Assim que uma empresa pondera seriamente usar IA, surge a questão dos dados, muitas vezes formulada de forma demasiado vaga para ser tratada: «isto é seguro?». Esta pergunta não tem uma resposta geral. Já três perguntas precisas têm.

Pergunta 1: o que sai da sua empresa?

Tudo o que é enviado para um serviço externo sai do seu perímetro. Isso não é um problema em si: um endereço profissional público ou um texto de marketing não têm nada de sensível. Já um ficheiro completo de clientes, dados de saúde ou documentos contratuais, sim.

O bom reflexo é classificar antes de automatizar: o que pode sair livremente, o que deve ser anonimizado, o que nunca sai. Esta triagem demora meio dia e evita a maior parte dos acidentes.

O risco não vem da IA. Vem daquilo que lhe enviamos sem termos pensado nisso.

Pergunta 2: em que conta corre a execução?

Executar os processamentos com os seus próprios acessos muda três coisas: vê exatamente o que é consumido, não existe nenhuma margem escondida sobre a utilização e pode cortar tudo com uma só operação. É uma posição de controlo, não uma restrição técnica.

Pelo contrário, um prestador que executa tudo com os seus próprios acessos torna-o dependente: não sabe o que é consumido, nem o que é conservado, nem o que acontece ao sistema se a relação terminar.

Pergunta 3: quem pode ler o quê?

Um agente ligado aos seus documentos herda os direitos que lhe são dados. Se tiver acesso a tudo, poderá devolver a qualquer utilizador uma informação que este não deveria ter visto. O tema não é a confidencialidade face ao exterior: é a separação interna.

  • Dar o acesso estritamente necessário para a missão, e nada mais.
  • Guardar um registo do que foi consultado e produzido.
  • Prever explicitamente o que acontece quando um colaborador sai.

O que o quadro regulamentar já impõe

As obrigações existentes em matéria de dados pessoais aplicam-se sem alterações: informação das pessoas, finalidade determinada, prazo de conservação, subcontratação enquadrada. A IA não criou nenhuma exceção. Uma empresa que já seja rigorosa neste ponto não tem de fazer nenhuma revolução, apenas acrescentar mais uma linha ao seu registo.

A página a escrever antes de ligar o que quer que seja

Antes de ligar o que quer que seja, escreva numa página: as categorias de dados envolvidas, as que nunca devem sair, com que acessos corre a execução e quem pode consultar o quê. Esta página vale por todos os compromissos verbais e torna o tema discutível em vez de o tornar angustiante.

O controlo não se promete. Verifica-se na arquitetura.