A Necessidade de Governança em IA: Acelerando a Resposta aos Riscos

A recente discussão em torno do modelo Mythos da Anthropic destaca uma questão crítica para as empresas: a governança em inteligência artificial (IA) precisa evoluir rapidamente para acompanhar a velocidade da descoberta de riscos. O Mythos revela que a IA pode identificar vulnerabilidades mais rapidamente do que as organizações conseguem avaliar e remediar, expondo lacunas significativas na governança corporativa.

Historicamente, as vulnerabilidades de segurança sempre existiram em software, infraestrutura e processos internos. No entanto, a velocidade com que essas fraquezas podem ser descobertas agora é sem precedentes. Isso gera uma pressão considerável sobre as organizações para que decidam rapidamente quais riscos são mais críticos, quem é responsável pela resposta e qual a urgência da ação necessária.

Para grandes empresas de tecnologia com robustas capacidades de pesquisa em segurança, essa aceleração pode ser desafiadora, mas ainda gerenciável. Por outro lado, muitas organizações menores enfrentam um cenário muito mais complicado. Elas estão sujeitas às mesmas mudanças na descoberta de riscos, mas carecem dos recursos e equipes especializadas necessárias para lidar com essa nova realidade.

Em um momento em que as empresas já enfrentam um aumento no número de ataques cibernéticos, a questão da governança não pode ser tratada apenas como um problema de segurança. A visibilidade aumentada sobre os riscos só contribui para a resiliência se a organização tiver a estrutura, a responsabilidade e a confiança necessárias para agir sobre o que descobre.

À medida que mais vulnerabilidades são identificadas, o verdadeiro gargalo se desloca da detecção para a priorização e, em última instância, para a remediação. Dados recentes indicam que 34% dos líderes empresariais consideram a inserção de dados sensíveis em sistemas de IA como sua principal preocupação, enquanto 21% atribuem comportamentos de risco à falta de treinamento e outros 21% à pressão para agir rapidamente.

Embora as equipes de segurança sejam as primeiras a identificar um problema, elas não podem resolvê-lo isoladamente. É necessário que alguém determine quais sistemas são mais críticos, quais vulnerabilidades representam uma exposição real ao negócio e quais riscos podem ser tolerados temporariamente. Essas decisões não são puramente técnicas; envolvem operações, jurídico, compras, conformidade, engenharia e liderança sênior.

Portanto, o Mythos deve ser interpretado como um sinal de governança. Ele ilustra como a descoberta técnica pode criar pressão organizacional rapidamente. Se uma empresa não consegue responder claramente quem é responsável pela resposta, como as questões são escaladas e quando a liderança precisa tomar uma decisão explícita sobre riscos, a descoberta mais rápida não necessariamente torna a organização mais segura. Em vez disso, pode simplesmente revelar onde a governança já era fraca.

Uma das mudanças mais importantes que as empresas precisam fazer é na forma como pensam sobre riscos desconhecidos. Muito poucas organizações têm visibilidade perfeita sobre todos os sistemas, fornecedores e processos, e as equipes de segurança sempre entenderam que algum nível de risco desconhecido existe. O que a IA altera é a velocidade e a escala com que esse risco pode ser trazido à tona.

À medida que a descoberta se torna mais rápida, ampla e contínua, as organizações podem rapidamente se ver diante de mais problemas do que têm capacidade para triagem ou correção. Isso cria uma realidade desconfortável: se uma vulnerabilidade existe na organização, o negócio está lidando com ela, independentemente de ter sido formalmente registrada, revisada ou aprovada. O risco desconhecido ainda é um risco aceito, mesmo quando essa aceitação é acidental.

A descoberta de riscos só gera valor quando leva a decisões mais informadas. Sem um modelo operacional claro, as empresas ficam com uma lacuna crescente entre o que sabem, o que podem corrigir e o que implicitamente escolhem tolerar. As organizações precisam entender quais sistemas são mais importantes, quais fornecedores são críticos, quem é responsável pela remediação e quando a liderança deve decidir se um risco deve ser corrigido, monitorado, transferido ou aceito.

Isso não significa que cada empresa precise construir um programa na escala do Projeto Glasswing, mas implica que elas precisam de uma maneira mais disciplinada de transformar visibilidade em ação. A resposta prática é tratar a descoberta de riscos impulsionada por IA como mais do que um fluxo de trabalho de segurança. As equipes de segurança precisam da capacidade de detectar, validar e investigar fraquezas, mas a governança determina o que acontece depois disso.

A governança define a propriedade, a escalada, a priorização e a responsabilidade, e evita que decisões sobre riscos sejam tomadas de forma informal, inconsistente, tardia ou não sejam tomadas de forma alguma. Isso significa que a governança deve se aproximar das operações diárias. Não pode estar restrita apenas a documentos de políticas, revisões periódicas ou estruturas de comitês. Ela precisa influenciar as decisões que as pessoas tomam nos sistemas que usam todos os dias, seja ao aprovar um fornecedor, implantar uma ferramenta, lidar com dados sensíveis ou responder a uma fraqueza recém-descoberta.

Assim, a governança se torna uma capacidade prática de negócios, em vez de um exercício de conformidade. Um programa forte deve ajudar a organização a entender o que foi encontrado, quão sério é, quem é responsável pela resposta, que ação está sendo tomada e quão rapidamente o progresso pode ser demonstrado.

O Mythos é relevante porque aponta para um futuro em que a descoberta de riscos se torna mais difícil de conter dentro dos processos tradicionais de segurança. Identificar fraquezas mais cedo dá às organizações uma chance melhor de abordá-las antes que os atacantes as explorem, mas a descoberta por si só não é suficiente. As organizações que lidam bem com essa mudança não serão necessariamente aquelas que identificam mais problemas, mas sim aquelas que conseguem decidir o que é importante, atribuir responsabilidades e agir com rapidez suficiente para reduzir a exposição.

A IA está ampliando a lacuna entre o que as organizações sabem e o que conseguem governar. Fechar essa lacuna decidirá se uma maior visibilidade se torna uma fonte de resiliência ou simplesmente mais uma fonte de pressão.