China avança na legislação sobre o ciclo de vida da IA, com divulgação de riscos e sandboxes regulatórios em perspectiva

A China está avançando na criação de uma estrutura mais abrangente para a governança da inteligência artificial, com possíveis implicações para empresas que combinam IA e tecnologia blockchain. As diretrizes apresentadas pela Comissão Nacional de Desenvolvimento e Reforma em 3 de novembro ampliariam a supervisão para todo o ciclo de vida da IA — desde os dados e recursos computacionais até os algoritmos e suas aplicações no mundo real.

Desenvolvedores e operadores seriam incentivados a divulgar prontamente os riscos de segurança e a comunicar, de forma proativa, incidentes e vulnerabilidades. Ao mesmo tempo, os formuladores de políticas preveem períodos de transição e sandboxes regulatórios nos quais as empresas poderiam testar novas tecnologias em condições controladas.

Para as empresas do setor cripto, é importante fazer uma distinção: as medidas anunciadas representam uma orientação de política pública, e não um conjunto definitivo de obrigações. As empresas devem acompanhar o escopo final da legislação, seu cronograma de implementação e sua interação com as restrições já existentes sobre atividades relacionadas a criptomoedas.

O que a supervisão de todo o ciclo de vida da IA pode significar

Em vez de se concentrar apenas nos resultados produzidos por um modelo, a abordagem proposta levaria em conta os riscos ao longo de todo o processo de desenvolvimento e implementação. Isso poderia incluir a forma como os dados de treinamento são obtidos, como os sistemas são testados, o que acontece após o lançamento de um produto e como os operadores reagem quando algo dá errado.

A China já regulamenta determinados serviços de IA. Suas medidas provisórias para serviços de IA generativa, em vigor desde 2023, aplicam-se aos serviços abrangidos pelas regras que geram conteúdo para o público na China. Uma lei mais ampla poderia complementar essa estrutura, embora ainda seja necessário esclarecer a relação exata entre as medidas atuais e a futura legislação.

Nas equipes de blockchain, a IA pode estar presente em diversas partes de um produto: em um assistente de suporte, em uma ferramenta de monitoramento de transações, em um serviço de análise de contratos inteligentes ou em uma interface de negociação automatizada. Cada uma dessas aplicações apresenta riscos distintos. Um chatbot que explica uma transação pode, por exemplo, expor dados confidenciais do usuário, enquanto um agente de IA capaz de iniciar transações pode cometer erros difíceis de reverter.

As diretrizes também vão além da segurança técnica. Entre as áreas apontadas como prioritárias estão os impactos no emprego, a dependência dos usuários em relação à IA, os deepfakes, a discriminação algorítmica e o vazamento de dados pessoais. Essas preocupações podem ser relevantes para plataformas cripto que utilizam IA para tomar decisões sobre o acesso a contas, gerar conteúdo financeiro ou interagir com usuários por meio de conversas.

Por que a divulgação de riscos é importante para produtos cripto

A ênfase na comunicação de incidentes e vulnerabilidades é especialmente relevante para produtos que lidam com ativos digitais. Uma falha pode envolver muito mais do que uma resposta incorreta: um sistema de IA pode interpretar erroneamente um contrato, recomendar um endereço malicioso ou convencer o usuário a aprovar uma transação insegura.

Para avaliar sua exposição a esses riscos, as equipes podem começar documentando:

• Limites do sistema: Quais decisões são tomadas pela IA e quais exigem aprovação humana?
• Fluxos de dados: Quais informações dos usuários, endereços de carteiras ou detalhes de transações são enviados a um modelo ou fornecedor terceirizado?
• Resposta a incidentes: Como a equipe identificará, conterá e comunicará um resultado prejudicial ou uma violação de segurança?
• Impacto sobre o usuário: Um erro poderia provocar a perda de ativos, a exclusão de um serviço ou a divulgação de informações confidenciais?

Essas são questões práticas de governança, e não uma descrição de requisitos legais chineses já definidos. Para uma abordagem mais ampla de identificação e gestão dos riscos relacionados à IA, o Framework de Gestão de Riscos de IA do NIST é uma referência útil.

Sandboxes regulatórios podem abrir espaço para testes

Em geral, um sandbox regulatório permite que uma empresa teste um produto dentro de limites previamente definidos, enquanto os órgãos reguladores acompanham os resultados. Na abordagem apresentada em 3 de novembro, sandboxes poderiam ser estabelecidos em diversos setores, com mecanismos para candidatura, testes, utilização e saída. As regras também poderiam ser revistas e ajustadas ao longo do tempo.

Para desenvolvedores de blockchain, um teste controlado poderia ajudar a avaliar uma ferramenta de segurança assistida por IA antes de sua implementação em maior escala. Limites de participantes, valores das transações ou permissões do sistema poderiam facilitar a identificação de falhas sem expor uma grande base de usuários.

No entanto, um sandbox não representa uma autorização ampla para oferecer serviços relacionados a criptomoedas. A possibilidade de participação de um projeto dependeria do programa aplicável, de suas regras e da atividade submetida a testes. As empresas devem avaliar os requisitos de IA separadamente das normas que regem os ativos digitais e os serviços financeiros em sua jurisdição.

Períodos de transição razoáveis também poderiam dar às organizações afetadas tempo para se adaptar. Sua duração e seus efeitos práticos dependerão das regras finais.

Agentes de IA tornam ainda mais importante a revisão das transações

Uma das questões mais relevantes para os usuários de criptomoedas é o grau de autoridade que deve ser concedido a um sistema de IA. Um assistente pode ser útil para resumir um contrato ou explicar uma transação, mas sua explicação não comprova que a operação é segura.

Antes de aprovar uma transação sugerida por IA, os usuários devem verificar de forma independente:

1. O endereço de destino e a rede. Uma explicação convincente não impede que os fundos sejam enviados ao local errado.
2. O ativo e o valor. Confirme o que sairá da carteira e se as taxas são razoáveis.
3. As permissões do contrato. Analise atentamente as aprovações de tokens, sobretudo as permissões que permitem a um contrato movimentar ativos posteriormente.
4. A origem da solicitação. Vídeos deepfake, vozes clonadas e mensagens persuasivas em chats podem dificultar a identificação de tentativas de falsificação de identidade.
5. As informações confidenciais. Nunca forneça uma frase de recuperação ou chave privada a um assistente de IA, chat de suporte ou site.

Uma carteira de hardware como a OneKey pode ajudar a manter as chaves privadas separadas de dispositivos conectados à internet, ao mesmo tempo que permite ao usuário revisar e autorizar transações. No entanto, ela não é capaz de determinar se todas as transações são legítimas nem de impedir que o usuário aprove uma solicitação maliciosa. Portanto, uma verificação cuidadosa continua sendo indispensável.

O que acompanhar daqui em diante

O avanço da China rumo a uma legislação sobre o ciclo de vida da IA aponta para um modelo de governança que leva em conta tanto a inovação quanto os danos que esses sistemas podem causar após sua implementação. Para as empresas de blockchain, a tarefa imediata é mapear onde a IA é utilizada, a quais recursos ela tem acesso e como eventuais incidentes seriam tratados.

Os próximos detalhes importantes serão o escopo do projeto de lei, os possíveis requisitos de comunicação, a duração dos períodos de transição e a estrutura de cada sandbox. Até que essas informações sejam publicadas, as empresas devem interpretar as diretrizes anunciadas como um sinal de que precisam se preparar — e não como um substituto para regras definitivas.