13 de outubro de 2025 - Cyber security
A IA traz consigo tantas oportunidades como riscos. Quanto mais se desenvolve, mais é utilizada indevidamente para ciberataques. É por isso que os reguladores já estão a responder com regras rigorosas e as organizações estão a recorrer à formação de sensibilização para a IA para os seus funcionários.
Neste artigo, explicaremos como a IA cria novas ameaças, porque é necessária formação e como podes implementar uma formação eficaz.
A IA introduz novos riscos para as organizações
Como se já não tivéssemos ameaças suficientes com que lidar, a tecnologia de IA transformou o cenário de ameaças tal como o conhecíamos. Os atacantes podem tirar partido da IA para escalar e aperfeiçoar os seus ataques, enquanto os funcionários sem formação podem expor inadvertidamente dados sensíveis.
Como Jeff Crume da IBM diz no vídeo abaixo, parece que não podemos ter coisas boas como a IA.
Apresentamos-te três riscos fundamentais decorrentes da IA.
Engenharia social e phishing com IA
Os e-mails phishing tradicionais eram muitas vezes fáceis de detetar devido à linguagem pobre ou à falta de personalização. A IA permite agora que os cibercriminosos gerem mensagens convincentes e personalizadas em grande escala. Pensa em e-mails ou chats que imitam perfeitamente o tom de voz de um colega ou cliente.
Então, como é que isto funciona? Pensa num modelo de IA que analisa todas as tuas publicações nas redes sociais para descobrir o teu estilo de escrita, personalidade, passatempos e assim por diante. Com esta informação, escrever um e-mail que pareça ter vindo de ti torna-se muito mais fácil.
Descobre vulnerabilidades com a ajuda do ChatGPT
Tarefas que anteriormente exigiam hackers qualificados, como codificar malware ou encontrar vulnerabilidades, podem agora ser (parcialmente) tratadas por ferramentas de IA. Em 2024, a OpenAI confirmou que o ChatGPT tinha sido utilizado indevidamente para desenvolver malware e evitar a deteção. Isto significa que os ataques podem ser executados mais rapidamente e em maior escala, mesmo por criminosos menos qualificados. Não há necessidade de passar dias ou semanas a escrever malware, quando a IA pode ajudar-te a fazê-lo numa questão de horas.
Deepfakes e desinformação gerada por IA
Uma das aplicações de IA mais perigosas é o deepfake: fabricações hiper-realistas de áudio ou vídeo do rosto ou da voz de alguém. Os deepfakes podem ser utilizados para se fazer passar por um CEO ou cliente e cometer fraudes. Em 2024, os burlões tentaram fazer-se passar pelo diretor executivo da WPP utilizando um deepfake numa chamada para a Teams. O incidente mostrou como as fraudes de deepfake podem ser convincentes e os danos que podem causar.
Estes ataques também acontecem em ambientes privados. Cada vez mais, os cibercriminosos utilizam os conteúdos das redes sociais para criar deepfakes dos pais ou dos filhos das pessoas, enganando as vítimas para que lhes enviem dinheiro. Imagina: recebes uma chamada e ouves a voz da tua filha, em pânico, a pedir ajuda. Hesitarias? A maioria das pessoas não hesitaria. Simplesmente não estamos habituados a questionar se uma cara - ou voz - familiar pode ser falsa.
A importância da formação de sensibilização para a IA
Os funcionários são frequentemente considerados o elo mais fraco de uma estratégia de cibersegurança. É por isso que muitas empresas dão formação aos seus funcionários sobre os temas mais tradicionais security awareness . Como a privacidade, as palavras-passe e, claro, phishing.
Mas em muitos desses programas de formação um pouco desactualizados, a IA não é tida em conta.
security awareness de IA foca especialmente nas ameaças de IA, para garantir que os seus funcionários possam reconhecer e reportar essas ameaças quando as encontrarem. E isso é super importante, porque a maioria de nós acha que é melhor a reconhecer ameaças do que realmente é. Não achamos que somos suscetíveis a phishing o gestor de TI decida lançar uma phishing e preenchamos os nossos dados bancários.
A maioria das soluções de formação de security awareness oferece conteúdos de formação desactualizados, e é fundamental garantir que não está a oferecer esses mesmos conteúdos desactualizados aos seus funcionários. Porque os cibercriminosos estão a estudar novas tácticas todos os dias.
Porque é que a formação em conformidade com a IA é necessária
Com todos os riscos que a IA acarreta, os reguladores começaram a introduzir regras rigorosas relacionadas com a IA. Isso força as organizações que desejam usar a IA a garantir práticas seguras, transparentes e responsáveis. É por isso que elas recorrem ao treinamento de conformidade com a IA.
O fator mais significativo é a Lei da IA da UE, o novo regulamento europeu sobre IA. A lei adopta uma abordagem baseada no risco e impõe várias obrigações. O artigo 4.º exige que os fornecedores e utilizadores de sistemas de IA assegurem uma literacia suficiente em matéria de IA entre o seu pessoal. Por outras palavras: dá formação aos teus empregados para que compreendam os riscos, as oportunidades e as responsabilidades da IA. Este requisito de "literacia em IA" entra em vigor a partir de fevereiro de 2025, antes da implementação total do AI Act em 2026. O tempo está a passar para desenvolveres conhecimentos internos de IA.
A formação em conformidade com a IA familiariza o pessoal (e a liderança) com tópicos essenciais como:
- Categorias de risco (por exemplo, identificar se um sistema de IA é de "alto risco")
- Requisitos de transparência (informar os utilizadores quando estão a interagir com a IA)
- Alinhamento com a política de privacidade (RGPD) (e como lidar com dados pessoais quando se trata de IA)
- Medidas de segurança (por exemplo, supervisão humana, pistas de auditoria)
A Lei da IA prevê algumas sanções pesadas se as organizações não cumprirem, até 7% do volume de negócios global. Estas multas são mais elevadas do que as actuais sanções do RGPD, que levaram as organizações a investir muito na sua infraestrutura de privacidade no passado.
Dicas práticas para a implementação de formação de sensibilização e conformidade em IA
- Mapeia os riscos da IA e define políticas claras: Identifica onde e como a tua organização utiliza a IA e quais os riscos envolvidos. Define regras internas (por exemplo, ferramentas de IA aprovadas).
- Adapta por função: Personaliza a formação para diferentes audiências: mergulhos profundos para programadores, dicas práticas de deteção para o pessoal em geral e foco na governação para a liderança.
- Torne-o contínuo e envolvente: use gamificação, simulações e microaprendizagem regular para manter a consciência sobre IA atualizada e envolvente.
- Testa e aperfeiçoa: Executa testes phishing com elementos de IA, recolhe feedback e actualiza a formação regularmente.
- Documenta tudo: Mantém registos da conclusão da formação e das políticas para demonstrar a conformidade em caso de auditoria.
Por último, mas não menos importante, certifica-te de que o programa de formação que estás a realizar inclui um módulo de IA. O Guardey tem este módulo e permite-te fazer tudo o que foi dito acima. Com desafios curtos e semanais, os utilizadores aprendem sobre as últimas ameaças de IA, como os deepfakes.
Conclusão
A IA já não é uma preocupação futura - é a realidade de hoje. Quer seja através de phishing avançado, malware ou deepfakes, os ataques conduzidos por IA estão aqui. Os reguladores também estão a elevar a fasquia, com o AI Act da UE a estabelecer novas normas de conformidade.
Se pretendes combater as ameaças da IA e cumprir a Lei da IA da UE, considera experimentar o Guardey. Durante uma avaliação gratuita de 14 dias, podes experimentar o programa de formação gamificado juntamente com os teus colegas. Também podes contactar-nos para uma demonstração aprofundada.
Agenda uma demonstração com um especialista Guardey
