Conformidade Legal e Segurança em Soluções de IA

Há pouco mais de um ano, comecei uma semana com uma notícia que me deixou especialmente feliz, eu havia obtido o certificado EXIN Artificial Intelligence Compliance Professional (AICP). Mais do que uma credencial, aquele processo me colocou dentro de um grupo seleto de especialistas convidados a ajudar a construir esse projeto ao lado do EXIN.

O caminho até a certificação passou pela análise de aplicações legais e de estruturas de conformidade, com foco em privacidade, proteção de dados, transparência e rastreabilidade em sistemas de IA. Discutimos princípios éticos, considerações sobre direitos humanos aplicados à tecnologia, e mergulhamos na compreensão prática do AI Act europeu e no panorama de normas internacionais que orientam o desenvolvimento responsável da inteligência artificial. Ficou claro, desde então, que alcançar conformidade em IA é um desafio contínuo, pois as regras e as próprias tecnologias mudam rápido demais para que qualquer certificação seja um ponto final.

Neste ano, o desafio tomou outra direção.

Fui aprovada na EXIN AI Security Professional based on the OWASP AI Exchange (AISP), certificação técnica de segurança da informação em sistemas de IA que também tive a oportunidade de apoiar o EXIN na sua construção.

A diferença entre as duas credenciais não está apenas no nome. O AICP olha para a conformidade e para os requisitos legais do AI Act, ou seja, o que a lei exige, como demonstrar aderência, como estruturar governança e avaliar riscos. Já o AISP mergulha na segurança por trás dos sistemas de inteligência artificial. Construída sobre o framework OWASP AI Exchange, a certificação mapeia ameaças e vulnerabilidades específicas de sistemas de IA, como manipulação de comandos, vazamento de dados de treinamento, envenenamento de modelos, falhas na cadeia de fornecimento de componentes de IA.

Atuo há anos na interseção entre direito e tecnologia, mas boa parte das discussões corporativas sobre IA que acompanho ainda se limita ao terreno jurídico. Entender onde um sistema pode falhar na origem muda a qualidade das perguntas que faço ao avaliar um projeto ou conduzir um incidente, e é exatamente esse o ponto de encontro entre as duas certificações. Empresas que tratam a segurança de IA como um capítulo isolado do jurídico tendem a produzir políticas elegantes no papel, sem testar se o sistema resiste a uma tentativa concreta de invasão. A conformidade legal e a proteção técnica precisam caminhar juntas, sobretudo à medida que sistemas de IA passam a tomar decisões com impacto direto sobre as pessoas.

Uma assegura que a organização sabe o que a lei exige e consegue demonstrar isso, a outra que, por trás da política, existe um sistema efetivamente testado contra as ameaças que a literatura técnica já documenta. Juntas, formam uma visão de governança de IA.

Sigo grata ao EXIN, na pessoa de Milena Andrade e Paula Mendes Costa, PhD, pela oportunidade de participar da construção dessas duas certificações desde o início. E sigo à disposição para trocar ideias com quem também acompanha de perto essa camada mais técnica e mais jurídica da governança de inteligência artificial.

Caroline Teófilo, Sócia no Urbano Vitalino Advogados | Tecnologia, Inovação e Privacidade | Governança de Dados | IA e Compliance | CyberSecurity | Gestão de Incidentes  – Certificada EXIN DPO e EXIN AICO, entre outras.

Agradecimentos à Caroline Teófilo por compartilhar suas percepções sobre a importância destes dois módulos de certificação EXIN na área de AI, com focos distintos mas complementares.  Caso queria conhecer um pouco mais sobre os 2 certificados, acessem os links abaixo para acesso às ementas detalhadas de cada um:

• AICP – AI Compliance Professional
• AISP  – AI Security Professional