Inteligência artificial generativa e suas aplicações em programas de gestão do risco cibernético de terceiros

Muitos profissionais e líderes da área da segurança estão preocupados com os riscos da inteligência artificial. Esta tecnologia abre novas possibilidades, mas nem sempre é uma boa ideia gerenciar riscos, incluindo os próprios riscos derivados da IA, com uma tecnologia que ainda estamos tentando entender. A dificuldade de discernir padrões em dados coletados com metodologias distintas é uma das razões pela preferência de métodos consagrados para o trabalho de governança, risco e conformidade (GRC).

Há duas questões. A primeira é como empregar a IA de forma efetiva na gestão de risco e, mais especificamente para nós aqui na Tenchi, nos programas de gestão de risco cibernético de terceiros (TPCRM). A segunda é como tratar dos riscos vinculados ao uso de ferramentas de GenAI por terceiros.

Este artigo vai falar da primeira questão, vamos voltaremos a este tema no futuro para falar do uso de GenAI por terceiros também.

Seria um tanto pretensioso da nossa parte afirmar que já sabemos onde a GenAI é boa ou onde seu uso é "permitido" e onde não é. Isso provavelmente é algo que aprenderemos conjuntamente graças a palpites bem-informados, inspiração e, infelizmente, também alguns erros. Alguns serão recompensados pelas suas tentativas enquanto outros terão apenas lições duras, e só quando a poeira baixar é que veremos quem foi audacioso e quem foi simplesmente imprudente.

Críticas devem ser feitas com cautela, porque é fácil ser "engenheiro de obra pronta".

Uma complicação é que a IA não está parada. Não é a mesma tecnologia de um ano atrás e provavelmente não será a mesma tecnologia daqui a um ano. Se não ficarmos atentos a essas mudanças, a GenAI pode gerar avaliações conflitantes para situações com perfis de risco similares em vez de entregar a consistência esperada.

Se não for possível determinar quando a mudança dos resultados decorre de atualizações do software utilizado e quando eles podem ser atribuídos a mudanças no ambiente, isso é um problema.

Mas a tecnologia existe para resolver problemas, então não se trata de dispensar a IA. Precisamos buscar compreender os pontos fortes da GenAI e como utilizá-las da maneira que mais faz sentido em cada negócio.

Como e onde a GenAI se destaca

Os modelos atuais de inteligência artificial não são realmente "inteligentes" e não pensam, mas o que os diferencia dos softwares em geral é a capacidade de processar dados em estado mais naturais e sem estrutura. Simplificando: a GenAI pode interagir com dados pensados para pessoas e não para computadores.

Criar dados estruturados para sistemas informatizados requer um conjunto de padrões e formatos, mas todas as situações estão previstas. As pessoas podem usar ferramentas como a escrita, desenhos e fotos, as quais transmitem informações a outras pessoas, mas não têm qualquer significado para um computador até que alguém manualmente as converta para um formato predefinido ou adicione os metadados esperados por um sistema.

Usando a IA, é possível reorganizar muitos conjuntos de dados que computadores normalmente poderiam "ler" sem "compreender", mesmo que eles não sigam uma estrutura predefinida. A IA pode "olhar" fotos para enxergar objetos e responder se algo existe ou não na imagem, inclusive para filtrar aquelas que atendem um critério específico, mesmo que a inclusão prévia de metadados. A IA pode tentar interpretar desenhos e transformá-los em texto, ou ler documentos para empacotar a informação contida neles a fim de alimentar sistemas tradicionais e bancos de dados.

Claro, a GenAI também facilita a busca por informações de destaque em grandes volumes de dados. É por isso que muitos têm tido sucesso na adoção da GenAI para buscas na web e em pesquisas: como artigos acadêmicos foram escritos para humanos e não para computadores, buscas baseadas em palavras-chave não são tão eficazes quanto a IA.

Embora a IA generativa e o "vide coding" dominem as manchetes, eles também são desdobramentos desse comportamento. É ao rearranjar dados e o conhecimento transmitido naturalmente por pessoas que a IA transforma a forma como trabalhamos.

Infelizmente, a IA é probabilística e frequentemente "alucina", adicionando dados desconexos e indesejáveis, criando imprecisões. Vale apontar que até o termo "alucinação" provoca mal-entendidos, uma vez que ele antropomorfiza modelos que não interpretam e raciocinam como humanos. Ainda assim, ele se tornou um termo consagrado que agora somos obrigados a utilizar para descrever os erros da IA generativa.

Outro percalço é que o poder computacional exigido pelos modelos de GenAI mais avançados acaba por atrelá-los à nuvem e a plataformas de terceiros (que nem sempre estão dispostas a ouvir as diretrizes do programa de gestão de risco dos clientes).

O caminho para adotar a GenAI e gerenciar seus riscos tem de passar por esses dois entraves: a precisão e a confidencialidade. Ambos são tópicos sensíveis na gestão de risco.

IA, conformidade e a gestão de risco

Como apontamos em nosso artigo sobre GRC Engineering, muitas abordagens de governança e gestão de risco focam na conformidade formal sem automação ou tecnologia. Como a GenAI pode funcionar em cenários com dados legíveis por humanos, ela parece se encaixar perfeitamente nessa lacuna.

Mas, ainda que a inteligência artificial tenha feito com que muitos profissionais de GRC percebam as oportunidades de automação, a melhor via para isso nem sempre envolve IA. Com a abordagem correta, muitas tarefas de GRC e TPCRM podem ser automatizadas sem IA, ou então com implementações cirúrgicas de modelos GenAI mais simples, contornando os entraves críticos já mencionados e, de quebra, reduzindo custos.

Sempre que possível, deve-se dar preferência ao desenho de novos processos concebidos desde o início para automação. Por exemplo, automatizar respostas com GenAI em questionários de autoavaliação faz mais sentido quando o tema envolve políticas e normas em vez de dados que um sistema autônomo pode recolher diretamente do ecossistema de TI do terceiro.

Conforme o estudo Gartner® Predicts 2026: Third-Party Cybersecurity Risk Management Evolves for the AI Era, "o problema com o uso da GenAI para auxiliar simultaneamente quem responde e quem solicita não é apenas o risco aumentado de alucinações. A análise guiada por IA de dados de entrada também guiados por IA leva à degradação do resultado, amplificação de erro e, em algum momento, ao colapso do modelo".

Apesar disso, há uma tendência de crescimento da IA nesse cenário. O Gartner também prevê que "em 2028, 70% das organizações e fornecedores estarão usando GenAI tanto para preencher as respostas a questionários de TPCRM como para analisar os questionários preenchidos, deixando os resultados cada vez mais inutilizáveis e desconectados de indicadores reais de risco".

Como alternativa, o Gartner sugere "use a GenAI e técnicas de IA para redirecionar recursos humanos para tarefas de gestão de risco mais valiosas. Não confunda a automação aprimorada de atividades de 'marcar caixas' (exemplo: registros que precisam ser guardados para fins de compliance) com uma melhora na gestão de risco".

Para nós, isso significa avaliar se a GenAI pode ser usada para atender demandas que exigem análise profunda de dados, de tal modo que o trabalho era muito caro ou demorava muito e, por isso, nem era realizado por humanos. Às vezes, a finalidade não deve ser apenas substituir o que já existe, mas de pensar em novos processos.

Depois disso tudo, ainda haverá espaço para explorar como pode preencher as lacunas que sobraram. Nesse ponto, é importante medir a precisão esperada do modelo e determinar a forma ideal de realizar a supervisão humana.

A mera inclusão da GenAI em processos projetados para o trabalho humano pode trazer resultados abaixo do esperado. A GenAI não necessariamente resolve as deficiências e imprecisões existentes e ainda pode injetar suas "alucinações" neles. A automação tradicional notoriamente reduz erros, mas isso frequentemente é consequência da padronização de dados e o preparo deles para o consumo de um software tradicional e, por isso, pode ser arriscado supor que automatizações com GenAI sempre serão mais precisas.

Essa padronização exigida pela automação muitas vezes impõe etapas adicionais no início de uma tarefa. A GenAI não exige que dados sejam colocados em conformidade com o sistema, mas, em contrapartida, exige supervisão. Logo, a automação da GenAI tende a deslocar as tarefas humanas para o fim do processo, na revisão e supervisão. Ambas as abordagens são aplicáveis, mas é necessário entender onde os custos aparecem.

‍

Uma abordagem responsável com GenAI na gestão de risco de terceiros

Há razões sérias e válidas para a dificuldade de automatizar tarefas de GRC. A gestão de risco e a conformidade envolvem conceitos de alto nível, especificidades e políticas elaboradas sob medida para os requisitos e a realidade de cada empresa. Quando falamos em regulamentação, há muitos casos especiais e exceções.

Isso significa que nem todo pode ser descrito por termos simples em um formato determinístico. Ou seja, há uma demanda legítima para GenAI na gestão de risco cibernético de terceiros.

Aqui na Tenchi Security, estamos adicionando GenAI em nossa plataforma de uma maneira que respeita o rigor exigido pela gestão de risco. Informamos os usuários sobre as limitações da ferramenta nos contextos em que isso se faz necessário, facilitando decisões sobre a interpretação dos dados processados pela IA. Além disso, realizamos apenas um teste meticuloso que compara a precisão do retorno da GenAI em relação ao que seria elaborado por um especialista humano em uma amostragem significativa de dados de entrada.

Atualmente, nossa plataforma utiliza GenAI para tratar as respostas e quaisquer documentos anexados por um terceiro como parte de uma resposta a perguntas de autoavaliação ou solicitações de esclarecimentos. Um modelo de linguagem amplo (large language model, LLM) analisa as partes específicas de respostas e anexos (que são possivelmente extensos) para identificar o que é no contexto da pergunta e quaisquer possíveis lacunas que não foram tratadas na resposta fornecida. Isso empodera os revisores humanos, economiza um tempo valioso e permite que eles sejam mais assertivos ao dar sequência na comunicação com o terceiro.

Adicionaremos mais recursos com GenAI conforme identificarmos mais cenários em que ela agrega valor de forma consistente. O núcleo da nossa solução monitoramento contínuo inside-out é completamente automatizado e tem elevada precisão.

O aspecto mais importante da nossa visão é a capacidade de utilizar esses dados de alta qualidade ancorados em uma verdade basilar (ground truth) que são exclusivos da varredura inside-out realizada no Zanshin para garantir que os modelos produzam o melhor resultado possível. Como disse o lendário Peter Norvig: "Mais dados superam algoritmos inteligentes, mas dados melhores superam mais dados".

O verdadeiro desafio está em combinar esses dados de qualidade com dados menos robustos de forma equilibrada para ampliar a cobertura com precisão. Estamos comprometidos com o desenvolvimento de abordagens avançadas e eficientes para TPCRM que alinham a melhor tecnologia em cada caso às necessidades das empresas.

‍