Prevenção, deteção e gestão: o alerta dos supervisores financeiros europeus para os riscos dos novos modelos de IA

Os três supervisores financeiros europeus – a ESMA, a EBA e a EIOPA – emitiram um comunicado a apelar às entidades financeiras europeias para reforçarem as suas capacidades de lidar com riscos e ataques relacionados com novos modelos de Inteligência Artificial (IA) mais avançados.

“Para reforçar a mitigação de riscos, promover uma abordagem de supervisão coordenada e garantir condições de concorrência equitativas em toda a EU”, sublinham os reguladores, “as entidades financeiras, tendo em conta as expectativas das respetivas autoridades de supervisão, [devem] ajustar os processos, procedimentos e controlos de gestão de riscos das TIC de acordo com as seguintes três estratégias de mitigação de riscos: i) prevenção; ii) deteção; iii) gestão”.

De forma mais específica, as autoridades europeias de supervisão (ESA, na sigla inglesa) explicam o que compreende cada uma destas estratégias.

Em primeiro lugar, “a prevenção assenta em inventários detalhados e continuamente atualizados dos ativos tecnológicos”, o que inclui infraestruturas, repositórios de dados, API, entre outros. “Isto permite às entidades financeiras classificar os ativos com base na sua importância e exposição”, esclarece. Entre os ativos tecnológicos, é necessário registar os riscos das dependências dos mesmos para priorizar medidas preventivas.

Mais ainda, os sistemas devem ser construídos com base em princípios de “segurança por definição”. Isto é, os mecanismos de controlo e segurança devem ser incorporados desde o início para não haver uma dependência de controlos reativos. Paralelamente, “um acompanhamento rigoroso e processos proativos de aplicação de correções são essenciais para manter a resiliência face a ameaças em constante evolução e reduzir o período de exposição”.

No campo da deteção, esta deve ampliar os processos existentes para detetar vulnerabilidades, tanto em termos de rapidez como de complexidade, de forma a se conseguir adequar às ameaças do momento. “Apesar das medidas preventivas, o perímetro pode ainda ser violado por agentes maliciosos assistidos por IA. Consequentemente, as medidas de deteção são essenciais para identificar, analisar e responder a intrusões antes que estas se transformem em incidentes significativos”, notam os reguladores.

Por fim, a gestão do risco cibernético pode “melhorar a resiliência operacional”. Isto pode acontecer através de testes de resiliência operacional, recuperação de desastres reforçada, capacidades de cópia de segurança de dados e maior maturidade cibernética, adiantam.

“Os quadros de gestão de riscos, as metodologias de teste e as estruturas de governação têm de se adaptar para fazer face às ameaças associadas à IA e a potenciais falhas em vários sistemas”, apontam os ESA. “Paralelamente, os órgãos de gestão devem garantir que a prestação de contas acompanhe os riscos emergentes, enquanto a sensibilização para a cibersegurança deve evoluir no sentido de uma mentalidade mais proativa e adaptável”, acrescenta.

De um modo geral, os ESA acreditam que “as entidades financeiras devem estabelecer estruturas de governação que apoiem uma gestão eficaz dos riscos associados à IA de ponta e monitorizarem de perto esses riscos”. E, embora as entidades financeiras tentem acompanhar a velocidade e sofisticação dos autores de ameaças com recurso a IA, “uma abordagem única para todos na implementação destas estratégias de mitigação de riscos não seria proporcionada nem eficiente”.

“Em vez disso, as entidades devem ter em conta a sua dimensão e o seu perfil de risco global, bem como a natureza, a interligação, a escala e a complexidade dos seus serviços, atividades e operações ao conceberem as suas estratégias de mitigação de riscos”, rematam.