Ame-o ou odeie-o, o ChatGPT, e de facto, a IA (Inteligência Artificial) em geral veio para ficar.
Todos os que são a favor dizem que a IA deve ser vista como uma ferramenta que pode ser usada para tornar as organizações e os indivíduos mais eficientes, enquanto todos os que são contra se perguntam se estamos a cair na armadilha da quantidade versus qualidade.
É um assunto enorme, com espaço para uma infinidade de opiniões e debates intermináveis.
Portanto, vamos reduzir a questão a como ela nos afeta. Vamos mergulhar no mundo da conformidade do ChatGPT.
ChatGPT e conformidade: os responsáveis pela conformidade estão em risco?
Quando o ChatGPT surgiu, redactores, designers gráficos, músicos e praticamente qualquer outra pessoa com uma inclinação criativa entraram em pânico. Perder-se-iam empregos? Esquecer-nos-íamos de como se escreve, desenha, desenha, cria?
A possibilidade não está fora do alcance da imaginação. Não é improvável que nos tornemos menos criativos, menos capazes de pensar por nós próprios e mais susceptíveis de nos tornarmos dependentes da IA para fazer o nosso trabalho por nós. De facto, estudos recentes mostraram que a IA será, de facto, responsável por centenas de milhares de perdas de emprego
Mas, apesar de o ChatGPT imitar a humanidade em alguns aspetos (até se referindo a si próprio como “eu” e “eu”), algo que devemos lembrar é que a IA não tem:
- Experiências pessoais
- Emoções
- Memória intrínseca humana
- A capacidade de simpatizar
- A capacidade de empatia
Então, os responsáveis pela conformidade são um risco?
Para verificar isso, primeiro precisamos de ver se os responsáveis pela conformidade têm a capacidade de sentir empatia ou simpatia.
A brincar!
O que precisamos de ver é o que é o ChatGPT e que limitações tem.
O que é o ChatGPT?
O GPT em ChatGPT significa “Generative Pre-trained Transformer, que é um tipo de rede neural de modelo de linguagem grande (LLM) que pode executar várias tarefas de processamento de linguagem natural, como responder a perguntas, resumir texto e até mesmo gerar linhas de código” – Al Jazeera
ChatGPT é um modelo de IA que foi treinado para dar respostas às instruções fornecidas pelos utilizadores. Ele faz isso usando RLHF (Reinforcement Learning from Human Feedback) e PPO (Proximal Policy Optimisation).
Open AI (a organização que desenvolveu o Chat GPT) fornece este infográfico para explicar o processo de aprendizagem.
Tendo em conta este processo, não é improvável que o ChatGPT possa essencialmente aprender a assinalar as caixas de conformidade para todo e qualquer padrão de conformidade no futuro.
No entanto, primeiro teria de ser formado para compreender todos os aspectos de uma organização, desde os seus protocolos de segurança aos seus sistemas, produtos e pessoal. Mais tarde, falaremos mais sobre esse treinamento específico para a organização.
O que é altamente improvável é que o ChatGPT possa identificar tons de cinzento quando se trata de conformidade, especialmente porque pode não ser capaz de contextualizar as provas dentro dos parâmetros de situações e cenários específicos.
Além disso, embora um modelo de IA como o ChatGPT possa gerar um relatório para um auditor, assimilar conhecimentos de conformidade, fornecer resumos e verificar se há actualizações, será capaz de acompanhar o campo de conformidade em constante evolução? A resposta é que – no futuro – provavelmente sim. Ou melhor, o ComplianceGPT (quando for inventado) provavelmente será capaz de o fazer.
Uma ferramenta de IA de conformidade pode ser treinada nas políticas e procedimentos internos de uma organização e fornecer aconselhamento e documentação aos responsáveis pela conformidade dentro de uma organização sobre os regulamentos que se aplicam especificamente à sua empresa.
Portanto, em teoria, o ChatGPT poderia um dia fazer o básico do trabalho de um responsável pela conformidade.
No entanto, como todas as coisas humanas e não humanas, a IA tem as suas limitações.
As limitações do ChatGPT
Biases
Em 2 de fevereiro de 2023, o CEO da Open AI, Sam Altman, twittou: “Sabemos que o ChatGPT tem deficiências em relação ao viés e estamos trabalhando para melhorá-lo.”
De acordo com um artigo de 23 de fevereiro no Business Insider, o ChatGPT precisa de se tornar mais ‘desperto’ porque é improvável que as empresas invistam em tecnologia que lhes possa causar dores de cabeça de relações públicas.
Como é que a objetividade do Chat GPT se relaciona com a sua capacidade de assumir o papel de um responsável pela conformidade? A objetividade é uma das competências mais importantes para os responsáveis pela conformidade e, naturalmente, também para os auditores
Isso não quer dizer que os seres humanos não sejam vítimas de preconceitos. A diferença é que um responsável pela conformidade que demonstre parcialidade será responsabilizado, enquanto um autómato poderá não ser.
“Espera-se que os responsáveis pela conformidade forneçam uma visão objetiva das políticas da empresa. A influência de outros funcionários, incluindo a administração e os executivos, para ignorar infracções pode resultar em multas ou sanções significativas que podem levar a perdas financeiras ou mesmo ao encerramento da empresa.” – Investopedia
Falta de bom senso
ChatGPT não tem cérebro, não tem emoção, não tem história, não tem família. Não tem moral ou a capacidade de raciocinar e compreender. Isso significa que não tem senso comum
Todos nós precisamos de aprender através da experiência. Quando somos crianças, pomos alegremente a mão na placa do fogão porque ainda não aprendemos que ela nos pode queimar. Quando se aprende que se pode magoar, torna-se senso comum não pôr a mão na placa do fogão. É claro que se pode desenvolver o senso comum aprendendo com as experiências de outras pessoas, mas isso requer a capacidade de raciocinar e deduzir – algo que ChatGPT não tem.
Ou será que não?
Vamos fazer um teste rápido.
Perguntámos ao ChatGPT: “É seguro deixar um portátil aberto em cima de uma secretária?”
E isto é o que dizia:
Deixar um portátil aberto numa secretária é geralmente seguro, desde que a secretária seja estável e o portátil não corra o risco de ser derrubado ou exposto a outros perigos potenciais. No entanto, existem alguns factores a considerar que podem afetar a segurança de deixar um computador portátil aberto sobre uma secretária:
- Segurança: Se deixar o seu portátil sem vigilância num local público, este pode não estar seguro contra roubo. É importante manter o seu portátil seguro, bloqueando-o com uma palavra-passe ou utilizando um cadeado para portátil.
- Temperatura: Os computadores portáteis geram calor quando estão a ser utilizados, e deixar um computador portátil em cima de uma secretária durante um longo período de tempo pode provocar o seu sobreaquecimento. Certifique-se de que a ventilação do computador portátil não está bloqueada e de que o computador portátil não está exposto à luz solar direta ou perto de uma fonte de calor.
- Energia: Se o seu portátil não estiver ligado a uma fonte de alimentação, deixá-lo aberto sobre uma secretária durante um longo período de tempo pode fazer com que a bateria se esgote, o que pode afetar o seu desempenho e vida útil.
Em resumo, é geralmente seguro deixar um portátil aberto numa secretária, mas é importante considerar questões de segurança, temperatura e energia antes de o fazer.
Em nenhum momento o Chat GPT considerou a conformidade, a privacidade e a segurança dos dados. Falta de bom senso? Definitivamente.
Deve-se notar que, quando especificamente orientado a considerar a conformidade como parte do mesmo cenário, a resposta do Chat GPT foi completamente diferente e estava de acordo com o que seria esperado como resposta a uma pergunta específica sobre conformidade.
Incapacidade de compreender o contexto
No seu artigo ‘The Top 10 Limitations of Chat GPT’, a Forbes explica que, “O ChatGPT tem dificuldade em entender o contexto, especialmente sarcasmo e humor. Embora o ChatGPT seja proficiente no processamento de linguagem, ele pode ter dificuldades para entender as nuances sutis da comunicação humana. Por exemplo, se um utilizador utilizar sarcasmo ou humor na sua mensagem, o ChatGPT pode não conseguir captar o significado pretendido e, em vez disso, dar uma resposta inadequada ou irrelevante.”
Dependência dos dados de treino
Os dados de treinamento são usados para treinar algoritmos para que eles possam prever resultados. Como você pode ver no diagrama abaixo, extraído do artigo da Cloud Factory “The Essential Guide to Quality Training Data for Machine Learning”, quando se trata de dados de treinamento, há vários pontos em que a entrada humana é necessária.
Isto significa que:
- A IA depende da precisão da entrada humana
- A IA não pode funcionar sem um humano no sistema
Como na maioria das coisas de IA – e vimos isso com o exemplo do laptop acima – o que você coloca é o que você recebe. Assim, se a informação e o conhecimento introduzidos pelos seres humanos forem imprecisos, falsos ou de má qualidade, então o resultado que o utilizador final recebe da IA será igualmente impreciso, falso ou de má qualidade
Conhecimento limitado do domínio
O conhecimento de domínio refere-se à inteligência que alguém tem sobre uma área específica dentro de uma indústria específica. Então, essencialmente, conhecimento de domínio = perícia. ChatGPT não é um especialista em nenhum domínio específico. Isso significa que aplicar a conformidade dentro de um domínio específico será difícil, a menos que o usuário primeiro treine o Chat GPT para entender seu setor, organização ou contexto.
Isso pode ser feito, é claro, mas estaria de facto a aumentar o tempo necessário para implementar estruturas de conformidade, em vez de aumentar a eficiência.
ChatGPT e GDPR: o que sabemos?
A autoridade de proteção de dados da Itália ordenou que a Open AI parasse de processar os dados das pessoas na Itália porque está preocupada que o Chat GPT esteja violando o Regulamento Geral de Proteção de Dados da União Europeia.
De acordo com a BBC, “O cão de guarda disse em 20 de março de 2023 que a aplicação tinha sofrido uma violação de dados envolvendo conversas de utilizadores e informações de pagamento.
Dizia não haver base legal que justificasse “a recolha e armazenamento em massa de dados pessoais com o objetivo de ‘treinar’ os algoritmos subjacentes ao funcionamento da plataforma”.
Dizia ainda que, como não havia forma de verificar a idade dos utilizadores, a aplicação “expõe os menores a respostas absolutamente inadequadas face ao seu grau de desenvolvimento e consciência”.’
À superfície, parece que o Chat GPT está a violar princípios-chave do RGPD, mas, a julgar pela falta de um movimento de salto, isto pode ser apenas uma reação automática da Itália. A situação – como tudo o que se refere à IA – está sempre a evoluir.
Então, o que sabemos exatamente sobre o ChatGPT e o GDPR?
- Limitação de objetivo
De acordo com a Comissão de Proteção de Dados, “Os dados pessoais só devem ser recolhidos para fins específicos, explícitos e legítimos e não devem ser processados posteriormente de forma incompatível com esses fins.”
Teremos de estar atentos ao que acontece a seguir no cenário italiano para podermos saber se a Open AI está ou não a praticar a limitação da finalidade como deve ser.
- Separação de dados
Uma preocupação vital para muitas organizações é a proteção dos dados que são armazenados em sistemas partilhados. Há uma série de razões pelas quais isso é importante. Uma delas, é claro, é a conformidade regulamentar.
“Devido ao potencial impacto que o acesso não autorizado pode ter numa empresa, é muito importante que as organizações implementem medidas robustas de segregação de dados para limitar o acesso a dados sensíveis.” – Next Labs.
- Limitação de armazenamento
Embora o próprio ChatGPT não controle os dados introduzidos e também não tenha a capacidade de os apagar, os dados utilizados para treinar a IA são armazenados em grandes bases de dados. As organizações que utilizam os dados para treinar o Chat GPT afirmam que podem precisar de manter os dados durante longos períodos de tempo para fins de investigação ou formação
ChatGPT e ISO 27001: a que é que devemos estar atentos?
- Controles de acesso
A subsecção A.9.1 da ISO 27001 requer que uma organização tenha uma Política de Controlo de Acesso, definindo que utilizadores têm acesso a que redes e serviços.
Nesta fase, o Chat GPT não seria capaz de realizar esta tarefa a menos que tivesse sido extensivamente treinado nos protocolos de controlo de acesso de uma organização. Embora pudesse produzir orientações, que variariam de acordo com o sector específico da empresa de tecnologia, sobre como criar a política, não seria capaz de criar a própria política. Isto porque a criação de uma política de controlo de acesso abrangente e eficaz requer uma compreensão profunda das necessidades comerciais específicas, dos riscos e dos requisitos regulamentares de uma organização específica. De facto, o próprio ChatGPT recomenda que as organizações se envolvam com profissionais de segurança da informação experientes para criar e implementar uma política de controlo de acesso que seja adaptada às necessidades específicas da sua organização.
- Gestão de incidentes
A ISO 27001 define um incidente de segurança como “um evento indesejado que pode colocar em risco a confidencialidade, integridade ou disponibilidade da informação”.
Um incidente pode variar de bastante inócuo a extremamente ameaçador para uma organização. Gerir um incidente requer não só um conhecimento profundo dos activos, vulnerabilidades e procedimentos de resposta de uma determinada organização, mas também uma sensibilidade no que diz respeito à comunicação em torno do incidente.
Os procedimentos de comunicação, as análises pós-incidente e as recomendações de melhoria são mais bem formulados por uma pessoa profissional que tenha uma compreensão complexa da organização envolvida.
Mais uma vez, embora o ChatGPT possa fornecer-lhe instruções passo a passo sobre o que fazer, a menos que tenha sido amplamente treinado em todos os aspectos da sua organização, não será capaz de gerir o incidente ou criar comunicações e relatórios precisos sobre o incidente.
- Monitorização e testes
Quando questionado se pode efetuar a monitorização e teste da ISO 27001, o Chat GPT forneceu orientações e conselhos sobre as actividades de monitorização e teste, incluindo:
Vulnerability Scanning e Penetration Testing
Testes de Controlo de Acessos
Teste de Resposta a Incidentes
Teste de continuidade de negócios
Porque é que o ChatGPT é mau para a conformidade, em geral?
A conformidade depende de uma compreensão precisa e meticulosa das estruturas regulatórias. É inerentemente dependente de entradas e saídas honestas e exactas.
O Open AI lista duas das limitações do Chat GPT como:
- O ChatGPT por vezes escreve respostas que soam plausíveis mas incorrectas ou sem sentido…
- O modelo é muitas vezes excessivamente verboso …
Como uma start-up de tecnologia você definitivamente não precisa de informações incorretas quando você vai para a sua auditoria ISO 27001 e você também quer manter as informações tão sucintas e transparentes quanto humanamente (sim, humanamente) possível.
Como pode usar o ChatGPT em conformidade
O ChatGPT pode fornecer a você o que fazer e como fazer da conformidade com a ISO 27001. O que ele não pode fazer é criar conteúdo personalizado para a sua jornada de conformidade com base nas informações e necessidades específicas da sua organização.
No que diz respeito à IA, o professor de direito Matthew Sag, da Universidade de Emory, afirma: “Há um ditado que diz que um número infinito de macacos acabará por nos dar Shakespeare.”
É importante que percebamos que o Chat GPT é realmente apenas isso (por enquanto, de qualquer forma) – o resultado de uma quantidade infinita de dados de fontes desconhecidas sendo compilados em ‘fatos’.
Os resultados disso quando se trata de conformidade com normas como a ISO 27001 podem ser desastrosos.
Portanto, é aconselhável, se você for usar o Chat GPT ou qualquer outra IA para conformidade (ou qualquer outra coisa para esse assunto), que você verifique e verifique novamente o conteúdo que a IA cria.
Uma melhor jornada de conformidade aguarda
O ChatGPT Compliance pode ser o futuro da conformidade?
Talvez.
Por enquanto, enquanto você poderia ostensivamente usar o ChatGPT para criar um roteiro genérico para sua jornada ISO 27001, já existe uma ferramenta testada e confiável (com instruções de acompanhamento)… uma que foi criada por especialistas no campo de conformidade lean.
Chama-se Compleye Online e pode reservar uma demonstração gratuita aqui!
