Nova legislação da IA “cria confiança a quem deposita dados” na União Europeia

Com cerca de 30 anos de carreira iniciada na Microsoft, Ricardo Teixeira fundou, geriu e vendeu uma série de empresas de diversas áreas (de tecnológicas até um restaurante de frango assado). Desde 2002, ‘assentou’ na CompuWorks, de que também é fundador. Tendo feito projetos para mais de 80 grandes empresas (ABF, Vodafone, UK Post Office, WPP Group, EDP, Vinci Airports, Accenture, etc.) é a partir da sua última aposta empresarial que assiste, não excessivamente admirado, ao fim de um mundo que está prestes a acontecer: “tal como nós o conhecemos e da forma como trabalhamos, no prazo de cinco anos, será brutalmente alterado”. Tudo por via da Inteligência Artificial (IA), um instrumento tão poderoso que é o único que nos resta para combater esse instrumento igualmente poderoso que é a Inteligência Artificial. Uma entrevista para guardar e voltar a ler dentro de cinco anos.
“O Regulamento da Inteligência Artificial da União Europeia (AI Act) é o primeiro quadro jurídico abrangente do mundo focado em garantir uma tecnologia segura, ética e centrada no ser humano. A legislação adota uma abordagem baseada no risco, dividindo os sistemas de IA em quatro categorias específicas: Risco Inaceitável: Sistemas estritamente proibidos, como a pontuação social ao estilo de vigilância estatal e a manipulação comportamental subliminar; Risco Elevado: Aplicações permitidas sob forte fiscalização em áreas sensíveis como emprego, infraestruturas críticas, saúde e educação; Risco Limitado: Sistemas sujeitos a regras estritas de transparência, exigindo a rotulagem clara de deepfakes e a identificação de robôs de conversação (chatbots); Risco Mínimo: Aplicações comuns e livres de obrigações, como jogos eletrónicos ou filtros de correio indesejado (spam). Adicionalmente, o regulamento impõe regras de transparência aos modelos de IA de finalidade geral e define coimas severas para incumprimentos, que podem atingir os 35 milhões de euros ou 7% do volume de negócios global anual. Se pretender aprofundar o tema, posso detalhar os prazos de cumprimento ou o impacto destas regras em empresas tecnológicas específicas. Como gostaria de proceder?” Sim, este parágrafo foi escrito pela IA associada ao Google e não pelo autor da entrevista.
 
Como analisa o AI Act, que acaba de ser fechado este agosto como legislação europeia? Gostava que, em primeiro lugar, comentasse o facto de a União Europeia ser acusada de ser muito proactiva em termos de legislação e muito pouco ativa em termos de investigação e inovação.
Sim, isso é um típico da União Europeia: regula muito e muitas das vezes corre o risco de depois travar a capacidade de inovação. O IA Act pode criar a confiança e a segurança sobre tudo aquilo que se faz na União Europeia. Porque hoje em dia falamos muito sobre a soberania dos dados quando os submetemos a data centers que estejam sob a legislação norte-americana. Portanto, se por um lado a União Europeia tem esta caraterística de travar a inovação com tanta legislação, por outro lado cria uma maior confiança de quem deposita os dados na União Europeia.
 
Uma segurança julgo que importante num contexto em que a IA ganhou vida própria, digamos.
É isso mesmo, ganhou vida própria. O recente caso da OpenAI, que estava a trabalhar para criar maturidade e criar scoring começou a atacar outros sistemas para poder ganhar esse scoring. Portanto, na verdade, todos nós neste momento temos na nossa posse e instalados nos nossos computadores IA a um nível demasiado poderoso para estar nas mãos de pessoas em particulares. É preciso legislar e parametrizar o uso do IA.
 
A questão, ou uma delas, é precisamente essa: como é que se legisla um sistema que aparentemente está acima de qualquer legislação?
É uma boa questão. Ao legislar, ao criar multas e ao criar uma maior perceção dos riscos, A UE faz com que também as empresas estejam mais atentas a todos estes riscos. Percebam que está tudo com acesso: com várias plataformas instaladas nos seus computadores e com acesso à informação das empresas, sejam propostas comerciais, contratos, informação financeira, código de fonte, credenciais, uma série de coisas. E a governança das empresas não tem essa perceção. Principalmente nas empresas portuguesas, acho que temos uma maturidade digital muito baixa. E isso é um problema que irá estourar muito em breve, porque temos muitas empresas familiares – com duas, três, quatro pessoas, que andam mais preocupadas em pagar as contas do que propriamente com a IA. Depois existe uma camada de PME já com alguma dimensão a faturar algumas dezenas de milhões de euros que são empresas familiares, toda aquele tecido empresarial que fica entre Lisboa e Porto e na região interior. São empresas, de facto, que faturam e têm uma grande dinâmica e um grande peso na economia portuguesa, mas têm uma maturidade digital muito baixa. De repente, estas coisas estão a acontecer e estes gestores não estão a conseguir acompanhar. Criam riscos e enormes para as empresas. Vemo-nos ‘gregos’ para explicar aos nossos gestores a importância de ter um parque de IT minimamente robusto e seguro.
 
Estamos, portanto, mal preparados para gerir os riscos associados à IA.
Portugal está super mal preparados para gerir uma tecnologia que está aqui, agora. As novas versões do Charts GPT e do Cloud, por exemplo, são poderosíssimas: qualquer utilizador consegue aceder a tudo e mais alguma coisa. O que cria aqui riscos brutais para as empresas; é preciso haver esta sensibilização junto dos nossos gestores, para que olhem para isto de outra forma.
 
Pergunto-lhe então se acha que a legislação avançada pela União é suficientemente robusta.
Do ponto de vista de estrutura, parece-me interessante. Do ponto de vista de como é que vão analisar quem cumpre estas medidas e como é que elas estão implementadas, a mim parece-me muito mais difícil de aferir. Tudo isto estava a ser falado desde 2024, mas em 2024 estávamos longe ainda daquilo que era o poder da IA, era tudo muito novo; agora, estamos a ver que este poder todo que o IA tem é de facto desmesurado e muito brevemente incontrolável. Até acho que neste momento já está incontrolável, com as novas versões que estão aí a sair. Será muito difícil depois aferir quem está a cumprir e quem não está a cumprir. Porque não estamos a falar de uma forma de hacking. Antigamente, tínhamos que proteger as nossas organizações dos hakers, agora temos de as proteger da IA.
 
Qual é a proposta de valor que a sua empresa tem para apresentar às empresas que querem ver-se protegidas desta enormidade?
No fundo, é a compor que se olha para a IA sobretudo pelo lado da implementação tecnológica e pelo lado também da proteção da informação. Porque, de facto, nós temos que identificar os controlos de acordo com os princípios jurídicos e de acordo com aquilo que foi estabelecido como governance. Temos que ter acessos muito bem parametrizados, muito mais do que antigamente. Temos que proteger os dados que temos dentro das empresas. Temos que fazer uma monitorização muito mais fina, muito mais permanente a todas as áreas e a todos os temas. Temos que ter a parte da segurança. Temos que ter a gestão de política de fornecedores. Temos que ter as políticas de utilização. E depois, há outra coisa: nada disto acontece sem a formação aos utilizadores. Portanto, a parte da formação e da literacia para os utilizadores, acho que é fundamental para que as coisas não descambem.
 
É fácil explicar tudo isso a um gestor?
É muito difícil explicar a um gestor de uma PME. Muito difícil. Foi um salto tecnológico demasiado grande para as pessoas que se dedicaram sempre ao seu negócio. Além de que os nossos governantes não têm muita sensibilidade para estes temas, não percebem o risco que isto está a levantar.
 
Há instrumentos de segurança suficientemente eficazes para combater um sistema tão poderoso?
Acho que nada é suficientemente seguro. E temos casos com bastante visibilidade em Portugal, como foi o da Vodafone, que ficou sem operar, da EDP, que são empresas, obviamente, altamente robustas e altamente bem preparadas. E, portanto, quando se quer entrar pode custar bastante, mas consegue-se. Neste momento, estamos já numa fase que é o IA contra o IA. Ou seja, os sistemas de proteção defendem com o IA; os sistemas de ataque atacam com o IA. Acaba por ser uma guerra quase robótica entre quem é que tem o sistema mais rápido e mais poderoso, do ponto de vista do processamento, para atacar e para defender.
 
Num desses ataques, empresas norte-americanas tiveram que munir-se de tecnologia chinesa para parar um ataque. A pergunta é: quem é que está à frente na investigação em inteligência artificial?
É uma excelente questão, porque nós sabemos quase tudo o que os norte-americanos vão fazendo, porque são empresas cotadas, que precisam de criar reputação; os chineses não têm essa mesma visibilidade. No entanto, creio que ainda estamos numa fase que os norte-americanos estão à frente na inovação. Contudo, os chineses estão claramente a ganhar terreno de forma muito rápida e assustadora. Eu diria que, muito brevemente, se calhar, a resposta já não virava para os Estados Unidos.
 
Quando diz muito brevemente, quer dizer o quê?
O mundo tal como nós o conhecemos e da forma como trabalhamos, no prazo de cinco anos, será brutalmente alterado.