AI Act amplia a responsabilidade pela segurança informática: não é assunto só dos especialistas

O objetivo central do AI Act é assegurar que padrões técnicos e diretrizes operacionais estejam plenamente definidos antes da entrada em vigor das obrigações de conformidade, minimizando o impacto econômico e burocrático sobre as empresas. No núcleo do regulamento há um modelo de gestão que ecoa práticas já familiares para quem atua com cybersecurity: identificação de riscos, avaliação contínua, monitoramento, governança, responsabilidade e gestão da supply chain. Conversamos sobre isso com Paolo Ballanti, Head of Sales da Cyberating.

Por que um regulamento sobre inteligência artificial aborda também a segurança informática? Porque um sistema de IA só pode ser considerado confiável se for seguro. O artigo 15 do AI Act exige que sistemas de alto risco garantam níveis adequados de precisão, robustez e cybersecurity ao longo de todo seu ciclo de vida. Assim, a segurança informática deixa de ser um requisito acessório e torna-se condição essencial para a confiabilidade de um sistema de IA. Para sistemas classificados como de alto risco, a organização deve identificar, gerir e monitorar os riscos de segurança relevantes, levando em conta tanto a infraestrutura tecnológica quanto os atores externos dos quais o sistema depende.

No plano operacional, isso se traduz em integrar a avaliação do sistema de IA com um mapeamento profundo do ambiente digital onde ele opera: infraestruturas, serviços de nuvem, APIs, componentes de software e fornecedores. Um Cyber Risk Rating independente pode fornecer uma leitura objetiva da postura de segurança da organização e dos terceiros envolvidos, funcionando como um carimbo de confiabilidade aplicável à cadeia de valor.

Por que o AI Act exige um processo contínuo de gestão de risco, e não uma avaliação pontual? Porque o princípio estruturante do regulamento é que a gestão de risco não pode ser episódica. Para sistemas de alto risco, é requisitado um sistema formal de Risk Management que acompanhe todo o ciclo de vida do sistema: identificação, avaliação, mitigação, monitoramento e atualização contínua. Esse paradigma já é praticado há anos na gestão do risco cibernético e agora é traduzido para o domínio da inteligência artificial.

A diferença em relação a uma conformidade em formato "fotografia" é clara: migramos de avaliações estáticas — úteis apenas no momento em que são realizadas — para um monitoramento contínuo da postura de segurança, capaz de registrar variações no nível de risco ao longo do tempo e subsidiar decisões ágeis e baseadas em evidências, não em percepções.

No que diz respeito à supply chain, a transformação é profunda. Um serviço de IA raramente depende de um único fornecedor: normalmente resulta de uma cadeia que engloba o provedor do modelo, o provedor de nuvem, bibliotecas e componentes de software, APIs, conjuntos de dados e integradores. A interdependência expõe a superfície de ataque e exige controles que estimem não apenas a qualidade funcional, mas a resiliência de cada elo da cadeia. Nesse sentido, o AI Act reforça exigências similares às já previstas por normas como a NIS2, ampliando a obrigação de visibilidade e governança sobre terceiros.

Do ponto de vista prático, organizações que desejam cumprir o AI Act precisam estruturar processos que unam compliance, segurança e engenharia: pipelines de validação contínua, testagem de robustez, auditorias de fornecedores e métricas de risco compartilháveis. Em termos de alicerces digitais, trata-se de construir camadas de inteligência e controles análogos aos circuitos de proteção que mantêm estável o sistema nervoso das cidades modernas.

O desafio regulatório é técnico e organizacional: definir padrões antes das sanções, promover indicadores objetivos e facilitar um ecossistema de confiança. Para empresas e administradores, a lição é clara — a segurança informática é uma dimensão inseparável da confiabilidade de IA e deve ser tratada como infraestrutura crítica, não como um adendo.