Uma estratégia de IA que coloca a privacidade em primeiro lugar: como é e porque é importante

Lauren Wallace: A privacidade é um direito humano fundamental. É uma expectativa básica que nos permite viver as nossas vidas de forma autodeterminada. Nos EUA, historicamente, tratámos o valor dessas informações pessoais como pertencente à empresa que as recolheu. Na UE, a privacidade é um direito humano fundamental e o direito de decisão relativamente à utilização das suas informações pessoais pertence ao titular dos dados — o ser humano.

Galen Low: A regulamentação é a burocracia que vai impedir as indústrias regulamentadas de avançarem na sua transformação através da IA?

Lauren Wallace: Penso que as empresas fortemente regulamentadas têm, na realidade, uma vantagem na conceção e implementação de programas de IA conformes. Já estão integradas nos quadros regulamentares existentes. Há cerca de um ano e meio, lançámos uma série de sessões mensais informais sobre IA ética. Falámos de transparência, falámos de responsabilização. Esta é a parte mais divertida. Toda a gente adora histórias de guerra, certo? Reuni alguns exemplos surpreendentes, acabados de sair, de situações que implicaram estes princípios de transparência ou de mitigação de enviesamentos.

Galen Low: Bem-vindos ao podcast The Digital Project Manager — o programa que ajuda os líderes de entrega a trabalhar de forma mais inteligente, entregar mais depressa e liderar melhor na era da IA. Eu sou o Galen e, todas as semanas, analisamos estratégias reais, novas ferramentas, estruturas comprovadas e, ocasionalmente, uma história de guerra da linha da frente dos projetos. Quer esteja a orientar grandes projetos de transformação, a gerir fluxos de trabalho de IA ou simplesmente a tentar manter o caos sob controlo, está no lugar certo. Vamos começar.

Hoje vamos levantar o véu sobre a transformação através da IA nas indústrias regulamentadas e sobre a forma como uma abordagem à IA que coloca a privacidade em primeiro lugar pode, na realidade, acelerar a inovação, promover a colaboração entre departamentos e abrir um caminho tranquilo para um impacto sustentado. Tenho comigo Lauren Wallace, consultora estratégica e antiga diretora jurídica da RadarFirst.

A Lauren tem uma vasta experiência que abrange funções jurídicas, de desenvolvimento de negócio e executivas em marcas como a Apple, a Microsoft e a Nike, bem como em empresas apoiadas por capital de risco e por fundos de investimento privados. É conhecida pela sua orientação prática e acessível a equipas jurídicas, de produto, marketing e desenvolvimento sobre a utilização responsável da IA. E é uma força da natureza quando se trata de navegar pela conformidade em ambientes regulamentados.

Lauren, muito obrigado por estar comigo hoje!

Lauren Wallace: Obrigada pelo convite. Estou muito contente por estar aqui.

Galen Low: Eu também estou muito contente por estar aqui. Estivemos a conversar na sala de espera. Quem me dera ter gravado essa parte. Estou muito entusiasmado com isto.

Temos uma boa sintonia. Concordamos em alguns aspetos e, noutros, talvez não. Estou muito interessado no seu percurso, porque tem esta espécie de combinação entre a cultura acelerada das empresas emergentes e o ritmo, potencialmente menos rápido, das indústrias regulamentadas, como, por exemplo, os serviços financeiros. Penso que hoje podemos fazer alguns desvios, mas este é o roteiro que preparei para nós.

Para começar, queria tirar do caminho uma daquelas grandes questões prementes, mas de alguma forma paradoxais, cuja resposta toda a gente quer conhecer. Depois, gostaria de recuar um pouco e falar talvez sobre três aspetos. Primeiro, queria abordar como é realmente uma estratégia de IA que coloca a privacidade em primeiro lugar, ao nível dos seus componentes, e o que os executivos e as indústrias regulamentadas precisam de implementar para a concretizar, bem como quais poderão ser os benefícios.

Depois, gostaria de explorar alguns exemplos de como uma abordagem de privacidade desde a conceção funciona na prática e de que forma os líderes de departamentos seniores que estão a dar vida à visão de IA da sua empresa podem preparar-se para evitar problemas dolorosos no futuro. Por fim, gostaria de explorar como será o panorama competitivo depois de cinco anos de organizações de várias dimensões terem ganhado impulso nas suas estratégias de IA. Foi muita coisa. O que acha?

Lauren Wallace: Bem, excetuando a parte da perspetiva de cinco anos, Galen, penso que podemos abordar muitos temas.

Galen Low: Está bem. Quer dizer, podemos tirar as nossas bolas de cristal e avançar para três, cinco ou dez anos. Vamos jogar.

Pensei começar por lhe fazer uma grande pergunta difícil, mas vou prepará-la primeiro. Quando pensamos em indústrias fortemente regulamentadas, como os serviços financeiros, os cuidados de saúde, a energia ou as telecomunicações, entre outras, a maioria de nós pensa em limitações que obrigam as organizações a avançar lentamente.

E o pensamento seguinte é que a transformação através da IA nas indústrias regulamentadas também avançará lentamente, deixando estas indústrias na idade das trevas enquanto o resto do mundo acelera as suas estratégias de IA. Por isso, a minha grande pergunta difícil é: será a regulamentação a burocracia que vai impedir as indústrias regulamentadas de avançarem na sua transformação através da IA?

Ou será a base que poderá beneficiar todos no fim, ou será algo completamente diferente?

Lauren Wallace: Sim. Vou optar por algo completamente diferente. Bem, sabe, vou começar algures a meio das opções que descreveu. Eu transformaria isto numa posição intermédia e diria que as empresas fortemente regulamentadas têm, na realidade, uma vantagem na conceção e implementação de programas de IA conformes.

E isso acontece porque os princípios subjacentes à governação da IA, como a transparência, a responsabilização, a monitorização dos enviesamentos e a prevenção, são elementos essenciais de um programa de governação da IA. Já estão integrados nos quadros regulamentares existentes. E penso que o âmbito é mais amplo do que algumas pessoas necessariamente imaginam.

Porque inclui coisas como o RGPD, com o qual, independentemente da indústria em que trabalhe, provavelmente está bastante familiarizado. Mas, se trabalhar no setor bancário, está sujeito à legislação sobre concessão justa de crédito. Se contratar pessoas para a sua empresa, está sujeito à legislação sobre igualdade de oportunidades. Existem muitos outros quadros de direitos civis e de proteção dos consumidores que podem incluir, em particular, proibições ou restrições à utilização da tomada de decisões algorítmica.

Estas regras, como as regras de gestão de modelos que os bancos utilizam há anos, estão em vigor há muito tempo. Chamam-se tomada de decisões algorítmica e traduzem-se facilmente naquilo que estamos a analisar com todas estas ferramentas de IA. Assim, estas grandes instituições fortemente regulamentadas, em alguns dos setores que descreveu, já dispõem de programas robustos de conformidade para esses quadros.

E têm recursos atribuídos à governação desses quadros. Dispõem de controlos e ferramentas concebidos para garantir a conformidade com esses quadros. Não estou a dizer que seja fácil acrescentar a governação da IA a tudo isso, mas pelo menos parte-se de algum ponto quando se pretende acrescentar a conformidade da IA.

Trabalhei com muitas destas grandes instituições fortemente regulamentadas nos seus programas de conformidade da IA e a situação varia muito. Algumas estão completamente desinformadas ou têm uma aversão institucional à IA e é preciso contornar isso. Mas há muitas que são muito sofisticadas.

Têm estes programas existentes e estão simplesmente a tentar perceber como os podem expandir. Como podem trazer o talento e a experiência de que precisam? Como podem envolver a sua comunidade de uma nova forma, para que esta possa participar na conformidade da IA à escala mais ampla em que estão a trabalhar? Também têm, e sei muito sobre isto, estado sujeitas a uma manta de retalhos muito complexa de requisitos de notificação de incidentes de segurança.

Agora, a minha comunidade, o pessoal da RadarFirst, estou a ver-vos. Adoro que estejam a utilizar a RadarFirst para isto. Temos um produto que adoro e que contém cerca de 500 regras globais de notificação de incidentes de privacidade e segurança que podem ser utilizadas para testar os seus incidentes. Penso que as pessoas precisam de compreender que não importa onde surge o incidente, quer resulte de um fax enviado para o destinatário errado, quer de uma IA que autorizou a utilização de informações pessoais.

Um incidente é um incidente. Se estiverem envolvidas informações pessoais, está sujeito a estas regras de notificação imediata. Por isso, é preciso saber isso e não pensar que se pode pôr os incidentes de IA de lado. Certamente não pode simplesmente atribuir a culpa à sua IA. Já vimos isso. Não costuma correr muito bem.

Por isso, precisa de um processo para gerir incidentes, mas agora precisa de o reforçar. Não está a começar do zero. Para mim, essa foi uma resposta muito longa à sua pergunta curta, mas penso que o maior desafio é, na realidade, para as empresas de média dimensão. Poderão estar a enfrentar estes obstáculos regulamentares pela primeira vez quando implementarem a IA nos seus fluxos de trabalho e, nesse caso, por onde começam?

Talvez nunca tenham tido ferramentas que lhes permitissem analisar dados à escala que estes novos produtos de IA, alguns deles relativamente baratos e bastante acessíveis, podem tornar possível. Mas, de repente, estão a realizar processos, a utilizar informações de formas que nunca tinham utilizado e talvez a expor essas informações a uma série de novos riscos.

Por isso, para quem está a iniciar o processo de governação do zero, digo: tem muito trabalho pela frente. Essa foi a minha resposta longa à pergunta curta.

Galen Low: Eu estava à espera da parte esperançosa que viria a seguir. Tem muito trabalho pela frente, mas...

Lauren Wallace: Então vamos à parte esperançosa. Penso que se pode começar sempre pelos princípios básicos da privacidade desde a conceção e depois estender esses princípios à proteção não só das informações pessoais, mas também das informações proprietárias da empresa.

Porque surgem muitos riscos novos quando se colocam simplesmente informações da empresa no ChatGPT ou noutra ferramenta semelhante. É preciso avaliar e reforçar a sua postura de segurança. Temos uma nova e impressionante superfície de ataque com a IA. Por isso, é preciso garantir que a segurança está bem configurada. E, acima de tudo — e é sobre isto que espero passarmos a maior parte da nossa conversa hoje — é preciso iniciar a conversa interna para compreender realmente o que se pretende fazer com a IA, o que se pensa poder fazer com a IA e qual é o verdadeiro retorno do investimento que se espera alcançar ao iniciar essa conversa nas nossas comunidades.

Gosto de separar isto em dois vetores. Um é a utilização interna da IA para produtividade, para substituir ferramentas que possa utilizar atualmente e para simples melhorias funcionais. O outro são os casos de utilização no desenvolvimento de produtos.

Galen Low: Sim.

Lauren Wallace: E existem considerações muito diferentes para cada um deles.