O paradoxo da confiança na IA: a gestão de risco para além de IT

A dura verdade sobre a governação da IA

A maioria dos conselhos de administração corporativos ainda trata a IA como um brilhante motor de crescimento de receitas ou como uma dor de cabeça técnica para o departamento de IT. Gastam milhões na implementação de ferramentas de IA para resolver estrangulamentos herdados e agilizar as operações, enquanto as comissões de risco se obcecam, em silêncio, com a privacidade dos dados e o cumprimento técnico.

Estratégias impulsivas como estas ignoram o verdadeiro perigo. A introdução da IA nas operações comerciais vai resolver muitíssimos problemas e criar eficiências massivas, mas as mesmas ferramentas que resolvem problemas empresariais tradicionais criam categorias de risco completamente novas que as organizações nunca tiveram de gerir antes.

Os incidentes de IA convertem-se em crises empresariais quando uma falha técnica, operacional ou de segurança gera uma dúvida mais ampla sobre a confiança: Os clientes podem confiar no que lhes diz a empresa? Os colaboradores podem verificar as instruções dos líderes? Os investidores podem acreditar na informação que circula sobre o negócio?

Os maiores desastres operacionais não começam num rack de servidores; começam quando um sistema automatizado falha publicamente. Quando os bots de apoio ao cliente inventam ofertas falsas, os algoritmos produzem lógicas enviesadas ou os deepfakes atacam os executivos, o dano é instantâneo. E as consequências chegam rapidamente à alta direção e ao conselho de administração, não ao departamento de IT.

O compromisso é claro: quanto mais automatizar para escalar o seu negócio, mais fácil será arruinar a sua reputação do dia para a noite.

Falhas reais, lições reais de preparação para crises

Incidentes recentes de grande repercussão evidenciam importantes lacunas estruturais onde os manuais de risco tradicionais falham:

• Deepfakes e janelas de resposta zero: O colapso da verificação: Já não se dispõe de horas para reagir a uma crise. No início de 2024, a empresa de engenharia Arup perdeu 25 milhões de dólares porque um funcionário participou numa videochamada onde absolutamente todos os seus colegas eram deepfakes gerados a partir de imagens públicas (CNN). Quase ao mesmo tempo, burlões clonaron a voz do CEO da Ferrari, Benedetto Vigna, para enganar os quadros superiores e fazê-los aprovar uma aquisição falsa (Fortune). O golpe só falhou porque um funcionário astuto fez uma pergunta pessoal que a IA não soube responder.

• Lição de preparação para crises: A verificação tradicional está morta. Estar preparado para uma crise exige um canal secundário simples e não digital (como uma segunda linha telefónica segura ou uma palavra-chave) para que os líderes possam verificar solicitações urgentes antes de agir.

• Chatbots fora de controle e risco legal: Quando os bots de apoio ao cliente falham, os tribunais responsabilizam a empresa. Um tribunal canadiano ordenou à Air Canada o pagamento de uma indemnização após o chatbot do seu site ter alucinado uma política de descontos por luto inexata (BBC). A Air Canada argumentou que o chatbot era responsável por suas próprias ações, mas o tribunal não concordou, decidindo que se o seu bot diz, a responsabilidade é sua.

• Lição de preparação para crises: As comunicações automatizadas devem ser integradas à árvore central de resposta a crises. Se um chatbot sair do controle, a equipa de comunicação precisa de ter interruptores de emergência pré-aprovados e declarações provisórias imediatas prontas para utilizar.

• Alucinações da IA que reduzem o valor de mercado: O público recorre cada vez mais aos modelos de IA em vez dos motores de busca tradicionais. Se uma IA ingerir dados errados sobre a sua empresa, transmitirá esses erros diretamente aos investidores e clientes. Quando a Alphabet partilhou um anúncio no qual mostrava o seu chatbot de IA afirmar um dado astronómico incorreto, os investidores entraram em pânico, o que resultou numa queda de 100 mil milhões de dólares no valor de mercado da Google num único dia (Reuters).

• Lição de preparação para crises: O red-teaming antes da crise é essencial. As organizações devem realizar testes de cenários nos modelos voltados ao público para detectar alucinações narrativas antes do seu lançamento, em vez de se apressarem para gerir as repercussões no mercado a posteriori.

Construir a resiliência na IA antes de uma crise

Em vez de esperar que um desastre aconteça, as organizações com visão de futuro estão a integrar controlos claros de segurança narrativa e operacional diretamente nas suas estratégias de gestão de risco. A defesa moderna da reputação exige foco em três pilares fundamentais:

• Protocolo executivo e governança de verificação: Enquanto as empresas de cibersegurança tendem a focar-se nas defesas da rede, os responsáveis de comunicação e de risco devem estabelecer protocolos de verificação não digitais e em canais alternativos. Árvores de escalonamento claras e regras de verificação de identidade garantem que os executivos nunca aprovem grandes movimentos financeiros ou estratégicos com base num e-mail, mensagem de voz ou videochamada não verificada.
• Red-Teaming narrativo e testes de stresse: Adaptando as metodologias de testes de stresse utilizadas por empresas de tecnologia como a Microsoft, as organizações realizam cada vez mais simulações adversárias de suas narrativas (ou red-teaming de narrativas). Simular cenários com deepfakes, usurpação de identidade de executivos e distorções algorítmicas permite que as equipas de risco corrijam as vulnerabilidades da marca antes de implantar novas ferramentas automatizadas ou campanhas públicas (Microsoft Responsible AI Report).
• Aprovação humana obrigatória (Mandatory Human Sign-Off): Em conformidade com os padrões de governança, como a Estrutura de Gestão de Riscos de IA do NIST (AI RMF), as principais organizações regulamentadas aplicam barreiras operacionais rigorosas. Embora a IA possa assumir a redação e agregação de dados, os fluxos de trabalho com intervenção humana obrigatória (human-in-the-loop) garantem que especialistas humanos na matéria revejam e validem os resultados automatizados antes de eles chegarem aos canais públicos ou de investidores.

Atualização da sua estratégia de riscos

Os manuais de crise antiquados não o salvarão dos riscos da IA em tempo real. É assim que os quadros executivos devem adaptar-se:

Cinco perguntas para o conselho de administração

Para avaliar a exposição da sua organização, os comités de risco devem abordar estas cinco métricas de referência:

1. Onde está a ser utilizada a IA neste momento? Dispõem de uma lista de todas as ferramentas direcionadas ao cliente ou ao público alimentadas por modelos automatizados?
2. Onde é exigida a revisão humana? A aprovação humana é obrigatória antes de os resultados da IA serem publicados, ou as equipas estão a recorrer a atalhos?
3. Com que rapidez conseguem detetar um deepfake? Se áudios ou vídeos falsos atacarem a sua equipa de gestão durante o horário de mercado, conseguem confirmá-lo de imediato?
4. Quem assume a decisão e a resposta? Quando uma ferramenta alucina ou comete um erro, a responsabilidade recai no departamento Jurídico, na Comunicação, nas TI ou no CEO?
5. O que desencadeia a divulgação obrigatória? Contam com regras pré-definidas que estabeleçam exatamente quando é que uma anomalia da IA exige uma comunicação proativa com colaboradores, clientes, organismos reguladores ou investidores?

A ideia-chave

A tecnologia de IA avança a um ritmo infinitamente superior ao de qualquer regulação. Por isso, a governação da IA não pode ficar confinada ao departamento de IT. Deve proteger os pilares de confiança sobre os quais a sua empresa realmente se sustenta: a autenticidade dos seus executivos, a fiabilidade perante os clientes e a credibilidade corporativa.

Tratar a IA como um mero ativo técnico deixa a sua marca totalmente exposta a potenciais problemas. Ao integrar o planeamento de crises, a verificação rápida e uma responsabilidade bem definida diretamente no seu modelo de riscos, os conselhos de administração podem defender o valor da empresa antes de uma crise despoletar. Nesta nova era da IA, a preparação perante crises não é uma mera rede de segurança passiva: é uma infraestrutura operacional essencial.
 
 
Katie Barnes
Senior Director of Public Relations