Antes de colar no ChatGPT: 5 verificações de segurança para ONGs
Não é preciso proibir a IA. São precisos cinco hábitos, e uma regra que toda a equipa memorize.
A maioria das fugas de dados na era da IA não parte de hackers. Vem de um colega bem-intencionado que cola os dados reais de um beneficiário numa ferramenta de IA gratuita para terminar um relatório mais rápido.
E faz sentido: as ferramentas ajudam, e a pressão para produzir relatórios, propostas e resumos é real. Mas uma ferramenta de IA pública não é um espaço de trabalho privado. Em contas gratuitas e pessoais, o que escreve pode ser guardado, lido ou usado para treinar o modelo, e muitas vezes é. Assim que um nome, uma localização ou um estado de saúde sai das suas mãos, já não o consegue recuperar. Para uma organização que lida com dados de beneficiários, de saúde ou de protecção, isso é um problema de compliance e de relação com o doador, não apenas de TI.
Não é necessário proibir a IA para estar seguro. Precisamos de adoptar boas práticas, ou "melhores" práticas, como dizia o meu professor nas aulas de ITIL. Deixo abaixo cinco verificações. Se não conseguir responder "sim" às cinco, tem uma lacuna.
1. A sua equipa sabe dizer o que é informação sensível?
Nomes, números de BI, números de telefone, localizações exactas ou GPS, fotografias, estado de saúde (HIV, TB, gravidez), e tudo o que envolva protecção ou VBG. Se as pessoas não conseguem reconhecer, não conseguem proteger.
2. Retira os dados pessoais antes de colar?
Substitua nomes reais por marcadores: [Beneficiário], [Distrito]. Retire identificadores directos e mantenha os detalhes genéricos. A IA continua a ajudar a escrever e a estruturar. Não precisa da pessoa real para isso.
3. Sabe o que a ferramenta faz com aquilo que escreve?
Contas gratuitas e pessoais muitas vezes guardam o que introduz, ou usam-no para treino. O histórico e o treino estão desligados? Está numa conta institucional ou numa conta pessoal? Se não tem a certeza, assuma o pior.
4. Está a partilhar o mínimo, nunca registos completos?
Um excerto sem identificadores, não o processo completo nem a lista de beneficiários. Colar uma base de dados inteira é o erro mais comum.
5. A equipa inteira conhece uma regra de ouro?
Uma frase curta que fique na cabeça de todos, por exemplo: "Dados reais, em IA pública jamais". E uma alternativa segura que a organização aprove. Uma regra de uma linha que as pessoas memorizem vale mil vezes mais do que uma política de 20 páginas que ninguém lê.
Cinco "sim" é uma boa base de partida. Qualquer "não" é uma lacuna que vale a pena fechar esta semana, porque o custo de errar aqui não é uma tarde perdida. É uma violação de dados que terá de comunicar ao doador.
Onde está realmente a sua organização?
Estas cinco verificações cobrem um risco: o que a equipa escreve dentro de uma ferramenta. Não lhe dizem se o seu ambiente Microsoft 365, as suas permissões de acesso ou o seu processo de aprovação estão preparados para a IA que a equipa já está a usar.
O SafeAI Check é uma auto-avaliação gratuita de 25 perguntas para organizações que usam Microsoft 365. Demora 5 a 7 minutos e devolve uma pontuação indicativa de maturidade em 100, a sua área de governança mais fraca e três acções práticas.
O SafeAI Check é um diagnóstico de auto-avaliação. Não certifica conformidade, não testa a sua segurança e não faz alterações aos seus sistemas. Serve para identificar onde pode ser útil uma validação mais aprofundada.
Leandro, BizMedia. Ajudamos ONGs e organizações de desenvolvimento que usam Microsoft 365 a governar o uso de IA sem atrasar o trabalho.