5 Passos para uma Implementação de IA Bem-Sucedida: Como Integrar Regulamentos Internos de IA Vivos e Avançar com a Formação Interna

A inovação tecnológica da IA generativa tem o potencial de transformar fundamentalmente a forma como os processos de trabalho tradicionais são conduzidos. No entanto, ao introduzi-la, muitas organizações no Japão enfrentam desafios não tanto em termos de barreiras tecnológicas, mas sim na gestão de riscos legais e éticos e na sua integração dentro da organização. Uma abordagem de “delegação total”, que consiste em distribuir as ferramentas mais recentes por toda a empresa e deixar a sua utilização ao critério dos colaboradores, não só pode levar a graves incidentes como vazamento de informações ou violação de direitos, mas também pode, em última análise, estagnar a produtividade de toda a organização.

Para usufruir dos benefícios da IA de forma sustentável, é essencial elaborar “regulamentos internos de IA vivos” que conciliem a conveniência tecnológica com a segurança jurídica num nível elevado, além de implementar um processo educativo gradual baseado nesses regulamentos. Neste artigo, explicamos cinco passos concretos para alcançar uma implementação eficaz da IA, baseando-nos nas regulamentações legais mais recentes e nas diretrizes de agências governamentais japonesas.

Riscos da Implementação de IA sem Disciplina sob a Perspectiva Japonesa

Ao considerar a implementação de IA generativa, a primeira questão que surge é o problema do “Shadow IT”, onde o uso no local de trabalho precede a definição de uma política clara pela organização. Devido à alta conveniência dessas ferramentas, os funcionários frequentemente as utilizam em suas atividades profissionais com contas pessoais, baseando-se em julgamentos próprios. Essa abordagem de “vamos apenas experimentar” pode parecer acelerar a implementação a curto prazo, mas na realidade, promove o uso sem disciplina e acumula riscos significativos para a gestão.

Especificamente, há preocupações sobre a divulgação inadvertida de segredos comerciais devido à entrada descuidada de informações confidenciais, a geração de conteúdos que possam infringir direitos autorais de terceiros, e a disseminação de informações imprecisas externamente. As diretrizes para operadores de IA, publicadas pelo Ministério da Economia, Comércio e Indústria e pelo Ministério de Assuntos Internos e Comunicações do Japão em abril de Reiwa 6 (2024), também exigem que as empresas que utilizam IA avaliem adequadamente esses riscos e estabeleçam a governança necessária. Sem uma base sólida de regras claras, os funcionários não conseguem discernir com precisão o que é permitido e o que é proibido, sendo forçados a escolher entre hesitar em usar a tecnologia de forma criativa ou cometer erros graves inconscientemente.

Referência: 総務省｜「AI事業者ガイドライン」掲載ページ

Mesmo que o uso sem disciplina possa temporariamente aumentar a produtividade da organização, uma vez que ocorra um problema legal, os custos associados à recuperação dos danos e à perda de credibilidade social são incalculáveis. Portanto, na fase inicial de implementação de IA, é essencial estabelecer um quadro claro para o uso seguro, o que não significa restringir a liberdade no local de trabalho, mas sim garantir um ambiente seguro para o uso da tecnologia. O objetivo deste artigo é esclarecer como construir essa “base segura” e estabelecer um sistema operacional que não se torne obsoleto.

https://monolith.law/corporate/establishment-of-ai-internal-regulations

Passo 1: Linguagem dos Objetivos de Implementação de IA e Redefinição de Desafios

O primeiro ponto crítico que determina o sucesso ou fracasso da implementação de IA é a capacidade de redefinir a IA como uma ferramenta para resolver os desafios enfrentados pela organização, em vez de fazer da implementação da tecnologia um fim em si mesmo. Se o objetivo da implementação de IA permanecer vago, as normas internas formuladas podem tornar-se abstratas e resultar em “regras mortas” sem eficácia prática no local de trabalho.

O primeiro passo a ser tomado é a definição clara e detalhada do objetivo: em qual departamento e para resolver que tipo de desafio a IA será implementada.

• Departamento de Contabilidade: Redução da carga administrativa. A segurança no envio de dados para fora é a principal questão.
• Departamento de Desenvolvimento: Automação da geração de código. A Lei de Direitos Autorais do Japão, Artigo 30-4, licenças OSS e vulnerabilidades são as principais preocupações.
• Vendas e Relações Públicas: Criação de materiais e geração de FAQs. A precisão das informações e o risco de violação de direitos são os focos.

Ao concretizar os desafios a serem resolvidos em cada departamento, torna-se possível visualizar a direção das regras otimizadas para cada função.

Passo 2: Seleção Ótima de Serviços e Análise dos Termos de Uso

Em seguida, é necessário selecionar os serviços de IA que correspondam aos objetivos definidos. Atualmente, o mercado oferece uma variedade de serviços, desde IA genérica, como o ChatGPT, até IA especializada em domínios específicos como jurídico, contabilidade e programação. Embora a IA genérica possua flexibilidade para lidar com uma ampla gama de tarefas, pode ser inferior à IA especializada em termos de precisão da informação em áreas específicas e conformidade com regulamentações específicas.

Como critérios para a seleção de serviços, é fundamental que estejam em conformidade com a política de segurança da organização. Além disso, a possibilidade de utilização das APIs fornecidas e a presença de funcionalidades de proteção de dados nos planos empresariais são fatores importantes a considerar. Muitas vezes, há diferenças fundamentais entre as versões gratuitas para indivíduos e as versões pagas para empresas, especialmente no que diz respeito ao uso dos dados de entrada para aprendizado (possibilidade de optar por não participar). Portanto, ao implementar em toda a empresa, deve-se priorizar a contratação de planos empresariais.

Na seleção de serviços de IA, a análise dos termos de uso fornecidos por cada fornecedor é um aspecto crucial e frequentemente negligenciado. Comparados aos produtos SaaS comuns, os serviços de IA tendem a ter condições complexas e frequentemente alteradas sobre a titularidade dos direitos dos dados e o uso para aprendizado. Os cinco pontos a seguir são itens que devem ser verificados antes da conclusão do contrato para minimizar riscos legais.

Particularmente, as cláusulas sobre o uso para aprendizado de máquina estão diretamente ligadas à proteção de segredos comerciais no Japão. Se os dados inseridos forem incorporados como dados de aprendizado pelo fornecedor, não se pode negar o risco de que informações confidenciais da empresa sejam futuramente divulgadas como respostas a terceiros. Para que a proteção como segredo comercial sob a Lei de Prevenção da Concorrência Desleal seja reconhecida, é necessário que a “gestão do segredo” seja reconhecida, mas um ambiente onde os dados são inseridos sem proteção para aprendizado de IA pode ser um fator fatal que compromete essa gestão do segredo.

Além disso, é necessário prestar atenção à lei aplicável. Muitos serviços oferecidos por fornecedores dos Estados Unidos adotam leis como a do estado de Delaware como lei aplicável, e o local de resolução de disputas pode ser limitado ao exterior. Isso pode significar, na prática, a renúncia ao exercício de direitos por empresas domésticas. Portanto, ao utilizar para atividades de alta importância, deve-se considerar a possibilidade de negociar contratos que adotem a lei japonesa como lei aplicável ou que estabeleçam os tribunais japoneses como jurisdição acordada.

Etapa 3: Ciclo de Verificação com Início em Pequena Escala (PDCA) no Japão

Aplicar regras sem uma verificação adequada, na pressa de implementar em toda a empresa, pode causar confusão no local de trabalho e acelerar a obsolescência das normas. O recomendado é uma implementação de teste com “início em pequena escala”, direcionada a uma equipe de projeto específica ou a um departamento com alta literacia em TI e uma clara consciência dos problemas.

A maior desvantagem de uma implementação em massa é a imposição de “regras de denominador comum” que ignoram a diversidade das operações dentro da organização. Regras muito rígidas aplicadas a toda a empresa podem comprometer a conveniência no local de trabalho, enquanto regras muito flexíveis não conseguem controlar os riscos. Ao estabelecer um período de teste, é possível acumular dados baseados em experiências reais sobre quais riscos se manifestam nos fluxos de trabalho e quais diretrizes são necessárias.

Este período deve funcionar como uma “sandbox” (campo de testes) que permite falhas. Os funcionários devem experimentar o uso de IA, registrando detalhadamente quais prompts foram inseridos, quais resultados foram obtidos e quais preocupações surgiram (como informações incorretas devido a alucinações, expressões inadequadas, ou sinais de violação de direitos autorais). Um sistema deve ser estabelecido para que os responsáveis legais e de sistemas de informação revisem essas informações.

Para maximizar a eficácia do início em pequena escala, é útil seguir um fluxo de trabalho de verificação composto por seis etapas:

1. Identificar as operações alvo e elaborar “diretrizes iniciais” específicas para essas operações. Esta proposta inicial deve resumir de forma concisa as proibições mínimas (como a proibição de inserir informações confidenciais) e os métodos de uso recomendados.
2. Realizar treinamento de implementação para os membros selecionados e permitir que utilizem a IA em operações reais.
3. Coletar feedback do local de trabalho através de audiências regulares. Aqui, é importante dar ênfase às opiniões genuínas, como “as regras estão atrasando o trabalho?” ou “houve situações em que sentiram riscos inesperados?”.
4. Com base nos problemas coletados, reajustar o equilíbrio entre risco e conveniência e melhorar as diretrizes.
5. Aplicar novamente as diretrizes melhoradas e continuar a refiná-las.
6. Com base nos conhecimentos adquiridos através deste processo de verificação, elaborar “regulamentos padrão” para a implementação em toda a empresa.

Ao girar este ciclo PDCA, é possível transformar regras impostas de cima para baixo em “regras vivas” que o local de trabalho compreende e pode seguir, reconhecendo sua necessidade.

Passo 4: Expansão do Alcance de Implementação e Avaliação de Risco Individual por Departamento no Japão

Ao expandir o alcance com base nos conhecimentos adquiridos durante a implementação de teste, é essencial realizar uma avaliação de risco individual por departamento. Apenas regulamentos uniformes não conseguem lidar com as diferenças nos ativos que precisam ser protegidos.

• Departamento de Recursos Humanos: Com base na Lei de Proteção de Informações Pessoais do Japão, é importante proibir a entrada de informações que possam identificar indivíduos e enfatizar a transparência na tomada de decisões automatizadas.
• Departamento de Pesquisa e Desenvolvimento: Priorizar a proteção técnica e contratual para garantir que as ideias não se tornem dados de aprendizagem de outras empresas.
• Departamento de Relações Públicas e Marketing: Focar em medidas contra a semelhança de marcas e designs, bem como riscos de crises de imagem.

Ao organizar essas diretrizes e classificar claramente as operações em “permitido”, “permitido com condições” e “proibido”, os funcionários poderão determinar sem hesitação até que ponto podem utilizar a IA em suas atividades.

Passo 5: Design Organizacional para Estruturar Revisões Regulares

O ambiente que envolve a IA generativa está a mudar a uma velocidade extremamente rápida, seja em termos de tecnologia, regulamentação legal ou ética social. Por isso, não é raro que as normas internas estabelecidas se tornem desatualizadas em poucos meses. Incorporar um mecanismo de revisão regular no sistema de operação desde o início é a chave para alcançar uma verdadeira governança sob a legislação japonesa.

Especificamente, num ciclo trimestral ou semestral, os resultados do monitoramento da situação operacional são verificados e a adequação das normas é reavaliada. Durante a revisão, é essencial examinar se há divergências em relação às diretrizes mais recentes do governo japonês (Gabinete, Ministério da Economia, Comércio e Indústria, etc.), se surgiram novas decisões judiciais sobre direitos autorais de produtos gerados por IA, ou se houve alterações nos termos dos serviços de IA utilizados.

Além disso, a revisão regular não deve ser concluída apenas pelos departamentos jurídico ou de TI. É necessário estabelecer reuniões de discussão que incluam representantes do campo prático, criando um sistema para captar desafios operacionais e evitar que as normas se tornem obsoletas. Quando as normas são atualizadas como resultado da revisão, as alterações e suas razões devem ser comunicadas rapidamente a todos os funcionários, e a reeducação deve ser realizada conforme necessário. Ao continuar este ciclo, a literacia em IA de toda a organização será mantida sempre atualizada.

Pontos-Chave das Normas Internas de IA que Sustentam a Operação no Local

Normas internas de IA eficazes não devem ser meramente uma lista de proibições. Elas devem servir como um guia para os funcionários em momentos de dúvida e funcionar como um escudo que protege legalmente a organização. Vamos explicar os quatro pilares que devem ser incluídos especificamente.

Formação de Consenso Através da Clarificação de Objetivos e Âmbito de Aplicação

No início das normas, deve-se declarar de forma positiva o “objetivo” de por que a empresa está a adotar IA e que valor pretende criar. Isto não só envia uma mensagem de incentivo ao uso de IA para os funcionários, mas também estabelece uma base moral para prevenir o uso inadequado.

Além disso, o âmbito de aplicação deve ser claramente definido, abrangendo não apenas funcionários permanentes, mas também contratados, trabalhadores temporários e até mesmo o uso por parte de contratados externos. Especialmente quando contratados externos utilizam IA para entregar produtos, é necessário organizar a nível contratual onde reside a responsabilidade pela gestão da qualidade e pelo tratamento de direitos.

Obrigatoriedade de Educação e Formação e Reforço da Defesa Legal

Distribuir ou afixar normas internas por si só não cumpre adequadamente a responsabilidade de supervisão legal. Deve-se regulamentar a educação e formação sobre o uso de IA como uma “obrigação” e estabelecer um sistema onde apenas funcionários que concluíram a formação tenham permissão para utilizar a IA. Manter registros de formação de forma adequada é uma prova indispensável para a empresa alegar que “realizou supervisão e educação adequadas” caso um funcionário viole as regras e cause um acidente.

Na formação, além de conteúdos técnicos como a elaboração de prompts, são explicados com exemplos práticos a natureza das alucinações, pontos de atenção sob a lei de direitos autorais e exemplos concretos de obrigações de confidencialidade.

Especificação de Serviços Disponíveis e Erradicação de Shadow IT

Deve-se declarar que apenas “serviços autorizados” que a empresa verificou como seguros e com os quais celebrou contratos adequados podem ser utilizados para o trabalho. Isso elimina sistematicamente o Shadow IT que utiliza contas pessoais. Além disso, ao clarificar o fluxo de solicitação e aprovação para o uso de novos serviços ou plugins, é possível atender de forma flexível às necessidades do local enquanto se mantém a implementação sob controle. Aqui, proibir o uso de versões gratuitas como regra geral e limitar-se a planos corporativos onde os dados não são utilizados para aprendizagem é a forma mais segura de mitigação de riscos.

Exercício Adequado de Monitoramento e Autoridade de Auditoria

Para verificar se a operação está a ser realizada de forma adequada pela organização, deve-se estipular que a empresa tem o direito de registrar e visualizar os prompts de entrada e os resultados de saída dos funcionários, realizando auditorias conforme necessário. Isso não só funciona como um impedimento psicológico contra o uso inadequado, mas também desempenha um papel extremamente importante na investigação das causas e na prevenção da expansão de danos em caso de vazamento de informações. No entanto, ao realizar monitoramento, é importante notificar previamente o objetivo e o âmbito para garantir transparência, mantendo assim a relação de confiança com os funcionários.

É também crucial o design geral de como integrar cada um desses itens com os regulamentos de trabalho existentes, normas de confidencialidade ou regulamentos de uso de TI. Deve-se estabelecer normas independentes específicas para IA, garantindo a coerência legal, como vincular violações graves às disposições disciplinares dos regulamentos de trabalho.

Conclusão: Estabelecer Regulamentos Internos de IA para Maximizar o Valor da IA

Para transformar a IA em uma força dentro da organização, o mais importante não é o orçamento para implementar os modelos mais recentes, mas sim a “capacidade de gestão humana” e a “governança organizacional” para utilizá-los corretamente.

Os cinco passos explicados neste artigo são elementos indispensáveis para criar “regras vivas que permeiam o ambiente de trabalho”. A implementação sem envolvimento pode trazer uma eficiência temporária, mas o que sustenta o crescimento contínuo é a postura sincera de buscar constantemente o equilíbrio entre segurança jurídica e conveniência sob as práticas de gestão japonesas.

Orientações Sobre as Medidas do Nosso Escritório

O Escritório de Advocacia Monolith é uma firma com vasta experiência tanto em TI quanto em direito, especialmente no que diz respeito à Internet. No Japão, os negócios de IA apresentam muitos riscos legais, tornando essencial o suporte de advogados familiarizados com questões legais relacionadas à IA. Nosso escritório oferece suporte jurídico avançado para negócios de IA que utilizam ferramentas como o ChatGPT, através de uma equipe composta por advogados e engenheiros especializados em IA. Oferecemos serviços como elaboração de contratos, análise da conformidade dos modelos de negócios, proteção de direitos de propriedade intelectual, adequação à privacidade e desenvolvimento de regulamentos internos de IA. Detalhes adicionais estão disponíveis no artigo abaixo.