Episódio #365 – Café Segurança Legal

Notas do episódio

Neste episódio comentamos as falhas de comunicação durante desastres, a aprovação do AI Act na Europa e os bilionários investimentos dos EUA em inteligência artificial, onde você descobrirá os rumos da regulação. Guilherme Goulart e Vinícius Serafim aprofundam-se nos principais desafios da segurança da informação e cibersegurança atuais. O debate aborda desde a crítica à comunicação de crise durante as enchentes no Sul até a análise da nova regulação de IA da União Europeia, que impactará a privacidade e a proteção de dados globalmente. Discutimos também a corrida pela supremacia em inteligência artificial, os dilemas éticos em empresas como a OpenAI e o desenvolvimento de IAs ideológicas. Além disso, revisitamos um caso de fraude que expõe vulnerabilidades persistentes na gestão de incidentes no Brasil, mostrando a importância da continuidade de negócios. Para não perder futuras análises, siga o podcast, avalie nosso conteúdo e junte-se à conversa sobre riscos tecnológicos e ética digital. Ajude as vítimas de enchentes no RS (Sugestões de doações via PIX, Sugestões de outras instituições recebendo donativos) Visite nossa campanha de financiamento coletivo e nos apoie! Participe da Comunidade: Preencha a pesquisa “A voz do ouvinte do Segurança Legal” Conheça o Blog da BrownPipe Consultoria ShowNotes Conselho aprova Lei de Inteligência Artificial para harmonizar regras na UE AI Act em Português Nova funcionalidade de IA no Windows grava tudo o que você faz no seu computador Regulamento de Comunicação de Incidente de Segurança RESOLUÇÃO CD/ANPD Nº 15, DE 24 DE ABRIL DE 2024 Polícia encontra 700 dedos de silicone em autoescola da Grande SP Investimento bilionário em IA nos EUA Chat Xi PT: A IA com ideologia de Xi Jinping (TecMundo – FinancialTimes – TheDailyGuardian) OpenAI prioriza produtos brilhantes em detrimento da segurança I lost trust’: Why the OpenAI team in charge of safeguarding humanity imploded Bug no iOS 17.5 faz fotos apagadas reaparecerem Há 10 anos no Segurança Legal – Episódio #19 – DETRAN e os dedos de silicone 📝 Transcrição do Episódio (00:02) Bem-vindos e bem-vindas ao Café Segurança Legal, episódio 365, gravado em 24 de maio de 2024. Eu sou o Guilherme Goulart e, junto com Vinício Serafim, vamos trazer para vocês algumas das notícias das últimas semanas. E aí, Vinícius, tudo bem? Olá, Guilherme, tudo bem? Tudo certo. Olá aos nossos ouvintes. Este é o nosso momento de falarmos sobre algumas notícias e acontecimentos que nos chamaram a atenção, tomando um café de verdade. No caso, hoje estou tomando um chimarrão, Vinícius. Não peguei o café. (00:34) Pegue sua bebida. Quer ir lá pegar o café enquanto eu faço a apresentação aqui? Manda ver, eu vou lá, pego o café. Coloca só no meu vídeo, então. Vou colocar só você, pera aí. Pegue o seu café e vem conosco. Para entrar em contato com a gente, enviar suas críticas e sugestões, é muito fácil: basta enviar uma mensagem para podcast@segurancalegal.com ou, se preferir, também pelo Twitter no @segurancalegal e no Mastodon @segurancalegal@mastodon.social. (00:56) Já pensou em apoiar o projeto Segurança Legal? Acesse o site apoia.se/segurancalegal, escolha uma das modalidades de apoio e, entre os benefícios recebidos, você terá acesso ao nosso grupo de apoiadores lá no Telegram. (01:33) Não deixe também de visitar o blog da Brown Pipe, fica o link aqui no nosso show notes deste episódio, que é a empresa que mantém, junto com o apoio dos ouvintes, o podcast Segurança Legal já há 12 anos. Algumas das notícias que falaremos aqui hoje estão lá no blog da Brown Pipe. Lá também, se você quiser, pode assinar o nosso mailing semanal, no qual você recebe as principais notícias. Algumas das que nós falamos aqui vão antes para você no mailing. (02:11) E também, pessoal, fica o link para quem quiser fazer doações para o pessoal do Rio Grande do Sul. A situação ainda continua bastante complicada e delicada aqui, então, quem tiver interesse e puder, nós pedimos que faça uma doação. A gente separou ali alguns links, dos mais variados possíveis, para que você possa fazer a sua doação. Vinícius, lembrando que a água deu uma baixada, mas por algumas situações, inclusive mais um pouco de chuva, ela voltou a subir em alguns lugares, como em Porto Alegre. (02:49) O primeiro ponto não é bem uma notícia, mas a retomada de algo que a gente comentou no último episódio: a comunicação em caso de desastres. Um dos pontos que nós falamos no nosso último episódio acerca das enchentes foi justamente as falhas de comunicação do poder público aqui no Rio Grande do Sul, de maneira geral. Mas posso falar com mais propriedade aqui na cidade de Porto Alegre, onde eu moro. E ontem, o Vinícius falou que havia tido um aumento na água aqui na cidade, e nós acabamos sentindo isso porque, além do aumento em função da chuva excessiva que houve aqui, choveu cento e poucos milímetros, a gente notou essa falha na comunicação. (03:29) Mesmo diante do alerta de chuva, o poder público não avisou as pessoas e nem indicou quais potenciais áreas poderiam ser atingidas novamente. Algumas áreas voltaram a inundar e outras que não haviam inundado, inundaram pela primeira vez. Claro que não foi uma inundação vinda do Rio, foi um problema da incapacidade da cidade de levar o esgoto pluvial embora. (04:11) E aí retomando um dos elementos que a gente tratou no episódio passado, que é um problema de comunicação. É uma coisa bastante estranha, difícil a gente pensar que, com tanta tecnologia, na chamada era da informação, a gente ainda ter problemas com comunicação. Ou seja, o poder público, claro, arrebatado diante de tantas demandas, é necessário dizer, mas o poder público não consegue se comunicar de forma eficiente. Poderia, por exemplo, nesse momento, ter um canal, mesmo que fosse de áudio em uma frequência de rádio, ou um canal na própria internet. (04:43) Não só na internet, porque não é todo mundo que tem internet. Você tem problemas do próprio acesso à internet em desastres como esse, mas você pode muito bem ter um canal de rádio, por exemplo, mandando alertas públicos. A gente comentou também sobre um sistema de alertas de rádios que existe lá na Europa. Eu até comentei que você está ouvindo rádio, está ouvindo lá o teu Spotify e, de repente, cessa a tua reprodução de áudio e entra um alerta de algum acidente, um alerta de voz. (05:21) A gente falou sobre isso no último episódio e fiquei pensando como é que isso funciona. Fui um pouco mais atrás e achei o que eles chamam de RDS-TMC, que é o Radio Data System Traffic Message Channel, que se baseia numa norma europeia justamente para permitir o serviço de informações de trânsito pela via do rádio FM. Basicamente, é um serviço que possui uma lista de códigos, você tem um padrão, um protocolo, e essas mensagens são transmitidas via frequência FM. (06:01) Claro, o teu receptor precisa estar preparado para ler essa mensagem, mas é como se fosse um serviço de broadcast de rede, só que pela rede de FM mesmo, um canal de sinalização de dados em paralelo com a recepção. Você tem dois protocolos lá, que seriam o Alert+ e o TPEG. Inclusive, existe uma ISO para isso, a ISO 14819, justamente para regular o padrão dessas mensagens de código para tráfego. (06:44) E eles também têm o Traffic Announcement. Então, tem o RDS (Radio Data System) que recebe isso, e você tem o Traffic Message Channel, que são essas mensagens pequenas de texto que vão, por exemplo, alimentar um GPS seu sem conexão à internet para dizer que naquele local teve um acidente. E você ainda tem o Traffic Announcement ou Traffic Program, que faz aquela questão do rádio que eu falava. Ou seja, você está lá ouvindo o teu Spotify… claro, repito, o sistema de multimídia do carro precisa estar habilitado para receber essas mensagens. O pessoal da rádio vai mandar uma mensagem via RDS dizendo: “Olha, habilita o áudio do rádio porque aqui vai uma mensagem de emergência”. (07:22) Aí interrompe tudo, entra a mensagem de emergência e, terminada a mensagem, volta lá para você ouvir aquilo. Por que estamos falando sobre isso? Porque acho que, a partir de agora, a gente já pode começar a falar um pouco sobre isso, porque também tem a ver com segurança da informação. Pode não parecer no primeiro momento, mas a comunicação em situação de desastres é algo que qualquer plano de continuidade de negócios vai precisar se preparar. (08:01) E eu acredito que esse seja o momento, Vinícius, diante disso, já que as pessoas estão conscientizadas dessa possibilidade que pode voltar a ocorrer, que não só os governos de maneira geral precisam estar preparados para começar a lidar de forma séria com esse processo de comunicação para desastres. Nem me refiro às questões de evitar que isso ocorra, manutenção urbana e tudo mais, estou falando de comunicação mesmo. E as próprias empresas também precisam lidar com isso. (08:34) Para ter uma ideia, a gente até colocou uma foto aqui de como algumas cidades lidam com essa questão dos alertas. Tem uma foto da cidade de Lisboa com uma placa, se você puder colocar, Vinícius. Quem está nos acompanhando no YouTube vai ver uma placa falando sobre o risco de tsunami em uma determinada área em Lisboa. Porque houve lá em 1755 um terremoto que destruiu praticamente a cidade de Lisboa, depois veio um incêndio e, depois, um tsunami. Eu até não sei se houve outros tsunamis depois disso, acho que não. (09:12) Se tem alguém aí que sabe, pode nos avisar. Mas notem o cuidado e a preparação da cidade, para dar apenas algum exemplo. E aí, quando eu estava montando essa pauta, estava conversando com o Vinícius, ele disse que ouviu um podcast sobre sistemas de alertas também. É o episódio mais recente, até a presente data, do podcast Ciência Suja, que fala justamente sobre as barragens, e entra a história de Brumadinho. (09:49) Brumadinho é talvez a mais icônica, que todo mundo lembra pelo noticiário e tudo o que aconteceu lá, mas é muito interessante a análise que eles fazem do porquê isso acontece, das hipóteses pelas quais essas barragens são frágeis ou foram construídas assim, ou foram ficando frágeis. É muito interessante ouvir. E eles comentam sobre os planos de evacuação, e tem placas semelhantes a essa aí, que indicam rotas de fuga. Eu recomendo que você escute o episódio lá deles do Ciência Suja. (10:26) Uma das placas, segundo eles relataram (e ele estava em loco lá), eu estou falando rindo, mas não deveria estar rindo, é como se fosse uma piada, mas isso tem impacto para as pessoas. Existe uma área, uma distância das barragens de 10 km para menos, se não estou enganado, que é a região onde tu entra numa região de autossalvamento. É uma região que tu tem que te virar. Se estourar, tu que tem que sair de lá, porque provavelmente ninguém vai conseguir te salvar. (11:03) Nesses lugares tem umas placas com rotas de fuga para te levar para pontos de encontro onde, aí sim, seria onde tu aguardaria o resgate numa situação mais crítica. Só que, claro, tem coisas como escolas a menos de 1 km das barragens. E eles chamam a atenção para uma placa de rota de fuga, muito semelhante a essa que a gente está mostrando agora, que aponta a rota de fuga em direção à barragem. Enfim. (11:41) Aqui, por exemplo, ontem, algumas autoridades disseram: “qualquer coisa, saia de casa”. Sim, mas você vai para onde? Para onde é que você vai? O poder público poderia dizer: “Olha, em tais lugares, prefira tais e tais ruas, porque são mais altas”. Uma escola ontem foi pega de surpresa por conta da chuva, tiveram que tirar criancinhas de uma escola infantil que começou a encher e tiveram que tirar as criancinhas nos ombros. (12:15) Mas na sexta-feira, dia 3 de maio, que foi no dia seguinte que começou a alagar o aeroporto, inclusive, eu estava num hotel ali perto. Eu tinha acabado de chegar em Porto Alegre e me chamou a atenção, me dei conta que tinha que sair daquele hotel, porque, quando tomava o café da manhã, vi a notícia de que a prefeitura estava esvaziando o Pepsi On Stage, que é um lugar para shows bem em frente ao aeroporto. Eles estavam tirando as pessoas de lá. Já tinha desabrigados que estavam sendo acolhidos ali. (12:49) A prefeitura anunciou de manhã cedo que estavam tirando as pessoas de lá porque havia um risco de alagamento. Lembra que, inclusive, a gente conversou e eu te falei: “não, isso é preventivo, não vai chegar água até ali”. E eles falaram que estavam tirando o pessoal de lá porque tinha risco de alagamento, mas que não era nada demais. Eu olhei aquilo e me preocupei. Eu estava com a minha família, com as crianças, e disse: “olha, vamos sair daqui, vamos para outro lugar”. (13:20) A gente pegou um lugar mais alto em Porto Alegre, catei um Airbnb e a gente se arrancou do hotel. Dito e feito, alagou. Não sei se chegou no dia seguinte, mas alagou. Se havia essa suspeita de que ia alagar até ali, já estavam tirando as pessoas, cadê o aviso para a galera sair toda dali? Não só do hotel. Quem estava no hotel, vá para outro lugar, que nem eu fiz, mas e quem estava exposto, mais próximo? (13:56) Eu não tive um alerta “sai fora dali que vai encher d’água”. Imagina quem mora ali naquela volta, também não teve. E depois ali tem o Rio Gravataí, que também encheu. Se eles sabiam que a água ia chegar no Pepsi On Stage, no aeroporto, por que não começaram a esvaziar hotéis, avisar o pessoal que mora naquela região: “ó, tem risco, a gente está tirando a galera de lá porque talvez a água chegue aqui”? Mas não teve nenhum aviso. Eu saí porque vi a notícia de que estavam tirando o pessoal de lá. (14:29) Eu insisto nesse ponto da comunicação e trouxe o exemplo europeu mais como curiosidade, apesar de ter visto que algumas cidades como São Paulo, Rio e Brasília teriam esse sistema de RDS-TMC funcionando. Eu realmente acho que é um momento a se pensar nesses elementos de segurança física. (15:06) Segurança física também está totalmente relacionada com essa atuação de continuidade de negócios. Muitas empresas aqui no Rio Grande do Sul pararam de prestar serviços digitais por conta do alagamento de suas sedes e da impossibilidade de continuar prestando certos serviços. E como isso tem relação com segurança e cibersegurança? (15:42) Claro que, sobre esse exemplo do RDS-TMC, é óbvio que já teve gente que conseguiu quebrar e invadir. Não tem segurança nenhuma nisso. É um protocolo de sinalização aberto, que nem o ADS-B dos aviões. Existe uma transmissão que os aviões fazem… estou pesquisando aqui no Google… existe um sinal que toda aeronave transmite, que é o que o FlightRadar capta em solo com antenas. (16:25) Aí ele diz a identificação do avião, a altitude, a velocidade, a direção que ele está indo. Ele fica fazendo broadcast o tempo todo quando está em voo. E esse protocolo também não tem segurança nenhuma. É uma informação transmitida em claro. Tanto que, se tu catar na internet, tem aqueles HackRF, aqueles hardwares para brincar com sinalização. Claro que um HackRF desses, a não ser que tu modifique, não tem potência para interferir numa comunicação dessas. (16:58) Mas tu podes usar amplificador de sinal e outras coisas mais, e uma antena maior, e consegue interferir nesse tipo de protocolo, inclusive no ADS-B, que os aviões ficam mandando toda hora. E claro, isso é crime, que fique bem claro, você vai preso. Foi provavelmente o que esses caras fizeram em 2007; tem até o link ali. Dois italianos conseguiram injetar sinais maliciosos. Quem dá uma olhada no HackRF… já deve ter hardware melhor, inclusive. (17:35) Mas o HackRF trabalha de 1 MHz até 6 GHz. É qualquer coisa. E protocolos mais simples, que envolvem uma frequência base e uma portadora para modulação de dados, é bem barbada de fazer, dá para brincar bastante. (18:17) Vamos, então, para uma notícia tua, Vinícius. Como nós teremos cortes no YouTube, agora a gente vai cuidar para separar os assuntos e dar as notícias separadas. Quem está nos ouvindo aqui pelo agregador, vai ouvir tudo, não vai ter jeito. É o jeito roots de ouvir podcast. A notícia que eu trago é: “Investimento bilionário em IA nos Estados Unidos”. Essa notícia me chamou bastante atenção. (18:55) Deixa eu jogar aqui na tela para o pessoal ver. A fonte é do New York Times. Me chamou muita atenção porque os senadores estavam propondo um investimento de US$ 32 bilhões anuais. Eu pulei o “anual” da primeira vez que li. 32 bilhões para investimentos em Inteligência Artificial nos Estados Unidos para empresas americanas, não envolvendo a área da Defesa, porque a área da Defesa, obviamente, deve ter um orçamento bem maior. (19:33) Qual é a intenção deles? Lembrando que lá tem os Republicanos e os Democratas, essa proposta é bipartidária. O objetivo é manter a liderança dos Estados Unidos nessa área, ou seja, manter as empresas americanas à frente no que diz respeito a soluções envolvendo inteligência artificial. (20:11) Mas eles estão atrás nas questões regulamentares, atrás da União Europeia, por exemplo, que, há pouco tempo, a gente comentou em outro episódio. Eles deixaram para depois essas questões regulamentares relacionadas ao uso de IA. (20:46) Principalmente no que se refere ao que é um uso ético, o impacto social na perda de emprego e outras coisas desse gênero. Existe uma indicação de que eles queiram prever algumas questões relacionadas à privacidade. (21:24) Mas também o que vai acontecer com os trabalhos que vão ser “obliterados”, para usar a palavra que eles utilizaram. Existe um apontamento, além da crítica relacionada a essa questão da regulamentação, também ao potencial favorecimento de grandes empresas dentro do mercado americano. Nvidia, Google, talvez Meta, Amazon e a própria Microsoft por meio da OpenAI. (22:03) São as quatro maiores envolvidas nisso. Mas essa é a notícia. É bom ficar antenado. 32 bilhões anuais. Eu acho que o pessoal está vendo que tem alguma necessidade de investimento nessa área. (22:44) E tem duas coisas: primeiro, a Nvidia está comemorando o aumento do preço das suas ações, que passou de US$ 1.000 depois que veio a demanda óbvia de chips para IA, que está aumentando cada vez mais. Os resultados deles foram lá em cima e vai subir mais, porque todo mundo precisa do que eles estão fazendo. Depois, você ainda tem a questão dessa falta de regulamentação, que é simbólica. No final das contas, há uma preocupação de que as grandes empresas… não é uma preocupação, é uma certeza. Esse dinheiro vai ser para pesquisa e desenvolvimento. (23:23) Ou seja, é para você também promover, se for o caso, estudos técnicos para alavancar novos métodos e tudo mais. E isso também derruba um pouco até um certo mito do sistema americano. Porque você tem muitas áreas em que o Estado acaba servindo como motivador. Acho que não é nem mito americano, é mito aqui no Brasil, uma invenção de que nos Estados Unidos as empresas… tudo foi desenvolvido assim. A própria internet, tudo isso foi desenvolvido com grana do Estado que foi metida lá e agora, de novo, com a IA. (24:08) Enfim, essa foi a minha primeira notícia. Qual é a tua, Guilherme? Bom, já que você falou sobre IA, nós tivemos recentemente a aprovação do AI Act, do Artificial Intelligence Act, depois de uma deliberação legislativa bastante intensa. O último passo, salvo engano, ainda precisa da publicação no diário europeu, mas está aprovado. Nós já tínhamos falado sobre essa legislação algumas vezes, porque esse texto vem transitando já há algum tempo. (24:55) E certamente você nota a diferença de abordagem da europeia, porque o que estamos vendo aqui agora é, sem dúvida, o movimento mais importante no mundo de regulação de Inteligência Artificial. E é o que deve pautar, provavelmente, a nossa forma de lidar com isso. Eles se basearam em modelos de risco: basicamente, quanto maior for o risco, maiores serão os controles a serem aplicados. (25:39) Eu trouxe alguns exemplos. Dei uma passada pelo texto final e tem várias coisas interessantes. Primeiro, eles definem quais práticas de Inteligência Artificial são proibidas lá no seu artigo 5º: colocação no mercado, colocação em serviço ou utilização de um sistema de IA que empregue técnicas subliminares que contornem a consciência de uma pessoa, ou técnicas manifestamente manipuladoras ou enganadoras com o objetivo de distorcer substancialmente o comportamento de uma pessoa ou grupo de pessoas. (26:16) Ou seja, eles preveem situações nas quais a IA não poderá ser utilizada nunca. Ou ainda, a colocação no mercado de serviços para inferir emoções de uma pessoa singular (pessoa física) no local de trabalho e nas instituições de ensino. Olha que interessante. Exceto nos casos em que o sistema de IA se destine a ser instalado por razões médicas ou de segurança. Então, você poderia eventualmente inferir emoções, segundo eles, por questões de segurança, para lutar contra terrorismo, essas coisas. (26:56) É importante, só para dar um exemplo do tipo de coisa que vai ser cada vez mais importante… Olha isso aqui, é imagem do nosso blog. É lá o blog da Brown Pipe que o Guilherme faz a curadoria, e olha uma coisa que a gente se preocupou em fazer já há algum tempo: está claramente informado aqui “Este post foi traduzido e resumido a partir da versão original com o uso do ChatGPT versão 4”. (27:29) Quando você lê isso, claro que existe um cuidado nosso, principalmente teu, Guilherme, que é quem mais faz o blog, para acompanhar, para ver se está tudo ok, mas a gente usa para acelerar a produção de conteúdo. (28:01) Essencialmente, para tradução, funciona muito bem. Essa indicação, inclusive quando a gente tiver vídeos ou um avatar que tu não vais conseguir diferenciar de uma pessoa real, vai ser muito importante deixar claro que esse negócio é gerado por IA completamente, ou tem envolvimento de IA. É muito importante essa transparência. (28:41) É um dos direitos garantidos para as pessoas, ou melhor, um dever das empresas de disponibilizar informações em uma série de casos. Porque, assim como ocorre com o tratamento de dados pessoais, as possibilidades de uso de sistemas de IA também são muito grandes. Aliás, aquele disclaimer ali já mudou. Agora a gente colocou que, além do uso, houve uma tradução com supervisão humana. (29:18) Eu estava vendo a política do Estadão para Inteligência Artificial, achei interessante que eles disseram que você usa para traduzir, mas por uma pessoa que entende a língua que está sendo traduzida. Às vezes, ele erra. Dentro do contexto, ele utiliza palavras erradas, faz traduções que não se encaixam, por exemplo, em um contexto de segurança da informação, em que a tradução pode ser diferente. É importante notar isso. (29:49) O AI Act regula questões de sistemas de biometria em locais públicos e coloca todos os requisitos que vão ser aplicados quando o sistema tiver um risco elevado, inclusive riscos para direitos fundamentais, que eu acho que essa vai ser uma das grandes discussões que ainda vamos precisar fazer em relação à IA. Quando eu digo, por exemplo, que a IA está afetando ou pode afetar privacidade, intimidade, mas outros direitos, como o acesso das pessoas a bens, à educação ou até mesmo dentro do mercado de trabalho, eu vou estar girando em torno da proteção de direitos fundamentais. (30:29) Assim como na União Europeia, aqui também são previstos no nosso ordenamento. Situações relacionadas a logar certas atividades, ou seja, aquela ideia de você conseguir fazer certos caminhos que o sistema fez para chegar a determinadas conclusões; permitir supervisões humanas, que é um dos grandes problemas. Eu conseguir interagir com o sistema de forma a permitir que resultados enviesados ou incorretos consigam ser corrigidos. (31:09) É muito importante você conseguir criar modelos que possam ser facilmente alterados quando eu verificar imprecisões, vieses ou grandes riscos, sem que, por exemplo, tenha que treinar novamente todo aquele modelo, que é uma questão cara. Falam sobre gestão de qualidade para permitir que os sistemas respeitem as regras dessa legislação, avaliação de impacto… (31:42) Os Estados-membros da União Europeia devem criar uma autoridade responsável, tipo uma ANPD da vida. O Vinícius falou antes sobre transparência, e eles têm fortes obrigações de transparência. No caso do blog, é avisar que você está lendo um texto que foi traduzido ou resumido por IA. (32:23) Mas também vamos precisar deixar o usuário ciente de que ele está interagindo com um sistema de IA, o que é um paradigma antigo no âmbito da Inteligência Artificial. Cada vez é mais frequente. O Lightroom, aquele sistema de edição de fotos da Adobe – inclusive, assinei um mês para ver e, sem querer, assinei o ano inteiro, agora se eu quiser cancelar tenho que pagar uma multa – ele tem lá, acho que o Photoshop também, uma função que você consegue retirar elementos da imagem. Você só seleciona o que quer retirar e ele elimina por IA, preenchendo o espaço com elementos da cena. (33:04) Funciona super bem, mas veja, você está interagindo ali com um sistema de IA. Pode ser óbvio para nós, mas as possibilidades de uso desse sistema vão muito além dos LLMs que a gente começa a ver. Tem muita coisa acontecendo por baixo de vários sistemas que às vezes a gente nem percebe. (33:36) Então, tem esse dever de informação. Eles tentaram fazer toda uma questão ali de marcação de conteúdos gerados por IA, já preocupados com o aumento de fake news, de desinformação. A obrigação de marcação dessas imagens. E, aí, muito curioso, fiquei pensando no que isso pode causar no futuro. As empresas têm o dever de marcar esses conteúdos sintéticos, só que essa obrigação, diz lá no artigo 50, não se aplica se a utilização for autorizada por lei para detectar, prevenir, investigar ou reprimir infrações penais. (34:14) Interessante, né? Você já pensou as forças policiais…? Claro, a legislação é clara: somente quando a lei permitir. Mas já pensou a polícia usando conteúdos sintéticos para pegar criminosos? Sei lá, forjando talvez algumas situações. Isso vai, talvez, trazer um campo todo novo de discussão, até para aquela ideia no Direito Penal do flagrante preparado, o policial que finge que vai comprar droga com o cara. (34:49) Pelo que se encaminha aqui, muito provavelmente todo mundo vai usar, inclusive forças estatais. Vai parar em tudo, definitivamente vai permear tudo relacionado à nossa vida. Sem que isso seja um juízo de valor, eu acho que isso vai trazer muitos problemas. A orientação, como a gente está vendo, até lá nos Estados Unidos, eu acho que… eu disse que não ia fazer mais previsões, mas vou fazer mais uma. (35:33) Posso estar totalmente errado, eu acho que nós vamos enfrentar problemas mais graves do que o que a gente está enfrentando hoje, por exemplo, com aquela questão do uso de redes sociais por crianças. Saiu o livro aquele… inclusive, saiu até no Fantástico esses dias. Você viu primeiro aqui no Segurança Legal. Eu acho que nós vamos encontrar problemas ainda mais graves a longo prazo. (36:16) Vai ter problema, vai ter muita coisa boa também, grandes benefícios e muitos problemas. Vai ter um monte de problema ético, moral, social, econômico para ser resolvido. Vai impactar absolutamente tudo. A gente vai ter que rever um monte de coisas, mas, ao mesmo tempo, há perspectiva de muitas melhoras, em termos de potenciais. Se for bem utilizado para a saúde, por exemplo. Um exemplo que se dá frequentemente é tu poder tornar mais acessível o atendimento médico, mais rápido, mais preciso. (36:56) Mas quem é que vai poder pagar por isso? Será que vai ficar superbarato e todos vão ter acesso? O que se fala é que… aí que tá o perigo. O médico vai ter um monte de ferramenta, mas o ponto é que são feitas algumas previsões, inclusive por grandes pensadores dessa área. (37:35) Que dizem: “Olha, em vez de tu esperar um mês para ser atendido, tu vai poder ser atendido a qualquer momento por uma IA que vai ter muito mais informação para te atender, com muito mais foco na tua situação, podendo levar milhões de horas de experiência contidas nela”. E que isso vai tornar mais acessível ter um médico. (38:17) Claro que tem muitos pontos aí: até que ponto isso efetivamente substitui um médico, até que ponto isso pode ser feito de maneira não supervisionada… são os problemas que vêm junto. Mas esse é um dos exemplos dessa universalização do atendimento rápido, com acesso a muita informação, sem um viés estabelecido ou coisa parecida. (39:00) A questão é: quem é que vai poder pagar por isso? Porque as empresas que vão disponibilizar esses modelos treinados certamente vão querer ganhar muito dinheiro com isso. Enfim, deixa eu só terminar o AI Act. Alguns outros elementos importantes: dever de comunicação de incidentes graves; a previsão de um Comitê Europeu de Inteligência Artificial, além das autoridades de cada país, com a presença de um painel científico de peritos independentes para deliberar. Poxa, não é fácil. (39:34) Muitos pesquisadores batendo cabeça para escrever e falar sobre isso, então é bem-vindo, achei interessante essa previsão. Dever de obter explicação sobre decisões tomadas, uma coisa que já existe nas decisões automatizadas em nível de proteção de dados pessoais. (40:07) E aí as multas, que podem chegar a até 35 milhões de euros ou, se o infrator for uma empresa, até 7% do seu volume de negócios (não sei se é faturamento), o que for mais elevado. Para as violações do artigo 5º, que são as de alto risco. E para as outras violações, 15 milhões ou até 3% do volume de negócios, o que for maior. (40:43) É diferente do que a gente tem na LGPD aqui, que é limitado a R$ 50 milhões ou 2% do faturamento. Me chamou a atenção essa possibilidade. Provavelmente, a gente ainda vai voltar a falar sobre isso. Eu estou escrevendo sobre IA junto com o professor Cristiano Colombo, e certamente vamos voltar a falar sobre isso aqui, talvez um episódio só sobre regulação. (41:24) Perfeito, Guilherme. Aproveitando o gancho, quando tu comentaste sobre o cuidado para que esses modelos de linguagem não sejam tendenciosos, eu trago uma notícia que te pareceu até fake news no primeiro momento. O título da notícia é “O Chat XiPT”. Sim, você ouviu corretamente, Xi, de Xi Jinping. (42:04) Na China, entre outras coisas já proibidas, para as quais você só tem como acessar via VPN (e acho que deve ter punição para quem usa), você não pode acessar o ChatGPT. Negativo. Mas, ao mesmo tempo, o governo chinês não quer ficar atrás no uso de Inteligência Artificial. (42:57) A própria popularização do uso de IA por pessoas que não são da área de TI, que abre para o público geral uma ferramenta que todo mundo consegue usar, ajuda a criar essa ideia na sociedade de uso e de maior aceitação. É mais fácil tu aceitar uma coisa que tu não conhece completamente, mas já ouviu falar. (43:37) O governo chinês está com a mesma preocupação de permitir o uso desta tecnologia internamente. O que eles fizeram foi criar o Chat XiPT, um LLM treinado com base em fontes de informação, textos, livros, etc., que foram cuidadosamente selecionados para que refletissem a filosofia do Xi Jinping. Isso foi criado pela Administração de Ciberespaço da China, que já faz o controle da internet. (44:25) A ideia é que ele promova ideias sobre política e cultura dessa visão do Xi Jinping, e a coisa roda toda local, óbvio. Não vão botar esse negócio para rodar na nuvem em outros países. Agora, o que me chama a atenção… eu não fico surpreso da China estar fazendo isso, pelo próprio histórico de controle. (45:29) Mas é só para nos chamar a atenção de como um modelo, um LLM, a base dessas ferramentas generativas, pode ser claramente enviesado em direção a uma certa ideia, ideologia ou visão de mundo. (46:13) Eu acho até que não é um enviesamento aqui. O pior seria se eles fizessem um modelo de LLM treinado com as ideias do cara e não dissessem para ninguém. Aí sim, talvez a gente poderia falar em enviesamento, que seria essa tendência escondida. O viés, a gente acaba relacionando com algo negativo, mas ele pode ter um viés positivo. (46:55) O problema é quando o viés é negativo. Como o sistema americano que dizia que pessoas negras eram mais perigosas do que pessoas brancas. Você tem um viés evidentemente negativo, porque coloca pessoas em uma situação ilícita de desvantagem. Agora, se eu estou dizendo “vou treinar aqui esse sistema com o Milei, da Argentina, vou criar um Chat Milei”, se eu estou dizendo para todo mundo que vou obter informações relacionadas com aquilo, eu não vejo grandes problemas. (47:34) Desde que tu saiba. O problema é com esses sistemas mais abertos que vão te responder qualquer dúvida. Me parece que o que vamos acabar vendo é você começar a treinar eles para fazer coisas mais específicas. “Ah, vou pegar todos os artigos de direito que eu tenho aqui e treinar uma ferramenta para me ajudar a produzir textos jurídicos.” (48:10) O problema vai ser se impuserem que as pessoas somente vão poder usar isso. Aí, obviamente, você vai ter um problema. Mas, se está sendo transparente… “você quer treinar um LLM para atuar com base em uma ideologia qualquer?”, não vejo grandes problemas, está dentro da ideia de liberdade, desde que você saiba e não seja obrigado a só usar aquilo. (48:43) Nota que, se tu já estás num ambiente todo controlado, que tem uma série de restrições, talvez tu não consigas nem avaliar o quanto isso está limitando os conhecimentos aos quais tu tens acesso. Tem aí uma questão talvez mais ampla, em termos sociológicos. (49:58) É a mesma preocupação que a gente deve ter com todos esses modelos que a gente usa. Se a gente for falar em posicionamento político, por exemplo, e esse modelo foi treinado prevalentemente com uma ou outra linha política, seria interessante isso estar dentro do dever de informação. A própria ideia de curadoria é a grande dificuldade de treinar esses modelos, porque você não vai um a um. O negócio é ir raspando dados loucamente. Depois tem o fine-tuning, para direcionar o comportamento que tu esperas. (50:37) Queres ir com mais uma tua, Vinícius? Porque eu me lembrei de outra coisa. Vou chamar então a outra que eu tenho. Na verdade, é uma que puxa duas. Vou resumir: “OpenAI prioriza produtos brilhantes em detrimento da segurança, diz pesquisador”. (51:12) Isso está relacionado àquela bagunça toda do pessoal debandando da OpenAI depois da tentativa de, entre aspas, depor o Sam Altman, que hoje continua sendo o CEO. Ele chegou a ser demitido, e ele voltou de uma maneira bastante agressiva, meio que ameaçou levar todo mundo do time para dentro da Microsoft se não o botassem de volta. (51:53) No que ele volta, pessoas do conselho se retiram e são substituídas por pessoas mais alinhadas com as visões dele. E começa uma debandada do time de superalinhamento (Superalignment), que é um time responsável por garantir que a IA permaneça fiel às necessidades dos seres humanos, que não os prejudique. (52:41) Essa saída foi seguida também pelo Ilya Sutskever, um cara muito importante dentro da OpenAI, um dos fundadores. Esse pessoal saiu, não abriu muito a boca. Existe um tipo de contrato ali com a OpenAI que, dependendo do que eles falarem, eles perdem a participação que têm na empresa. Mas o que foi dito é que eles estão abrindo mão da segurança para avançar mais rápido com produtos. (53:21) Inclusive, uma das razões de terem tentado tirar o Sam Altman foi que ele dizia uma coisa e fazia outra, mais ou menos isso. Ele dizia que a gente tinha que avançar com cuidado, não podia acelerar demais, e, ao mesmo tempo, entre outras coisas, buscou financiamento com o governo da Arábia Saudita. Todo mundo deve lembrar que foi justamente a Arábia Saudita que fez com que um jornalista fosse esquartejado dentro de uma embaixada. (54:02) Para quê? Para justamente obter acesso a mais chips, mais poder computacional para avançar o modelo. De um lado, eu digo que quero ir mais devagar; por outro lado, estou tentando acelerar e pegando grana de países como a Arábia Saudita. Claro que a grana não vai vir de graça. Não vão dar o dinheiro para fazermos o que quisermos. (54:40) Não vai ter nenhum tipo de demanda ou de canal de uso lá? Sei eu. Enfim, esse é um dos exemplos que foram citados. Os links estarão aí para vocês poderem ler. A grande preocupação deles é quando a IA atingir o AGI (Artificial General Intelligence), que seria o momento em que ela se iguala e passa a superar a capacidade humana. (55:26) Nesse momento, não haveria nada que um ser humano faça que a IA não fosse capaz de aprender a fazer também. As previsões são para 2030, 2045. Mas, há pouco tempo, a Microsoft e a OpenAI tiveram que se ocupar de umas acusações feitas pelo Elon Musk, que disse que a OpenAI atingiu o AGI com o GPT-4. (56:13) Qual a implicação? Existe um pulo do gato: o contrato que a Microsoft tem com a OpenAI vale enquanto a inteligência artificial não atingir o AGI. No momento em que atingir, a Microsoft não pode mais utilizar, a não ser que surja um novo acordo. Ela não poderia integrar uma IA com AGI em seus produtos, como acontece hoje com a linha Copilot. (56:54) Parece que o Elon Musk quis gritar “Ah, isso é AGI!” para meio que melar o esquema da Microsoft. Quem eu vi falando sobre isso da área de IA disse: “Olha, a gente não está nem perto do AGI”. (57:32) Essa é a preocupação que o pessoal do time de superalinhamento da OpenAI, que debandou, tem. Eles apontavam o fato de que não tinham os recursos computacionais que precisavam para criar ferramentas de segurança para o modelo, enquanto o time que estava desenvolvendo as novas soluções tinha mais recursos. Como se fosse uma sabotagem proposital interna. (58:14) Mas é assim que as coisas são no mercado de tecnologia. Você coloca sempre o desenvolvimento do produto na frente do controle dos riscos. O regulamento europeu tenta conter um pouco isso, mas o problema é quando você tem empresas tão grandes que elas conseguem impor seus interesses globalmente. (58:46) Às vezes, não respeitar valores. A gente viu Cambridge Analytica, um desvio flagrante de qualquer dever de segurança. O próprio Musk, despedindo os times de moderação e verificação de conteúdo, também envolve diminuir certos controles que são óbvios para tecnologia dessa natureza. Não é algo que me surpreende, porque essa é a tônica das grandes evoluções da tecnologia. (59:24) De novo, eu volto a indicar o último episódio do Ciência Suja. Eles falam sobre os riscos das barragens e como esses riscos foram muitas vezes ignorados para atingir os objetivos comerciais das empresas. É muito interessante. Num momento, eles falam que todas as represas estavam estáveis, tinha laudo. Mas os laudos são muito complicados. (1:00:39) Todas as barragens de detritos lá em Minas estavam estáveis. Quando deu o acidente de Brumadinho, do nada, cerca de 30 barragens foram declaradas pelas próprias empresas como “a gente disse que estava estável, mas não estava”. É bem interessante ouvir esse episódio, porque ele traz também esse aspecto que tu acabaste de colocar, de equilibrar riscos para as pessoas com o teu ganho, no final das contas, o lucro. (1:01:19) As empresas já tinham precificado a questão de um eventual desastre. Isso tem em documentação interna da Vale. Eles tinham precificado o risco de um desastre desses. Provavelmente, isso foi utilizado para decidir se investiam ou ficavam com o risco. (1:01:59) Lembra dos pneus? Alguns anos atrás, um fabricante de pneus… isso aconteceu nos EUA. Os pneus começaram a explodir. Eram pneus de SUV, causando acidentes, matando gente. E eles descobriram que a fabricante sabia do problema daqueles lotes e avaliaram o custo de fazer um recall versus o custo de eventuais indenizações. Viram que o custo dos acidentes seria menor, então assumiram o risco. (1:02:36) As autoridades americanas, quando descobriram isso, meteram uma multa daquelas exemplares. É o que acontece muitas vezes. (1:03:18) Nessa linha, e ainda sobre IA… teve, eu te mandei aí no chat, Vinícius, uma nova funcionalidade de IA no Windows que, para funcionar, vai gravar tudo o que você faz no PC. Você me falou dia desses sobre o Copilot+ PC. (1:03:50) Basicamente, ele vai ficar gravando tudo o que você faz no computador para que, primeiro, provavelmente, treine essa ferramenta, e para que você consiga revisar coisas que fez no passado. O Recall, que é o nome da ferramenta, usa as capacidades de processamento desse novo com IA local. (1:04:33) E eles dizem: “Não se preocupe, tudo isso vai ser só local, os snapshots são encriptados e ficam salvos no seu hard drive”. Você pode usar o Recall para localizar o conteúdo que já viu no PC, usando a busca numa timeline. Do ponto de vista de proteção de dados e privacidade, eles estão avançando muito rapidamente, colocando como benefícios (e de fato você vai ter um benefício), mas sem, me parece, pesar os riscos. (1:05:18) É essa a tônica que você trouxe muito bem na comparação com as barragens. Atualmente, muitos negócios… aqui não estamos falando de vidas humanas, ainda. Estamos falando sobre um computador que vai ficar gravando tudo o que você faz. (1:06:00) O regulamento europeu prevê situações de altíssimo risco que poderiam afetar vidas humanas. O ponto é que hoje você tem negócios que não hesitam em descartar vidas humanas. E, às vezes, a gente fecha os olhos para essas coisas, achando que, porque estamos lidando com TI, com uma interface bonitinha, e os caras se pintam como salvadores do mundo, que eles não vão sacanear. (1:06:34) A minha preocupação acaba sendo: se em outros negócios a vida humana é descartada em função do lucro, o que será que não se pode fazer com essas novas possibilidades aqui? A IA, nesse exemplo, interferindo e gravando tudo o que você faz. Por enquanto, a gente pode não usar isso, mas provavelmente vai chegar um momento em que você não vai mais conseguir não usar, se você usa Windows, por exemplo. Talvez fique mais importante ainda o uso do software livre para quem quiser se proteger desse tipo de invasão de privacidade. (1:07:09) Certo. Agora é tua. Vou trazer, então, o lançamento do novo Regulamento de Comunicação de Incidentes de Segurança da ANPD, agora no último dia 26 de abril. (1:07:47) Foi publicado esse documento, que marca um marco importante para todos que lidam com gestão de dados pessoais, sejam operadores, sejam controladores, mas sobretudo os controladores. Ele é importante porque fixa algumas das questões presentes na LGPD, mas que, por meio desses documentos, acabam sendo mais bem especificadas. (1:08:25) O que temos aqui de importante, rapidinho: um pequeno glossário no artigo 3º que traz uma lista de definições, sempre importantes para o mundo acadêmico e para todos que lidam com isso; referência sobre quando o incidente pode acarretar risco ou dano relevante, no artigo 5º; definição do prazo de três dias úteis a partir do conhecimento do incidente pelo controlador, conforme o artigo 6º. (1:09:01) Eventualmente, esse prazo pode ser ultrapassado desde que haja uma motivação relevante. Por exemplo, você tem notícia de um potencial incidente, não tem certeza, começa a pesquisar e, de fato, verifica que houve um incidente. A partir daí, começa a contar esses três dias. O prazo será contado em dobro para os agentes de tratamento de pequeno porte. (1:09:40) Outra coisa interessante: o encarregado, quando for fazer a comunicação, deve também encaminhar um comprobatório da sua relação com o controlador, seja um vínculo de emprego ou contratual. O controlador, ao fazer a comunicação, pode solicitar o sigilo das informações. Eu acho isso bem problemático. Ao mesmo tempo, vejo a importância. Em eventuais casos, pode ser necessário manter as condições em sigilo. (1:10:14) Mas o que temos visto ao longo de toda a nossa história aqui no Segurança Legal é que, na grande parte das vezes, o que a empresa quer é esconder situações em que foi negligente ou de imperícia, imprudência. Ela usa essa cartada, esse super trunfo do sigilo de informações relacionadas a sigilo comercial, industrial e tudo mais para não dar mais detalhes sobre aquele incidente. (1:10:56) Ela vai ter que dar para a ANPD, mas para o público, ela pode solicitar esse sigilo. Eu acho que a própria ANPD poderia fazer uma ponderação: “olha, isso aqui não tem por que manter em sigilo, porque também é interesse das pessoas saber o motivo daquele incidente”. E nota que, quando ela sabe o motivo, isso pode influenciar depois em demandas de responsabilidade civil. Então, eu tenho aqui, na verdade, um incentivo para que não se deem as informações ao público por meio dessa cláusula. (1:11:28) O prazo para comunicar os titulares atingidos também é de três dias úteis (artigo 9º). E uma coisa bem importante: a obrigação do controlador de manter registro dos incidentes de segurança, conforme o artigo 10 do regulamento. E aqui eu tenho uma conexão direta com as equipes de segurança da informação e de cibersegurança no âmbito da gestão de incidentes. (1:11:59) Quando a gente pega uma ISO 27001, você vai ter lá diretrizes sobre gestão de incidentes. Instituições financeiras reguladas pelo Banco Central também devem manter registros e comunicar o Banco Central. A resolução agora traz de forma muito mais objetiva esse dever de manter o registro dos incidentes, inclusive com as informações mínimas que o controlador deve manter, pelo prazo mínimo de 5 anos. (1:12:36) Então, se você, empresário que trata dados pessoais, está jogando com a possibilidade de eventualmente não ter um incidente ou não cuidar muito bem do seu processo de gestão, saiba que agora há um incentivo regulatório da ANPD para que você tome um cuidado bem mais intenso com a sua gestão de incidentes. É isso, Vinícius. (1:13:18) Bom, tem uma notícia aqui. Claro que, a essa altura, já foi resolvido, provavelmente. É a seguinte: “Um bug no iOS 17.5 faz fotos apagadas reaparecerem”. Está aqui a notícia do The Verge. Diversos usuários no Reddit relataram o problema. Quando aconteceu a atualização, algumas fotos, claro que todo tipo de foto, mas principalmente o que mais incomodou, que eram fotos NSFW (Not Safe For Work), voltaram a aparecer. (1:14:02) Fotos que tinham sido apagadas voltaram a aparecer. Até o momento em que a matéria foi publicada, não tinha nenhuma resposta da Apple. Mas é interessante, de novo, aquela ideia de que aquilo que você produz, reproduz, cria, não se apaga. Nota a própria feature do Recall, do Windows 11. Não tem como esquecer o que você fez, compartilhar uma foto, mandar uma mensagem e isso sumir. (1:14:43) A gente acha que as coisas somem, mas elas acabam reaparecendo. Desde o Facebook, que a gente já comentou há muitos anos, que quando você deleta uma coisa, ela é marcada como deletada, não necessariamente some do banco de dados. A tua conta que tu chegaste a excluir, lembra? Tu voltas e a conta está lá. E agora essa, a atualização do iOS 17.5 e algumas fotos que tinham sido apagadas, inclusive com conteúdo não muito seguro, reaparecem. O pessoal berrou lá no Reddit. (1:15:48) O detalhe é que eles só iriam recuperar fotos apagadas há até 30 dias. Porque mais de 30 dias, elas seriam definitivamente apagadas, segundo informado pela Apple. Mas se você apagou, apagou. Antes dessa versão, o que eu acho que tinha era que ele mantinha por 30 dias mesmo apagado. E, pelo visto, ele estava mantendo por mais tempo. (1:16:27) Essa é a minha última notícia, Guilherme. Eu tenho também. Vou colocar a última aqui, Vinícius, para terminar. Há 10 anos no Segurança Legal, em março e abril de 2013, a gente gravou dois episódios sobre o caso dos dedos de silicone. Lembro que, na época, eu fiz, comprei lá o alginato, gesso, e fiz uns dedos de silicone. (1:17:05) Nesses dois episódios, a gente falou, no episódio 19, como houve um ocorrido numa autoescola de São Paulo, em que os responsáveis começaram a fazer esses moldes dos dedos dos alunos em silicone. O sistema de segurança colocado pelo Detran na época, você tinha que colocar sua impressão digital para comprovar que estava assistindo à aula. As pessoas preferem cometer um crime do que assistir às aulas, para você ver como é chato. (1:18:24) Se os caras estão fazendo isso, pagando para isso… assiste à aula, cara. O conteúdo, o formato da aula está tão ruim que o cara comete um crime. Certamente também motivado pelas pessoas ali. A gente falou também na época sobre um artigo, já antigo, “The Impact of Artificial Gummy Fingers on Fingerprint Systems”, de um cara chamado Tsutomu Matsumoto. E no episódio 21, a gente falou sobre uma fraude ocorrida em Ferraz de Vasconcelos, em que funcionários de um posto de saúde, ou do SAMU, batiam o ponto com dedos de silicone. (1:19:02) Pula agora para 2024. E essa reportagem do Globo, Vinícius, mostra que a polícia encontrou 700 dedos de silicone em uma autoescola da Grande São Paulo. De novo. Vou ler um pedacinho da notícia: “Estabelecimento é suspeito de fraudes nos exames da CNH. Uma operação conjunta da Polícia Civil e do Detran encontrou cerca de 700 dedos de silicone em uma autoescola localizada em Taboão da Serra. Os moldes costumam ser usados para burlar o sistema que fiscaliza a realização dos exames”. (1:20:08) Segundo o Detran, a operação ocorreu após uma denúncia. Seis pessoas foram levadas para a delegacia. A reportagem ainda diz que 389 penalidades foram aplicadas nas autoescolas do Estado de São Paulo, somente no ano passado, 2023. Por que trazemos isso? Primeiro, por esse aspecto histórico. Me lembrei desse episódio que gosto tanto. E é meio simbólico sobre como a gente trata segurança da informação. (1:20:55) Você tem um problema, uma falha de segurança absolutamente evidente. Um sistema de identificação de pessoas que foi considerado absolutamente ineficiente há 11 anos, e esse sistema continua sendo usado. E sabe-se lá, nesse tempo, quantas outras fraudes não houve. Se agora, em 2024, você ainda tem pessoas fazendo isso, dependendo de uma denúncia, algo não vai bem na segurança da informação. (1:21:34) Muito do que a gente falou hoje aqui está conectado. A gente parece que está piorando na gestão de riscos. Dá para chamar de segurança da informação, não somente ciber. Você tem um elemento de ciber, que é o leitor digital, mas tem um elemento físico também. (1:22:11) A gente não confiava nas pessoas para dizer “olha, a pessoa está aqui na minha frente”, então colocamos um sistema de autenticação e de identificação que já era falho há 11 anos e ainda continua sendo usado. E está sendo de novo furado, violado, depois de 11 anos. (1:22:42) Eu trago essa notícia com certo carinho, porque ela me remete ao passado do Segurança Legal, mas também me coloca em uma situação em que eu fico até constrangido. É constrangedor falar sobre isso, porque não é possível que isso esteja acontecendo. Não há explicação. E se isso ocorre aqui, imagina em outras situações. Até porque isso é sério: você está dando carteira de motorista para pessoas que eventualmente sequer fizeram a prova. (1:23:21) Também tem gente que faz a prova e não deveria ter carteira. Mas isso não faz com que a gente tenha que piorar. Temos que melhorar os testes, a ponto de não deixar quem não deveria ter carteira ter. E, ao mesmo tempo, tornar as aulas mais atrativas para o pessoal não ficar burlando o mecanismo de autenticação. (1:23:52) Enfim. Tem café frio e café quente. Eu posso dar uma dica. O que você acha? Dá depois. Você é o dono do podcast, pode fazer o que quiser. Então, eu vou dar uma dica agora. É o podcast Hard Fork, do New York Times. Ele está em inglês, mas logo, na sua operadora de podcast mais próxima, você vai poder ouvir em português. (1:24:32) É muito interessante, trata sobre tecnologia, e a qualidade deles é muito boa. Quase chega na qualidade do Segurança Legal. Um dia eles chegam lá. Eles trazem temas muito relevantes, e, por óbvio, não tem como escapar, muita coisa relacionada à IA. Fica a minha dica do Hard Fork. (1:25:13) Café quente e café frio. O frio primeiro. O meu café frio vai para aquela nova feature de Recall do Windows, que fica gravando tudo, fazendo snapshots de tudo o que você faz na sua tela. Do jeito que está, acho que estamos indo rápido demais em alguns desses aspectos. “Ah, mas fica no teu HD”. Tem coisas que a gente ainda precisa esperar um pouco. Mas isso não vai acontecer. Não vai acontecer de fato. Ou resolver, ou ampliar certas regulações. Vai ficar muito difícil. Aquele problema da nuvem, da dependência que a gente tem, com a IA eu acho que isso vai piorar mais ainda. (1:25:56) O meu café frio vai para essas empresas que fazem essas análises de risco furadas para barragens e que não cuidam das estruturas para defender as cidades contra alagamento, que jogam isso para baixo do tapete dizendo que não é nada, que não vai acontecer mais, que sempre aconteceu. Por ignorarem, por fazerem vista grossa, por entrarem num sistemático negacionismo, causam tanta dor e sofrimento para as pessoas. Meu café com barro vai para essa galera. (1:26:36) Em alguns casos, é questão de cadeia, de cometimento de crimes. Mas o que está ao nosso alcance é dar um café frio para essa galera. E o café expresso? O meu café expresso vai para o AI Act. Tem pessoas criticando, faz parte do processo. Mas eu acho que é um primeiro pontapé para uma primeira geração de leis. A gente consegue fazer algumas coisas com as leis de proteção de dados, mas só elas não vão ser suficientes. E com a minha esperança de que o Brasil também retome as discussões, tanto para a regulação da IA quanto para a da desinformação. O caso Musk fez com que um dos projetos de lei mais importantes, do deputado Orlando Silva, fosse engavetado. A minha esperança é que a gente consiga começar a regular essas questões também por aqui. (1:27:51) O meu café expresso vai também para esse regulamento da Inteligência Artificial lá na União Europeia. A gente está na vibe de coisas novas, novas soluções, e estamos esquecendo de discutir de uma maneira mais forte o estabelecimento de algumas regras para esse negócio. A gente precisa pensar muito mais sobre esses pontos. (1:29:02) Pois bem. Esperamos que vocês tenham gostado e nos encontraremos no próximo episódio do podcast Segurança Legal. Até a próxima. Até a próxima. Guilherme, eu esqueci de uma notícia que tinha separado aqui. Vai ficar só para quem está vendo no YouTube. A gente teve, umas duas semanas atrás, o lançamento do GPT-4o (Omni). (1:29:48) A OpenAI lançou o GPT-4o, e o ChatGPT, que o usa. Das principais coisas, ele tem visão, que não está disponível para todo mundo ainda. Ele consegue analisar uma imagem em tempo real, identificar objetos, pessoas, expressões faciais. Inclusive, a nova versão vai ter a opção de tu abrires a câmera frontal do celular para interagir. Outra questão é o reconhecimento de voz, não só das palavras, mas também entonação, respiração. A demonstração foi bem interessante. (1:30:23) Um outro aspecto que chamou a atenção: nós tínhamos o GPT-3.5, que é o free; aí saiu o GPT-4, que tu só podes usar se pagar. E agora o GPT-4o vai ser de graça até certo ponto. O uso dele vai ser gratuito, com limites. O que chamou atenção é que o custo do GPT-4o caiu em 50% em comparação com o GPT-4. (1:31:04) Não o custo para o usuário que paga mensalmente, mas o custo para a OpenAI. Então, é mais barato para quem usa a API. Caiu 50% no valor. Mas o pagamento mensal para os usuários do ChatGPT continua o mesmo. (1:31:51) Lembrando que o regulamento europeu considera como sistema de IA de risco elevado aqueles concebidos para serem utilizados para o reconhecimento de emoções. E ele faz. Inclusive, o GPT-4 já faz. Se você tirar uma foto de uma pessoa e mandar para ele, ele vai analisar as expressões e o estado da pessoa. Eu fiz isso essa semana e funcionou muito bem. (1:32:29) Tem alguns estudos científicos que colocam em xeque essa questão da expressão facial. Pessoas podem fingir. Você consegue notar coisas bem evidentes, óbvio, mas há uma discrepância entre a real sensação e a sensação aparente. (1:33:05) Eu esqueci dessa notícia, queria ter posto essa porque é muito relevante. Fica como um bônus para quem nos acompanha no YouTube. Depois a gente pega o corte e compartilha nas redes. É isso aí. Valeu, pessoal. Quem nos acompanha até aqui, um grande abraço. A gente disse “até a próxima” antes, mas pode dizer de novo. (1:33:39) Para garantir: até a próxima.