Documentos privados com IA: como decidir o que pode sair do perímetro e o que exige revisão

A decisão não é apenas «documento privado, sim ou não»

Um contrato, um processo de recursos humanos, um relatório de engenharia ou um ficheiro de cliente podem conter informações com sensibilidades muito diferentes. Uma pesquisa interna também não apresenta o mesmo risco que a extração de campos para pré-preencher um ecrã, um resumo para orientar um analista ou uma classificação que desencadeie uma consequência operacional. Por isso, a primeira decisão útil não é escolher entre uma API externa e um modelo executado em infraestrutura própria. É descrever que transformação se pretende realizar, com que dados, quem receberá o resultado e o que acontece se esse resultado estiver incorreto ou for divulgado.

O Regulamento Geral sobre a Proteção de Dados estabelece princípios de limitação das finalidades, minimização dos dados, limitação da conservação e proteção de dados desde a conceção e por defeito. Num fluxo de IA, estes princípios obrigam a justificar a inclusão de cada parte do documento e de cada dado associado. Não basta que o documento esteja disponível para a equipa ou que exista uma relação contratual com um fornecedor: o fluxo concreto deve ter uma finalidade delimitada, dados pertinentes e controlos proporcionais ao risco.

Convém separar dois planos. O primeiro é factual: que texto, ficheiros, metadados, instruções e registos circulam pelo sistema. O segundo é decisório: que utilização é permitida para cada resultado e que pessoa ou processo assume a validação. Esta separação evita confundir uma capacidade técnica, como produzir um resumo, com autorização para utilizar esse resumo numa decisão sobre uma pessoa, uma obrigação contratual ou uma operação.

A pergunta inicial pode ser formulada desta forma: qual é a ação posterior, é reversível e qual seria o impacto de um erro? Uma resposta que apenas ajuda a localizar uma cláusula pode exigir controlos diferentes de um resultado que altera um processo, rejeita um pedido, prioriza uma investigação ou é incorporado numa comunicação externa. A reversibilidade não elimina o risco, mas ajuda a estabelecer o nível de revisão e as condições de paragem.

Construa um inventário mínimo do fluxo, não apenas do ficheiro original

O documento original é apenas um componente. Um documento digitalizado pode passar por reconhecimento ótico de carateres; o texto extraído pode conservar cabeçalhos, notas, tabelas e erros de leitura; uma aplicação pode acrescentar instruções, resultados de pesquisas anteriores, anexos e metadados de utilizador. Depois, o pedido pode gerar rastos técnicos, métricas, cópias temporárias, registos de auditoria e um resultado que outro sistema armazena ou reencaminha. Um inventário que enumera apenas o PDF não permite avaliar a exposição real.

Registe, para cada componente, a sua origem, titular ou área responsável, classificação, localização, destinatários técnicos, período de conservação e possibilidade de acesso humano. Inclua o texto inserido nas instruções, os fragmentos recuperados a partir de um índice, as ferramentas chamadas pelo modelo e os sistemas de observabilidade. Os registos podem ser necessários para investigar incidentes, mas também podem replicar informação sensível; devem ser concebidos com o mesmo critério de minimização do pedido principal.

O NIST recomenda gerir os riscos da IA generativa através de governação, mapeamento, medição e gestão. Aplicado a este caso, o inventário não é uma tarefa administrativa isolada: permite saber que componentes devem ser avaliados, quem controla cada etapa e que evidência pode reconstruir a produção de um resultado. Também facilita a deteção de alterações relevantes, como uma nova versão de OCR, um modelo diferente, um conector adicional ou uma alteração da política de retenção.

A classificação deve ser específica. «Confidencial» pode ser um rótulo útil, mas não distingue entre um segredo técnico, dados de contacto, uma avaliação de desempenho, informação de saúde ou um documento que contenha ambas as categorias. Classifique igualmente os anexos e os metadados. O nome de um ficheiro, um caminho interno, um identificador de assunto, uma data ou o nome de um projeto podem revelar tanto como um parágrafo do corpo do documento.

Quatro padrões de processamento e o critério para escolhê-los

O processamento direto com controlos pode ser proporcionado quando a finalidade exige o conteúdo completo, o acesso é limitado, o ambiente está autorizado para essa categoria de informação e o resultado não desencadeia, por si só, uma consequência material. Os controlos não são um complemento posterior: incluem autenticação, permissões por função, cifragem em trânsito e em repouso quando aplicável, configuração de retenção, separação de ambientes, registo de acessos e testes de que a aplicação não inclui dados desnecessários no pedido.

A minimização ou pseudonimização prévia procura reduzir a exposição antes do processamento. Pode consistir em eliminar colunas irrelevantes, substituir identificadores por referências, retirar dados de contacto ou fornecer apenas os campos necessários. A pseudonimização pode reduzir o impacto de uma exposição, mas não equivale necessariamente a anonimização. As orientações do Comité Europeu para a Proteção de Dados, publicadas para consulta pública, sublinham que a informação adicional, os quase-identificadores e o contexto são relevantes para avaliar a possibilidade de atribuição ou reidentificação.

A segmentação e o envio seletivo são adequados quando a tarefa permite trabalhar com uma secção, uma tabela ou campos concretos. Por exemplo, para localizar a data de renovação de um contrato, pode não ser necessário enviar anexos comerciais, assinaturas, dados bancários ou o restante processo. Porém, dividir o documento não garante isolamento: vários fragmentos, um identificador estável ou a acumulação de consultas podem revelar o contexto que se pretendia limitar.

O processamento num ambiente controlado ganha relevância quando a informação não pode sair de um perímetro definido, quando o documento completo é necessário, quando o risco de reidentificação continua elevado ou quando um resultado tem impacto elevado. Este padrão pode envolver infraestrutura própria ou um ambiente com limites técnicos e organizacionais específicos, mas a sua designação não demonstra, por si só, que é adequado. É necessário verificar configurações, acessos, retenções, componentes ligados e capacidade de auditoria. O guia sobre modelos locais pode ajudar a analisar as implicações técnicas de operar componentes na própria infraestrutura; não substitui a análise do fluxo nem elimina os riscos relativos a permissões, registos ou integrações.

Aplique uma árvore de decisão de acordo com a finalidade

A pesquisa costuma admitir uma arquitetura diferente da classificação. Na pesquisa, o objetivo pode ser devolver documentos ou passagens candidatas; o resultado não deve ser apresentado como resposta definitiva se a recuperação estiver incompleta. Para resumir, é necessário definir a audiência, a extensão, os factos que devem ser preservados e as proibições: um resumo pode omitir exceções, condições ou discrepâncias relevantes. Para a extração estruturada, defina o esquema de campos, a evidência textual que sustenta cada valor e o tratamento da ausência, ambiguidade ou conflito.

Na classificação, especifique que classe é atribuída, que sinais são aceites e o que acontece nos casos limítrofes. Uma etiqueta de prioridade, risco ou estado pode condicionar trabalho posterior, mesmo que não seja uma decisão final. Para rascunhos, determine que partes o sistema pode redigir, que informação não deve inventar e quem revê o tom, a exatidão, o destinatário e os dados incluídos antes de enviar ou publicar.

Um critério prático é verificar se a finalidade exige o documento completo. Se não exigir, reduza o conteúdo. Se exigir o conteúdo completo, mas o resultado for informativo e passível de revisão, considere um ambiente autorizado com controlos de acesso e registo. Se o resultado puder produzir uma consequência material ou for difícil de corrigir, não transforme o resultado numa ação automática sem uma avaliação específica, uma condição clara de validação e mecanismos para interromper o fluxo.

A escolha de ferramentas não deve ser confundida com esta classificação. Um modelo de OCR pode ser útil para obter texto de um documento digitalizado, e um modelo leve pode servir para uma classificação delimitada, mas ambos fazem parte de um sistema que também inclui armazenamento, permissões, instruções, registos e utilização posterior. Em particular, integrar Mistral OCR 4.1 ou Amazon Nova 2 Lite não permite concluir, por si só, que dados estão autorizados, que retenção é aplicada ou se o resultado é adequado para uma decisão. Estas questões devem ser verificadas na configuração e na documentação do fluxo.

A minimização não elimina o risco de reidentificação nem de inferência

Eliminar nomes, moradas ou números de identificação pode ser útil, mas não basta para concluir que o conteúdo é anónimo. Uma combinação de cargo, data, localidade, montante, incidente descrito, fornecedor e nome de projeto pode identificar indiretamente uma pessoa ou revelar uma negociação concreta. A informação adicional pode estar no mesmo sistema, numa tabela de correspondências ou até no conhecimento disponível para as pessoas que recebem o resultado.

Existem também dados inferidos. Um resumo de ausências, uma classificação de risco ou uma extração de condições pode revelar informação que não aparece como identificador direto. Do mesmo modo, os metadados de acesso podem mostrar que um utilizador consultou um caso sensível. Avalie tanto o conteúdo enviado como aquilo que pode ser deduzido do resultado, da frequência das consultas e da combinação com outras fontes internas.

A avaliação deve incluir ataques e falhas plausíveis: uma instrução mal concebida que arrasta um documento inteiro, uma pesquisa que recupera conteúdo de outro assunto, um rasto que conserva texto em claro, permissões demasiado amplas, uma ferramenta ligada que recebe mais contexto do que o necessário ou uma pessoa que confia numa extração errada. Testes com documentos difíceis — digitalizações, tabelas, anexos, contradições e conteúdo que não deve circular — são mais representativos do que uma demonstração com exemplos limpos.

A orientação do INCIBE recomenda rever o fornecedor e as suas políticas de privacidade, utilizar ligações seguras e tirar partido das configurações de privacidade. Para equipas profissionais, isto deve traduzir-se em verificações documentadas e técnicas, não numa aceitação genérica. Determine quem opera cada componente, que acessos são possíveis, que configurações foram ativadas, durante quanto tempo se conservam pedidos e resultados, e como se verifica a eliminação quando a finalidade termina.

Defina quando o resultado assiste e quando a revisão humana é obrigatória

A revisão humana não consiste em colocar uma pessoa no fim do ecrã. Essa pessoa deve ter autoridade, informação suficiente e tempo para detetar erros. Numa extração de campos, isto pode exigir a visualização do fragmento original que sustenta cada valor. Num resumo, pode exigir a comparação do rascunho com secções críticas. Numa classificação, pode exigir compreender a regra aplicada, os dados utilizados e as alternativas possíveis. Sem estas condições, a revisão corre o risco de ser meramente formal.

Como regra conservadora, trate o resultado como assistência quando organiza, recupera, propõe ou pré-preenche. Aumente o controlo quando o resultado puder afetar emprego, acesso a serviços, obrigações contratuais, pagamentos, segurança, direitos de uma pessoa, comunicações externas ou decisões difíceis de reverter. Além do impacto, considere a incerteza do documento: digitalizações deficientes, manuscritos, tabelas complexas, anexos, linguagem condicional e contradições internas reduzem a fiabilidade operacional.

Defina condições de paragem antes de automatizar. Entre elas incluem-se a falta de evidência textual, uma resposta fora do esquema permitido, conflito entre campos, baixa qualidade de OCR, ausência de uma revisão exigida, presença de categorias excluídas ou alterações não aprovadas no modelo, nas instruções ou nos conectores. Uma condição de paragem deve produzir uma ação concreta: bloquear a publicação, enviar para revisão, pedir informação adicional ou retirar o elemento da fila automática.

O perfil do NIST sobre IA generativa identifica riscos ligados à privacidade, à fuga de informação, à rastreabilidade, a conteúdo incorreto e ao excesso de confiança humana. Não obriga, por si só, a uma arquitetura concreta, mas oferece uma base para não avaliar apenas a exatidão média. Um sistema pode acertar na maioria dos documentos e, ainda assim, ser inadequado se os seus erros forem opacos, difíceis de detetar ou concentrados nos casos de maior impacto.

Transforme os controlos em verificações comprováveis

Os controlos devem poder ser verificados antes e depois da implementação. Quanto ao acesso, confirme que apenas as funções necessárias podem ver o original, os fragmentos, os resultados e os registos. Quanto ao isolamento, teste que uma consulta sobre um assunto não recupera conteúdo de outro. Quanto à retenção, confirme o que acontece a ficheiros temporários, filas, caches, índices e rastos. Quanto à eliminação, defina o âmbito: apagar um ecrã não significa necessariamente apagar cópias de trabalho ou registos associados.

A rastreabilidade deve permitir reconstruir um resultado sem conservar mais conteúdo do que o necessário. Registe identificadores internos, versão do documento, transformação aplicada, versão de OCR ou do modelo, modelo de instruções, regras de recuperação, data, operador técnico e decisão humana posterior. Associe essa evidência a controlos de acesso. Registar o texto integral de cada pedido pode ser desproporcionado para algumas finalidades; uma alternativa é guardar referências, impressões digitais ou excertos limitados quando permitam investigar sem multiplicar o conteúdo exposto.

Inclua testes de fuga de dados e de comportamento adversarial. Tente recuperar fragmentos de outro processo, introduzir instruções contidas no documento para verificar que não alteram o fluxo, confirmar que os resultados respeitam campos proibidos e testar a resposta perante erros de OCR. Teste o plano de incidente: quem pode interromper o processamento, como se revogam acessos, como se preserva evidência e como se avalia o âmbito sem ampliar desnecessariamente a exposição.

O controlo contratual e a configuração técnica complementam-se. Um acordo pode delimitar responsabilidades, mas não substitui permissões mínimas, testes de retenção ou revisão de integrações. Inversamente, uma configuração correta não resolve uma finalidade indefinida. Este guia é operacional e não substitui a análise jurídica aplicável nem uma avaliação de impacto quando esta for necessária.

Utilize um modelo de decisão para cada fluxo documental

Um modelo breve obriga a tornar explícitas as decisões e facilita que produto, segurança, operações e jurídico discutam o mesmo objeto. Deve ser preenchido por fluxo, e não para uma ferramenta abstrata. Por exemplo, «resumir processos» pode abranger dados, finalidades e consequências tão diferentes que uma autorização genérica perde utilidade. Se existirem várias etapas, documente cada uma: OCR, indexação, recuperação, geração, armazenamento do resultado e ação posterior.

Inclua, no mínimo: finalidade; categoria e origem dos dados; anexos e metadados incluídos; conteúdo expressamente excluído; transformação prévia; ambiente autorizado; entidades que operam cada componente; resultado permitido; destinatários; período de conservação; responsável pela validação; evidências a conservar; condições de paragem; e procedimento de incidente. Quando uma decisão depender de uma afirmação contratual ou técnica de terceiros, indique que evidência foi revista e quando, em vez de pressupor que a condição se mantém estável.

Há incertezas que o modelo não resolve sozinho. A documentação disponível pode não descrever completamente o comportamento de todos os componentes; uma política de retenção pode variar consoante a configuração; e a capacidade de reidentificação depende de informação adicional e do contexto organizacional. Os riscos também mudam quando são acrescentados conectores, se reutilizam resultados ou se alarga a audiência. Por isso, a decisão deve ser revista após alterações materiais e depois de incidentes ou conclusões de testes.

O resultado pretendido não é eliminar toda a exposição, algo que pode ser inviável para certas finalidades, nem adotar automaticamente um modelo local. É poder justificar uma escolha proporcional: que informação é processada, porque é necessária, que controlos limitam a exposição, que resultado pode ser utilizado e quando uma pessoa deve interromper ou validar o fluxo. Para aprofundar a análise de opções, convém relacionar esta decisão com o índice de escolha de soluções e com os guias internos de segurança, mantendo a unidade de avaliação no fluxo documental concreto.

Continue a explorar

Correções e transparência

Se encontrar informação incorreta ou desatualizada, envie-nos a página e a fonte que devemos rever.