#_IA_Tentando_Acompanhar | Edição 159

Olá Pessoal !!

O papo de hoje é sobre um ponto cada vez mais estratégico nas empresas que estão adotando inteligência artificial: o papel da TPRM (Gestão de Riscos de Terceiros) diante da complexidade crescente dos ecossistemas de IA.

Com a proliferação de soluções de IA no mercado, muitas organizações passam a depender de cadeias de fornecedores multilayer, SaaS com componentes de IA, plataformas de agentes, APIs de modelos de linguagem (LLMs) de terceiros e serviços de infraestrutura.

Essa infraestrutura toda interconectada amplia a complexidade e, consequentemente, aumenta a preocupação dos gestores com riscos cibernéticos, privacidade e compliance com leis como a LGPD, especialmente no contexto de projetos de IA.

Nesse cenário, o TPRM se torna um elemento importante para viabilizar a adoção de IA de maneira acelerada, segura e responsável, garantindo que a empresa não apenas avalie seu fornecedor direto, mas toda a cadeia de terceiros envolvidos no funcionamento da solução de IA.

Vamos por partes...

#_Contexto

De modo simples, o TPRM (Third Party Risk Management) é o processo que busca identificar, avaliar, monitorar e mitigar riscos apresentados por terceiros ao longo de todo o relacionamento com a empresa.

Isso inclui riscos de continuidade operacional, conformidade, segurança da informação, privacidade e, naturalmente, riscos específicos associados ao uso de soluções com IA.

Com soluções de IA que dependem de múltiplos fornecedores, desde o provedor do serviço principal até modelos de linguagem (LLMs), provedores de bancos de dados vetoriais, APIs e serviços de hospedagem, a necessidade de uma visão clara e integrada de toda a cadeia de fornecedores torna-se crítica para conhecer e mitigar riscos para o negócio.

#_Dica

Para apoiar as equipes envolvidas com esse tema, nós construímos um portal dedicado ao TPRM com informações, conceitos e insights práticos, disponível em: vale a pena dar uma olhada em http://tprm.simpleway.tech

Esse portal é uma fonte de referência para quem está estruturando, fortalecendo ou ampliando seu programa de gestão de riscos de terceiros.

#_IA_Aumentando_Importância_Do_TPRM

Eu vejo alguns pontos que têm feito os movimentos de IA impulsionarem a estruturação de TPRM (Gestão de Riscos de Terceiros) nas empresas...

a) Arquitetura multilayer de fornecedores

Ao contratar uma solução com IA, frequentemente a empresa não tem visibilidade completa sobre todos os componentes e terceiros envolvidos. Isso acontece porque muitos serviços são construídos sobre camadas de dependências: modelos proprietários, APIs de terceiros, provedores de infraestrutura, bancos de dados, etc.

Cada nível dessa cadeia representa um ponto adicional de exposição a riscos.

b) Riscos regulatórios (Ex: LGPD) em cascata

Regulamentações como a LGPD no Brasil, o GDPR na Europa ou propostas de legislação específica sobre IA exigem transparência e responsabilidade não apenas do contratante, mas incluindo quem processa dados diretamente em nome da organização, e os riscos que surgem quando esses operadores envolvem subcontratados.

Isso não é um desafio simples. Quem tem avançado nesse sentido sabe exatamente do que estou falando...

c) Riscos cibernéticos distribuídos

Cada terceiro representa um vetor possível de ataque ou falha de segurança. Vulnerabilidades em um fornecedor ou subcontratado podem impactar toda a solução de IA, naturalmente atingindo a operação da organização.

d) Velocidade de adoção x risco operacional

As empresas têm buscado acelerar seus projetos de IA tentando não comprometer segurança, privacidade ou conformidade. O processo de TPRM ajuda nesse desafio, pois fortalece a visibilidade e a mitigação de riscos ao longo da cadeia de fornecedores.

#_TPRM_Como_Habilitador_da_Jornada_de_IA

Eu entendo que o TPRM (Gestão de Riscos de Terceiros) não deve ser visto como um processo apenas de compliance ou um checklist que o fornecedor responde e fica abandonado dentro da empresa, mas como um habilitador estratégico para que a organização possa identificar riscos de fornecedores e subcontratados, assim como garantir que requisitos regulatórios e de conformidade sejam atendidos por todo o ecossistema de terceiros da organização.

Ao estruturar um programa de Gestão de Riscos de Terceiros, a empresa minimiza barreiras à adoção de IA, ganhando confiança para inovar com mais velocidade e menos riscos. Aqui eu vejo é grande mudança de maturidade....

E se você está buscando um ponto de partida, referências ou inspiração sobre como começar ou ampliar seu processo de TPRM, vale conferir o portal que organizamos especialmente para isso: http://tprm.simpleway.tech

#_Reflexão

Pessoal, diante desse cenário em que soluções de IA envolvem múltiplos fornecedores e criam diversas camadas de dependência e risco, a pergunta que fica é:

Estamos preparados para gerenciar de forma efetiva não apenas o fornecedor com quem contratamos diretamente, mas toda a cadeia de terceiros envolvidos em nossas soluções de IA, com visibilidade, métricas e governança que sustentem uma adoção responsável e escalável de IA?

Se isso fizer sentido estrategicamente, avalie quem do comitê ou da diretoria seria importante envolver para compartilhar e debater essas reflexões!

Abraços

Sobre o autor:

Rogério Coutinho da Silva

rogerio.coutinho.silva@gmail.com 

https://www.linkedin.com/in/rogerio-coutinho-silva/

Engenheiro de Computação formado pela Universidade Federal de São Carlos (UFSCar). Sócio-fundador da Podium Tecnologia (Consultoria especializada em Governança de Segurança da Informação, Privacidade e Continuidade de Negócios) e da SimpleWay (Plataforma de Governança de Segurança Cibernética, Privacidade e IA).

Foto gerada por IA na Freepik