Kennisbank

Um fornecedor implementou IA no seu produto sem o dizer

Como isto acontece

Um fornecedor adiciona uma funcionalidade que, por debaixo do capô, corre sobre um modelo de linguagem ou uma API de terceiros. Para o fornecedor, trata-se de uma atualização de produto, não de um acontecimento que mereça aviso. As notas de lançamento mencionam um novo botão, não a tecnologia por detrás dele. A sua organização já usa o software, o contrato foi assinado com base na funcionalidade antiga, e a alteração não passa pelo departamento de compras ou de segurança — estes só veem o que acontece numa nova aquisição, não o que um produto existente adquire silenciosamente.

O padrão é o mesmo que numa extensão de browser com acesso ao seu e-mail: o acesso e a funcionalidade já existem antes de alguém os ter avaliado. Num fornecedor, a distância é apenas maior — o senhor não pode consultar o código-fonte e tem de confiar no que o fornecedor diz, ou não diz.

Por que motivo isto não desaparece por si só

Não há um momento em que isto se anuncie. Um colaborador usa a nova funcionalidade porque é útil, não porque reconhece um componente de IA. O fornecedor não tem incentivo para comunicar isto ativamente enquanto ninguém perguntar: não gera receita e pode gerar perguntas. E a probabilidade de o senhor próprio se aperceber é pequena, a menos que ocorra um incidente ou uma verificação periódica o detete.

Com isto, isto assemelha-se a um projeto-piloto interno que ficou para trás: tal como numa instalação de teste que nunca foi desligada, não falta má-fé, mas sim um momento em que alguém faz a pergunta. Num fornecedor, acrescenta-se ainda o facto de o senhor depender da disposição deste para responder.

O que o senhor pode efetivamente fazer

O ponto de partida não é fazer cumprir o contrato juridicamente à primeira dúvida, mas sim primeiro saber o que está em jogo. Isso começa por colocar perguntas ao fornecedor: que partes do produto usam IA, que dados são enviados para lá, e se isso mudou desde que o contrato foi assinado. Fornecedores que possam responder sem consequências fazem-no de forma mais fiel à verdade do que fornecedores que suspeitam que uma resposta honesta põe o contrato em risco.

A mesma lógica aplica-se dentro da organização: colaboradores que usam uma ferramenta sem que ninguém saiba que contém IA só o comunicam quando comunicar não acarreta punição. A forma de organizar isso está descrita em colaboradores que usam uma ferramenta que ninguém aprovou. Para um fornecedor, o princípio funciona da mesma forma: uma pergunta sem acusação recebe uma resposta diferente de uma pergunta lida como prelúdio de sanções.

Uma vez esclarecido o que o fornecedor adicionou, a pergunta seguinte não é jurídica mas funcional: que papel desempenha este componente de IA no processo, qual é o nível de risco, e o que deve estar documentado sobre isso. Coloca essas mesmas perguntas a qualquer aplicação de IA que o senhor próprio utilize, seja ela introduzida através de um fornecedor ou de um colaborador que usa uma ferramenta gratuita — veja também dados empresariais que acabam numa janela de chat gratuita. O que o senhor documenta por aplicação depende do que essa aplicação faz e com que dados, não da origem da aplicação. Um resumo do que é relevante nesse âmbito encontra-se em o que deve documentar por aplicação.

Um fornecedor que adiciona IA sem aviso não deve, portanto, ser tratado separadamente como um incidente, mas sim incluído no inventário que o senhor já está a construir para o resto da organização. A forma como esse inventário é construído na prática — incluindo o modo como o senhor atribui um lugar aos fornecedores nele — está descrita em como construir um inventário de IA.

O que isto não é

Isto não é motivo para uma ofensiva jurídica contra todos os fornecedores que não tenham comunicado algo. Determinar o incumprimento contratual é uma questão diferente de determinar o risco, e as duas não coincidem automaticamente: um fornecedor pode ter deixado de comunicar algo sem que a aplicação represente um risco elevado, e vice-versa. O primeiro passo é avaliar o risco, não a questão da culpa. Quem começa com sanções passa a receber menos informação dos fornecedores, não mais.

A próxima pergunta

Uma vez esclarecido quais os componentes de IA que estão ativos dentro da organização através de fornecedores, colaboradores ou iniciativas próprias, surge outra questão: o que é que isso significa para o próprio trabalho. Nem toda a aplicação de IA que entra faz efetivamente algo útil no processo em que se insere — e nem todo o processo que hoje decorre manualmente fica necessariamente melhor sem IA. O scan de trabalho da FTE TO AI calcula, por tarefa, qual a parte do trabalho que pode razoavelmente ser assumida pela IA, independentemente da forma como essa IA entrou na organização. Isso transforma o inventário que o senhor está agora a construir não só num instrumento de governança, mas também num ponto de partida para determinar onde a IA faz efetivamente diferença.