Quais são os riscos de fuga de informação do ChatGPT? Apresentamos 4 medidas a tomar

O “ChatGPT”, que tem vindo a captar a atenção recentemente, é uma IA generativa que está a ser destacada em várias áreas, uma vez que é capaz de criar manuscritos, programar, gerar partituras e até desenhar.

O GPT do ChatGPT significa “Generative Pre-training Transformer”, e é capaz de realizar conversas naturais semelhantes às humanas, após pré-aprender uma grande quantidade de dados de texto, imagens e áudio (com extensões).

Devido à sua capacidade de lidar com tarefas complexas, o ChatGPT tem sido destacado como uma ferramenta que pode oferecer eficiência no trabalho e um alto desempenho de custo. A utilização do ChatGPT já está avançada em várias áreas, e muitas empresas de tecnologia estão a movimentar-se para lançar os seus próprios sistemas de IA.

Enquanto se antecipam muitas oportunidades de negócio com tecnologias de IA como o ChatGPT, também são apontados riscos potenciais, como problemas de direitos autorais, disseminação de informações falsas, vazamento de informações confidenciais, questões de privacidade e a possibilidade de serem usados em ataques cibernéticos.

Neste artigo, um advogado irá explicar as medidas que devem ser tomadas, focando-se nos riscos de vazamento de informações associados ao uso do ChatGPT.

Riscos de Fuga de Informação Relacionados com o ChatGPT

Os riscos associados à implementação do ChatGPT nas empresas incluem principalmente os seguintes quatro pontos:

• Riscos de segurança (fuga de informação, precisão, vulnerabilidade, disponibilidade, etc.)
• Riscos de violação de direitos de autor
• Riscos de uso malicioso (ataques cibernéticos, etc.)
• Desafios éticos

O risco de fuga de informação relacionado com o ChatGPT refere-se ao perigo de informações confidenciais inseridas no ChatGPT serem expostas a funcionários da OpenAI ou a outros utilizadores, ou serem utilizadas como dados de treino.

De acordo com a política de utilização de dados da OpenAI, a menos que se passe pela API do ChatGPT ou se solicite a opção de “opt-out”, os dados inseridos pelos utilizadores no ChatGPT podem ser recolhidos e utilizados (para aprendizagem) pela OpenAI (explicaremos mais detalhadamente mais à frente).

Casos de Fuga de Informação Ligados ao Uso do ChatGPT

Aqui, apresentaremos casos em que a utilização do ChatGPT levou à fuga de informações pessoais registadas e de informações confidenciais inseridas.

Casos de Fuga de Informações Pessoais

No dia 24 de março de 2023, a OpenAI anunciou que, devido a um bug que fazia com que informações pessoais de alguns utilizadores, incluindo os últimos quatro dígitos do número do cartão de crédito e a data de validade do cartão, fossem exibidas a outros utilizadores, o ChatGPT foi temporariamente desligado no dia 20 de março. Foi revelado que as informações pessoais que vazaram pertenciam a uma parte dos subscritores do plano pago “ChatGPT Plus” (cerca de 1,2% dos membros).

Além disso, foi também anunciado que, simultaneamente a este bug, existia outro que fazia com que o histórico de chat de outros utilizadores fosse exibido no histórico de chat.

Em resposta a isso, no dia 31 de março de 2023, a autoridade de proteção de dados da Itália emitiu uma ordem de melhoria impondo restrições temporárias ao processamento de dados dos utilizadores italianos pela OpenAI, alegando que faltava uma base legal para a coleta e armazenamento de dados pessoais pelo ChatGPT para fins de aprendizagem. A OpenAI bloqueou o acesso ao ChatGPT a partir da Itália, que foi posteriormente levantado no dia 28 de abril do mesmo ano, após a OpenAI ter melhorado o tratamento dos dados pessoais.

Casos de Fuga de Informações Confidenciais Internas

Em fevereiro de 2023, a empresa de cibersegurança dos EUA Cyberhaven divulgou um relatório sobre o uso do ChatGPT a clientes corporativos.

De acordo com o relatório, dos 1,6 milhões de trabalhadores de empresas clientes que usam produtos Cyberhaven, 8,2% dos trabalhadores do conhecimento usaram o ChatGPT no trabalho pelo menos uma vez, e 3,1% deles inseriram dados confidenciais da empresa no ChatGPT.

Além disso, num caso na Coreia do Sul, a mídia coreana “Economist” relatou no dia 30 de março de 2023 que, após uma divisão interna da Samsung Electronics ter permitido o uso do ChatGPT, ocorreu um incidente em que informações confidenciais foram inseridas.

A Samsung Electronics, apesar de ter emitido alertas de segurança da informação interna, relatou que houve funcionários que inseriram código-fonte de programas e conteúdos de reuniões no ChatGPT.

Neste contexto, enquanto alguns países e empresas estão impondo restrições ao uso do ChatGPT, outros estão adotando políticas de incentivo ao seu uso. Ao considerar a implementação do ChatGPT, é essencial compreender o risco de fuga de informações.

Quatro medidas para prevenir a fuga de informações com o ChatGPT

Uma vez que ocorre uma fuga de informações, os danos não se limitam à responsabilidade legal; perdas de confiança e reputação também podem ser significativas. Por isso, é crucial estabelecer e manter um sistema de gestão de informações internas e promover a educação adequada para prevenir tais incidentes.

A seguir, gostaríamos de apresentar quatro medidas para prevenir a fuga de informações utilizando o ChatGPT.

Medida 1: Estabelecimento de Regras de Utilização

Primeiramente, é crucial decidir a posição da sua empresa em relação ao ChatGPT e incorporar no regulamento interno as disposições relativas à sua utilização. É importante estabelecer e operacionalizar regras claras, como a proibição de inserir informações pessoais e confidenciais.

Nesse contexto, seria aconselhável desenvolver um guia de utilização do ChatGPT específico para a sua empresa. Além disso, deve-se incluir cláusulas relacionadas ao uso do ChatGPT nos contratos com terceiros.

No dia 1 de maio de 2023 (Reiwa 5), a Associação Japonesa de Aprendizagem Profunda (JDLA) compilou os pontos de discussão sobre os desafios éticos, legais e sociais (ELSI) do ChatGPT e publicou as “Diretrizes de Utilização de IA Gerativa”.

Os setores acadêmico, industrial e governamental também estão começando a considerar o desenvolvimento de diretrizes. Ao referenciar estas e criar um guia de utilização do ChatGPT claramente definido para a sua empresa, pode-se esperar mitigar certos riscos.

Referência: Associação Japonesa de Aprendizagem Profunda (JDLA) | Diretrizes de Utilização de IA Gerativa[ja]

Contudo, as diretrizes estabelecidas não terão significado se não forem amplamente conhecidas e rigorosamente implementadas. Por si só, as diretrizes são insuficientes como medida de proteção.

Medida 2: Estabelecer um sistema para prevenir a fuga de informações

Como medida para prevenir erros humanos, é possível introduzir um sistema chamado DLP (Data Loss Prevention), que previne a fuga de dados específicos, impedindo assim a transmissão e cópia de informações confidenciais.

O DLP é um sistema que monitoriza constantemente os dados, em vez dos utilizadores, identificando e protegendo automaticamente informações confidenciais e dados importantes. Ao utilizar o DLP, se informações secretas forem detetadas, é possível notificar com um alerta ou bloquear a operação.

É possível prevenir de forma segura a fuga de informações internas enquanto se mantém baixo o custo de gestão. No entanto, é necessária uma compreensão avançada dos sistemas de segurança, e a implementação pode ser desafiadora para empresas sem um departamento técnico.

Medida 3: Utilizar ferramentas para prevenir a fuga de informação

Como mencionado anteriormente, uma medida preventiva direta é recusar a recolha de dados inseridos no ChatGPT ao solicitar o “opt-out”.

É possível solicitar o “opt-out” a partir do ecrã de configurações do ChatGPT. No entanto, ao fazer o “opt-out”, o histórico de prompts deixa de ser guardado, o que pode ser inconveniente para muitos utilizadores.

Além da configuração de “opt-out”, existe a opção de implementar ferramentas que utilizam a “API” do ChatGPT.

A “API” (Application Programming Interface) é uma interface disponibilizada pela OpenAI que permite integrar o ChatGPT em serviços próprios ou ferramentas externas. A OpenAI declara que não utiliza as informações inseridas ou recebidas através da “API” do ChatGPT para desenvolver ou melhorar os seus serviços.

Este ponto está explicitamente mencionado nos termos de uso do ChatGPT. De acordo com os termos de uso,

3. Conteúdo

(c) Uso do conteúdo para melhorar o serviço

Não utilizamos o Conteúdo que nos fornece ou que recebe da nossa API (“Conteúdo da API”) para desenvolver ou melhorar os nossos Serviços. 

Podemos utilizar o Conteúdo de Serviços que não são da nossa API (“Conteúdo Não-API”) para ajudar a desenvolver e melhorar os nossos Serviços.

 Se não desejar que o seu Conteúdo Não-API seja utilizado para melhorar os Serviços, pode optar por não participar preenchendo este formulário. Note que, em alguns casos, isto pode limitar a capacidade dos nossos Serviços de atender melhor ao seu caso de uso específico.

Referência: Site Oficial da OpenAI｜Termos de Uso do ChatGPT

Medida 4: Realizar Formação Interna em Literacia Digital

Além das medidas que já apresentámos, é importante realçar a importância de realizar formações internas para aumentar a literacia em segurança dos colaboradores da empresa.

No caso da Samsung Electronics, apesar de terem sido feitos alertas internos sobre segurança da informação, o ato de inserir informações confidenciais levou a uma fuga de informação. Não basta apenas prevenir fugas de informação a nível de sistema, mas também é desejável realizar formações internas sobre conhecimentos relacionados com o ChatGPT e literacia digital em TI.

Resposta a uma Fuga de Informação Ocorrida no ChatGPT

É crucial agir prontamente na investigação dos factos e na implementação de medidas corretivas, caso ocorra uma fuga de informação.

Em caso de fuga de dados pessoais, é obrigatório reportar à Comissão de Proteção de Dados Pessoais, conforme estipulado pela Lei de Proteção de Dados Pessoais Japonesa. Também é necessário notificar a pessoa afetada sobre o incidente. Se a fuga de dados pessoais violar os direitos ou interesses de alguém, pode haver responsabilidade por danos civis. Além disso, se alguém roubar ou fornecer informações pessoais com intenções ilícitas, poderá ser responsabilizado criminalmente.

No caso de fuga de segredos comerciais ou informações técnicas, a Lei de Prevenção da Concorrência Desleal Japonesa permite exigir medidas como pedidos de eliminação à parte que recebeu as informações. Se a fuga de segredos comerciais ou informações técnicas permitir que a outra parte obtenha um benefício injusto, pode haver responsabilidade por danos civis. Além disso, se alguém adquirir ou usar segredos comerciais ou informações técnicas por meios ilícitos, poderá ser responsabilizado criminalmente.

Se a fuga de informação ocorrer devido à violação do dever de confidencialidade profissional, a pessoa responsável pode ser sujeita a responsabilidade criminal sob o Código Penal ou outras leis. Além disso, se a violação do dever de confidencialidade profissional causar danos a alguém, pode haver responsabilidade por danos civis.

Portanto, é necessário responder rapidamente de acordo com o tipo de informação que foi divulgada e é essencial ter um sistema preparado antecipadamente para tal.

Artigo relacionado: O que é a Divulgação de Informações que as Empresas Devem Fazer em Caso de Fuga de Informação[ja]

Artigo relacionado: O que fazer em caso de fuga de dados pessoais? Explicação das medidas administrativas que as empresas devem tomar[ja]

Conclusão: Preparar a sua empresa para os riscos de fuga de informação do ChatGPT

Aqui explicámos os riscos de fuga de informação associados ao ChatGPT e as medidas que devem ser tomadas. No mundo dos negócios com IA, que utiliza ferramentas em constante evolução como o ChatGPT, recomendamos que consulte um advogado experiente e conhecedor dos riscos legais para preparar antecipadamente as estruturas internas da sua empresa de acordo com esses riscos.

Não apenas em relação à fuga de informação, mas também no que diz respeito à legalidade dos modelos de negócios baseados em IA, à criação de contratos e termos de uso, à proteção de direitos de propriedade intelectual e ao cumprimento de privacidade, pode ficar tranquilo se colaborar com advogados que possuem conhecimento e experiência tanto em IA quanto em direito.

Apresentação das Medidas Adotadas pelo Nosso Escritório

O Monolith Escritório de Advocacia é uma firma com vasta experiência em IT, especialmente na interseção entre a Internet e o direito. Os negócios de IA acarretam muitos riscos legais e o apoio de advogados especializados em questões legais relacionadas com a IA é essencial. O nosso escritório oferece suporte jurídico avançado em negócios de IA, incluindo o ChatGPT, através de uma equipa de advogados e engenheiros especializados em IA, abrangendo a criação de contratos, análise da legalidade de modelos de negócios, proteção de direitos de propriedade intelectual e questões de privacidade. Mais detalhes podem ser encontrados no artigo abaixo.

Áreas de atuação do Monolith Escritório de Advocacia: Assuntos Jurídicos de IA (incluindo ChatGPT, etc.)[ja]