Até 2029, a maioria dos incidentes de privacidade não resultará da exposição direta de informações de identificação pessoal (PII), mas de inferências geradas por Inteligência Artificial sobre indivíduos, prevê o Gartner. A mudança representa uma transformação no setor, migrando da tradicional exposição de dados brutos para a exposição de insights automatizados.
“Está ocorrendo uma mudança fundamental, da exposição de dados para a exposição de insights. Historicamente, as organizações têm se concentrado na proteção de dados pessoais brutos, mas a IA agora pode reconstruir insights profundamente pessoais sem nunca violar os controles tradicionais de dados. Os riscos à privacidade estão surgindo cada vez mais a partir do que os algoritmos de IA inferem sobre os indivíduos, e não dos dados diretamente expostos”, afirma Bart Willemsen, Vice-Presidente Analista do Gartner.
Conforme as empresas reduzem o armazenamento de dados pessoais por pressões regulatórias e de custo, criminosos passam a usar a IA Generativa e o machine learning para extrair atributos confidenciais. Essa dinâmica permite identificar condições de saúde ou padrões comportamentais a partir de dados aparentemente inofensivos, anonimizados ou agregados.
O tema e os impactos da IA na cibersegurança e gestão de riscos serão debatidos na Conferência Gartner Segurança & Gestão de Risco, realizada nos dias 4 e 5 de agosto em São Paulo. O debate ganha urgência porque conclusões geradas por algoritmos criam vulnerabilidades difíceis de detectar e mitigar pelos mecanismos convencionais.
“Ataques de inferência são particularmente perigosos porque muitas vezes escapam aos mecanismos convencionais de detecção”, diz Willemsen. “Indivíduos podem ficar expostos por meio de conclusões geradas pela IA, em vez de registros vazados, criando riscos à privacidade que comprometem a integridade dos dados e são difíceis de detectar, explicar e mitigar.”
Diante dessa evolução, o Gartner prevê que os gastos com proteções de integridade de dados alcancem o mesmo nível dos investimentos em confidencialidade até 2028. Essa movimentação responde diretamente aos riscos de perfis gerados por IA que sejam imprecisos, tendenciosos ou não autorizados, exigindo que os líderes regulamentem também a forma como esses sistemas agem.
“As organizações que continuarem a tratar a privacidade exclusivamente como um desafio de proteção de dados ficarão cada vez mais vulneráveis a incidentes de privacidade causados por inferências geradas pela IA”, afirma Willemsen. “A próxima fronteira do risco à privacidade está na forma como a IA interpreta os dados, e não simplesmente na forma como as organizações os armazenam.”
Para se protegerem, os CISOs devem incorporar a governança de IA aos programas de privacidade com avaliações de algoritmos e adotar tecnologias de aprimoramento de privacidade (PETs), como dados sintéticos. Recomenda-se também reforçar a minimização e o ciclo de vida dos dados para reduzir o volume exposto a ataques indiretos.
Além disso, as organizações precisam aprimorar a Cibersegurança com recursos avançados de detecção de anomalias e fortalecer a transparência operacional. Essa estratégia inclui documentar os limites dos sistemas de inteligência artificial, realizar auditorias frequentes e exigir supervisão humana constante na validação de inferências sobre dados sensíveis.
