer. Fisher é direto ao afirmar que isto não é um erro raro — "todos já ouvimos histórias assustadoras sobre código-fonte que foi parar às pessoas erradas. Pode acontecer."
A tensão é estrutural, não uma falha de cautela. "Está numa situação desconfortável enquanto cresce", afirma Fisher. "Sente que precisa de algumas regras, mas não quer limitar demasiado as suas equipas." Todos os líderes de operações que equilibram a adoção da IA com a segurança vivem exatamente nessa lacuna — e a IA não criou a exposição jurídica subjacente; apenas tornou possível desencadeá-la acidentalmente, em grande escala, através de um menu de definições que ninguém leu.
Está numa situação desconfortável enquanto cresce. Sente que precisa de algumas regras, mas não quer limitar demasiado as suas equipas.
Onde os líderes de operações estão realmente expostos
As áreas de maior preocupação para os líderes de operações são:
- Dados pessoais dos colaboradores. Planos de contratação, registos de RH e informações de desempenho que podem acabar na janela de contexto de uma ferramenta de IA sem que ninguém tenha efetivamente consentido que lá estivessem.
- Informações financeiras e sensíveis para efeitos de divulgação. Informações materiais não públicas, dados sobre resultados e qualquer elemento que suscitasse preocupações de divulgação à SEC se fosse divulgado ou chegasse à pessoa errada no momento errado.
- Informações proprietárias e sensíveis em termos de propriedade intelectual (incluindo código-fonte). Um risco puro de controlo de acesso e confidencialidade — separado da regulamentação do mercado de valores mobiliários — mas com o mesmo mecanismo subjacente de qualquer outra predefinição de IA não monitorizada.
- Dados de projetos de clientes. As informações proprietárias de clientes processadas através de ferramentas de IA sem clareza contratual ou consentimento implicam a mesma exposição, mesmo sem existir ainda um incidente específico registado.
A maioria das empresas não tem nada disto
Apesar do que está em jogo, Fisher afirma sem rodeios que muitas organizações estão a operar sem qualquer camada de políticas. "Muitas organizações não têm qualquer governação de dados", afirma.
Ele viu isto acontecer de ambas as perspetivas. Numa empresa maior e mais estabelecida, viu a governação ser "levada muito a sério durante um longo período de tempo", ao ponto de se tornar cada vez mais conservadora — e cada vez mais difícil de reverter. As empresas mais pequenas e de crescimento mais rápido enfrentam o problema oposto: não demasiada cautela, mas nenhuma, agravada pela pressão para avançar rapidamente.
A conclusão para os líderes de entrega
Não precisa de criar um quadro de governação completo para dar o primeiro passo. Comece com algo pequeno e concreto: vá verificar um menu de definições. O exemplo do botão de Fisher é real e fácil de encontrar — descubra se as suas ferramentas de IA estão, por predefinição, configuradas para treinar com os seus dados e quem aprovou essa decisão. É uma conversa que pode ter esta semana, não um projeto.
Vale a pena considerar também uma verdadeira tensão levantada por Fisher: controlar o acesso não é automaticamente a opção mais segura. "Mesmo nas organizações onde os dados estão prontamente disponíveis, continuam muitas vezes a ser vistos como proprietários, mesmo quando não precisam de o ser", afirma — e restringir o acesso por predefinição pode custar discretamente a uma empresa tanto como deixar tudo totalmente aberto, embora de forma menos visível. "Não vai conseguir avançar na mudança se não mudar quem tem acesso aos seus dados na sua organização." Uma boa governação não consiste apenas em haver menos pessoas a tocar nos dados — consiste em serem as pessoas certas a aceder aos dados certos, de forma deliberada.
Mesmo nas organizações onde os dados estão prontamente disponíveis, continuam muitas vezes a ser vistos como proprietários, mesmo quando não precisam de o ser.
Na prática, isso significa algumas medidas concretas, não um manual de políticas:
- Inicie já a conversa, antes que um incidente a imponha. Pergunte que equipas já estão a utilizar ferramentas de IA e de que forma — a maioria dos líderes de operações está simplesmente atrasada neste tema porque ninguém perguntou.
- Comece pelas ferramentas para toda a organização. Confirme, para todas as plataformas de IA autorizadas a nível da empresa, a predefinição relativa aos dados de treino e quem tem visibilidade sobre o que circula através delas.
- Não ignore a utilização de ferramentas pessoais ou não oficiais. O maior risco é muitas vezes a ferramenta de IA que ninguém autorizou — alguém a colar notas de clientes numa conta pessoal do ChatGPT porque a ferramenta autorizada é mais lenta. Dar visibilidade a isso não tem a ver com punir, mas sim com saber onde está realmente a sua exposição.
- Inclua a revisão de acessos na mesma conversa, e não numa conversa separada. Enquanto verifica as predefinições e a utilização de ferramentas de IA, pergunte quem está a controlar o acesso a dados que não precisam de ser controlados. Reforçar uma porta enquanto se deixa outra totalmente aberta não é governação — é teatro.
- Forme as pessoas para reconhecerem dados sensíveis, e não apenas para seguirem regras. A maioria dos colaboradores nunca foi convidada a pensar sobre o que é considerado sensível — dados de clientes, registos de RH, informações financeiras — ou sobre o que pode correr mal se isso acabar numa ferramenta não regulamentada. Uma política que diga às pessoas o que não devem fazer é menos importante do que as pessoas reconhecerem efetivamente o risco que têm diante de si.
Nada disto exige abrandar as equipas para fazer as coisas corretamente. Exige saber para onde estão a ir os seus dados, quem decidiu isso e se a resposta continua a ser sim.
Quer mais informações como estas? Inscreva-se numa conta DPM gratuita para ouvir mais especialistas como estes.
