Até 2029, a maioria dos incidentes de privacidade não resultará da exposição direta de informações de identificação pessoal (PII), mas de inferências geradas por Inteligência Artificial (IA) sobre indivíduos, segundo o Gartner. Essa mudança fundamental, da exposição de dados para a exposição de insights, representa um novo paradigma de risco que desafia os controles tradicionais de proteção de dados e exige uma reavaliação das estratégias de privacidade pelas organizações.
A evolução dos ataques de inferência
Historicamente, as organizações têm se concentrado na proteção de dados pessoais brutos, mas a IA agora pode reconstruir insights profundamente pessoais sem nunca violar os controles tradicionais de dados. Os riscos à privacidade estão surgindo cada vez mais a partir do que os algoritmos de IA inferem sobre os indivíduos, e não dos dados diretamente expostos.
Conforme as organizações reduzem a quantidade de dados pessoais que armazenam devido a pressões regulatórias e de custo, o acesso de agentes mal-intencionados à IA agora lhes permite realizar ataques baseados em inferências. Os avanços na Inteligência Artificial Generativa (GenAI) e no machine learning estão possibilitando a extração de atributos confidenciais, como condições de saúde ou padrões comportamentais, a partir de dados aparentemente inócuos, anonimizados ou agregados.
Ataques de inferência são particularmente perigosos porque muitas vezes escapam aos mecanismos convencionais de detecção. Indivíduos podem ficar expostos por meio de conclusões geradas pela IA, em vez de registros vazados, criando riscos à privacidade que comprometem a integridade dos dados e são difíceis de detectar, explicar e mitigar.
Remodelando estratégias de privacidade
Essa mudança está forçando as organizações a repensarem suas estratégias de privacidade. Além de proteger os dados pessoais, os líderes de segurança devem regulamentar a forma como os sistemas de IA geram, utilizam e agem com base em insights sobre os indivíduos. O Gartner prevê que os gastos com proteções de integridade de dados alcancem o mesmo nível dos investimentos em confidencialidade de dados até 2028.
As organizações que continuarem a tratar a privacidade exclusivamente como um desafio de proteção de dados ficarão cada vez mais vulneráveis a incidentes de privacidade causados por inferências geradas pela IA. A próxima fronteira do risco à privacidade está na forma como a IA interpreta os dados, e não simplesmente na forma como as organizações os armazenam.
Recomendações para CISOs e líderes de privacidade
Para lidar com os riscos emergentes à privacidade baseados em inferências, o Gartner recomenda aos Chief Information Security Officers (CISOs) e líderes de privacidade:
- Incorporar a governança de IA aos programas de privacidade: Integrar os princípios de privacidade desde a concepção (privacy-by-design) aos processos de desenvolvimento e implementação da IA e realizar avaliações frequentes dos algoritmos para identificar vieses, sobreajuste e riscos de inferências não intencionais.
- Adotar tecnologias de aprimoramento de privacidade (PETs): Implementar tecnologias como privacidade diferencial, dados sintéticos e machine learning orientado à privacidade para processar dados de forma protegida e reduzir os riscos de reidentificação.
- Fortalecer a minimização de dados e os controles do ciclo de vida: Limitar a coleta de dados às necessidades essenciais do negócio e garantir um controle de acesso rigoroso e a exclusão oportuna dos dados para reduzir as informações disponíveis para ataques baseados em inferência.
- Aprimorar a segurança cibernética contra ameaças impulsionadas pela IA: Investir em recursos avançados de monitoramento, detecção de anomalias e planejamento de cenários, projetados para identificar padrões de exploração indireta e ameaças baseadas em inferência.
- Promover a transparência e a supervisão humana: Documentar em quais casos os sistemas de IA não devem fazer inferências e em quais devem, realizar auditorias regulares e exigir a participação humana no processo para validar as inferências geradas pela IA antes de tomar medidas em relação a dados sensíveis.
Perguntas frequentes
- O que são ataques de inferência? São ataques onde a IA extrai informações sensíveis a partir de dados aparentemente inócuos ou agregados.
- Isso afeta a conformidade com a LGPD? Sim, a LGPD exige que os dados sejam tratados de forma ética e transparente, o que inclui a proteção contra inferências indevidas.
- Como mitigar esses riscos? Adotando PETs, governança de IA e minimização de dados.