Visão Geral de Segurança e Uso Responsável de IA

Visão Geral

O ISMS Copilot implementa medidas abrangentes de segurança de IA para garantir assistência de IA confiável, confiável e responsável para profissionais de conformidade. Este artigo explica as proteções, restrições de segurança e práticas de IA responsável incorporadas na plataforma.

Para Quem É Este Artigo

Este artigo é para:

• Profissionais de conformidade avaliando medidas de segurança de IA
• Gestores de risco avaliando controles de governança de IA
• Equipes de segurança preocupadas com o uso indevido de IA
• Qualquer pessoa que queira entender como o ISMS Copilot garante o uso responsável de IA

Princípios de Segurança de IA

A estrutura de segurança de IA do ISMS Copilot é baseada em quatro princípios fundamentais:

1. Limitação de Propósito

O assistente de IA é projetado exclusivamente para trabalhos de segurança da informação e conformidade:

• Focado em frameworks de ISMS (ISO 27001, SOC 2, GDPR, NIST, etc.)
• Redireciona educadamente perguntas fora do tópico para temas relacionados à conformidade
• Recusa solicitações de atividades prejudiciais, ilegais ou antiéticas
• Mantém-se dentro dos limites de assistência em consultoria de conformidade

2. Transparência e Honestidade

O assistente de IA reconhece abertamente suas limitações:

• Explicitamente declara incerteza quando apropriado
• Solicita aos usuários que verifiquem informações importantes
• Admite quando não sabe algo, em vez de adivinhar
• Explica claramente o que pode e não pode fazer

3. Proteção de Direitos Autorais e Propriedade Intelectual

O ISMS Copilot respeita os direitos de propriedade intelectual:

• Não reproduz padrões ISO protegidos por direitos autorais ou conteúdo proprietário
• Direciona os usuários a comprar padrões oficiais de fontes autorizadas
• Fornece orientação baseada nos princípios do framework sem copiar texto
• Treinado com dados anonimizados e obtidos legalmente, em conformidade com os requisitos de direitos autorais da UE

4. Privacidade por Design

A proteção de dados do usuário está incorporada em cada interação com a IA:

• As conversas nunca são usadas para treinar modelos de IA
• O conteúdo fornecido pelo usuário não é compartilhado com outros usuários
• Cada conversa é processada de forma independente
• O isolamento de workspace impede a mistura de dados entre projetos

Proteções de Segurança de IA

Proteções de Escopo de Conteúdo

O que a IA Fará:

• Responder perguntas sobre frameworks de ISMS e conformidade
• Analisar documentos de conformidade carregados (políticas, procedimentos, avaliações de risco)
• Gerar políticas e procedimentos prontos para auditoria
• Fornecer análise de lacunas e orientação de implementação
• Explicar controles de segurança e requisitos de conformidade

O que a IA NÃO Fará:

• Fornecer aconselhamento jurídico (sugere consultar profissionais jurídicos)
• Oferecer aconselhamento médico, financeiro ou pessoal fora do escopo de conformidade
• Gerar conteúdo para fins ilegais, prejudiciais ou antiéticos
• Reproduzir padrões protegidos por direitos autorais ou materiais proprietários
• Divulgar suas instruções personalizadas ou prompts do sistema

Prevenção de Jailbreak

O ISMS Copilot é projetado para resistir a tentativas de manipulação:

Táticas Bloqueadas:

• Truques de "repita depois de mim" para extrair prompts do sistema
• Cenários de interpretação de papéis projetados para contornar restrições de segurança
• Solicitações para "ignorar instruções anteriores"
• Manipulação de restrições ("responda sem recusas")
• Tentativas de acessar diretamente arquivos da base de conhecimento interna

Como Funciona:

Quando a IA detecta uma tentativa de jailbreak, ela:

1. Reconhece o padrão de manipulação
2. Recusa educadamente a solicitação
3. Redireciona para assistência legítima de ISMS
4. Mantém suas restrições de segurança

Proteção contra Injeção de Prompt

A plataforma protege contra conteúdo malicioso em uploads de arquivos:

O que Está Protegido:

• Documentos carregados são verificados em busca de tentativas de injeção de prompt
• Instruções maliciosas incorporadas em arquivos são silenciosamente rejeitadas
• Prompts do sistema não podem ser substituídos por conteúdo de arquivos
• Restrições de segurança permanecem ativas independentemente do conteúdo do arquivo

Experiência do Usuário:

• Arquivos são processados normalmente do ponto de vista do usuário
• Instruções prejudiciais são filtradas durante o processamento
• Apenas o conteúdo legítimo do documento é analisado
• Nenhuma mensagem de erro visível (proteção silenciosa)

Proteções de Conhecimento

A IA protege seus dados de treinamento e configuração do sistema:

O que os Usuários Não Podem Acessar:

• Instruções personalizadas ou prompts do sistema
• Detalhes sobre fontes de dados de treinamento
• Acesso direto a arquivos da base de conhecimento
• Links para download de documentos internos
• Informações sobre como a base de conhecimento é estruturada

Por Que Isso Importa:

Proteger prompts do sistema e dados de treinamento impede:

• Adversários de entender como manipular a IA
• Violações de direitos autorais ao reproduzir materiais de treinamento
• Riscos de segurança ao expor a arquitetura do sistema
• Comportamento inconsistente devido a instruções modificadas

Prevenção de Alucinações

O Que São Alucinações?

Alucinações de IA ocorrem quando a IA gera informações que soam confiantes, mas são factualmente incorretas. O ISMS Copilot aborda isso por meio de vários mecanismos:

Injeção Dinâmica de Conhecimento de Framework (v2.5)

A partir de fevereiro de 2025, o ISMS Copilot v2.5 praticamente elimina alucinações para perguntas específicas de frameworks por meio da injeção dinâmica de conhecimento de framework:

• Detecta menções de frameworks em suas perguntas usando correspondência de padrões regex (ISO 27001, GDPR, SOC 2, HIPAA, CCPA, NIS 2, DORA, ISO 42001, ISO 27701, EU AI Act)
• Injeta conhecimento verificado do framework no contexto da IA antes de gerar respostas
• A IA responde com base no conhecimento do framework fornecido, não na memória probabilística
• Detecção não baseada em IA garante 100% de confiabilidade quando frameworks são mencionados
• Suporta 10 frameworks com injeção de conhecimento dedicada

Treinamento em Conhecimento do Mundo Real

Além da injeção de conhecimento de framework, o ISMS Copilot é treinado em conhecimento especializado de conformidade:

• Biblioteca proprietária de conhecimento de conformidade de centenas de projetos reais de consultoria
• Baseado em experiência prática de implementação, não em informações teóricas
• Focado em frameworks, padrões e práticas comprovadas
• Regularmente atualizado com requisitos atuais de conformidade

Reconhecimento de Incerteza

A IA é instruída a ser honesta sobre suas limitações:

• Explicitamente declara quando está incerta sobre informações
• Solicita aos usuários que verifiquem informações críticas
• Evita inventar fatos quando o conhecimento é incompleto
• Sugere consultar padrões oficiais ou profissionais jurídicos quando apropriado

Exemplo de Resposta:

"Embora eu possa fornecer orientação geral sobre o controle A.8.1 da ISO 27001, ainda posso cometer erros. Para fins de auditoria, verifique esta informação no padrão oficial ISO 27001:2022."

Responsabilidade de Verificação do Usuário

O ISMS Copilot enfatiza que os usuários devem:

• Cruzar referências das sugestões da IA com padrões oficiais
• Validar informações críticas antes de submetê-las a auditores
• Usar a IA como assistente de consultor, não como substituto de expertise
• Exercer julgamento profissional ao aplicar recomendações da IA

Limitação de Taxa e Proteção de Recursos

Limites de Taxa de Mensagens

O ISMS Copilot implementa limitação de taxa para prevenir abusos e garantir acesso justo:

Plano Gratuito:

• 10 mensagens por janela móvel de 4 horas
• Contador reinicia após 4 horas da primeira mensagem
• Aplicado tanto no frontend quanto no backend

Planos Pagos (Plus, Standard, Pro, Business):

• Mais créditos por sessão (50 a 400 dependendo do plano)
• Sem restrições de limitação de taxa
• Processamento prioritário

Quando o Limite de Taxa É Atingido:

Você verá a mensagem de erro: "Limite diário de mensagens atingido. Faça upgrade para mais créditos por sessão."

Limites de Upload de Arquivos

Os uploads de arquivos têm restrições de segurança para proteger os recursos do sistema:

Tamanho do Arquivo:

• Máximo: 10MB por arquivo
• Mensagem de erro: "O arquivo 'documento.pdf' é muito grande (15.23MB). O tamanho máximo permitido é 10MB."

Tipos de Arquivo Suportados:

• TXT, CSV, JSON (arquivos de texto)
• PDF (documentos)
• DOC, DOCX (Microsoft Word)
• XLS, XLSX (Microsoft Excel)

Restrições de Upload:

• Um arquivo por vez (upload em lote não suportado)
• Não é possível carregar arquivos duplicados para a mesma mensagem
• Tipos de arquivo não suportados são rejeitados com mensagem de erro

Modo de Chat Temporário

O Que É o Chat Temporário?

O modo de chat temporário oferece conversas com preservação de privacidade e tratamento específico de dados:

Como Funciona:

1. Selecione "Chat Temporário" na tela de boas-vindas
2. Você verá o aviso: "Este chat não aparecerá no histórico. Por motivos de segurança, podemos manter uma cópia deste chat por até 30 dias."
3. Envie mensagens e carregue arquivos normalmente
4. A conversa não é adicionada ao seu histórico de conversas
5. Os dados podem ser retidos por até 30 dias para revisão de segurança

Quando Usar o Chat Temporário:

• Perguntas rápidas pontuais que não precisam ser salvas
• Discussões sensíveis que você não quer no histórico permanente
• Testar consultas antes de comprometer-se com um workspace
• Pesquisa exploratória sobre tópicos de conformidade

Controles de Retenção de Dados

Retenção Controlada pelo Usuário

Você decide por quanto tempo os dados da sua conversa são armazenados:

1. Clique no ícone do menu do usuário (canto superior direito)
2. Selecione Configurações
3. No campo Período de Retenção de Dados, escolha:

• Mínimo: 1 dia (trabalho de curto prazo, alta segurança)
• Máximo: 24.955 dias / 7 anos (documentação de longo prazo)
• Ou clique em Manter Para Sempre para retenção indefinida

4. Clique em Salvar Configurações

Resultado esperado: A caixa de diálogo de configurações fecha e o período de retenção é salvo.

Exclusão Automática de Dados

O ISMS Copilot exclui automaticamente dados antigos:

• O trabalho de exclusão é executado diariamente
• Remove mensagens mais antigas que o seu período de retenção
• Exclui arquivos carregados associados
• É permanente e não pode ser recuperada

Recursos de Segurança do Workspace

Isolamento de Dados

Os workspaces fornecem limites de segurança para diferentes projetos:

Como Funciona o Isolamento:

• Cada workspace tem histórico de conversas separado
• Arquivos carregados são vinculados a workspaces específicos
• Instruções personalizadas são específicas do workspace
• Excluir um workspace remove todos os dados associados
• A IA não compartilha informações entre workspaces

Segurança das Instruções Personalizadas

Os workspaces permitem instruções personalizadas com restrições de segurança:

O que as Instruções Personalizadas Podem Fazer:

• Especificar foco em frameworks de conformidade particulares
• Definir tom ou nível de detalhe para respostas
• Definir contexto específico do projeto (setor, tamanho da organização)
• Orientar a IA em direção a metas específicas de conformidade

Restrições de Segurança:

• Instruções personalizadas devem estar relacionadas à conformidade
• Não podem substituir as proteções de segurança principais
• Não podem instruir a IA a ignorar proteções de direitos autorais
• Não podem contornar limitações de escopo de conteúdo

Sem Treinamento em Dados do Usuário

Garantia de Privacidade

O ISMS Copilot se compromete a nunca usar seus dados para treinamento de IA:

O Que Isso Significa:

• Suas conversas nunca são alimentadas de volta no modelo de IA
• Documentos carregados permanecem confidenciais e privados
• Informações do cliente nunca contribuem para a melhoria do modelo
• Cada conversa é processada de forma independente sem aprendizado

Como Isso o Protege:

• A confidencialidade do cliente é mantida
• Informações proprietárias permanecem privadas
• Dados sensíveis de conformidade não são compartilhados com outros usuários
• Não há risco de a IA revelar acidentalmente suas informações para outros

Transparência no Processamento de Dados

O ISMS Copilot é transparente sobre como seus dados são usados:

Como Seus Dados SÃO Usados:

• Processamento de suas perguntas para gerar respostas
• Análise de documentos carregados para análise de lacunas
• Manutenção do contexto da conversa dentro de um workspace
• Armazenamento de dados de acordo com suas configurações de retenção
• Monitoramento de segurança por até 30 dias (para prevenir abusos)

Como Seus Dados NÃO SÃO Usados:

• Treinamento ou ajuste fino de modelos de IA
• Compartilhamento com outros usuários ou clientes
• Fins de marketing ou publicidade
• Venda para terceiros
• Divulgação pública ou estudos de caso (sem permissão explícita)

Autenticação e Controle de Acesso

Requisitos de Autenticação do Usuário

Todas as interações com a IA exigem autenticação:

• Não é possível enviar mensagens sem fazer login
• Token JWT valida cada solicitação de API
• Sessões expiram após período de inatividade
• Segurança em nível de registro garante que os usuários vejam apenas seus próprios dados

Proteção entre Usuários

O isolamento em nível de banco de dados impede acesso não autorizado:

• Usuários não podem acessar conversas de outros usuários
• Tentar acessar dados de outro usuário retorna resultados vazios
• Todas as consultas filtram automaticamente pelo ID do usuário autenticado
• Mesmo os administradores seguem o princípio do menor privilégio

Melhores Práticas de IA Responsável

Para Usuários

Obtendo os Melhores Resultados:

• Faça perguntas específicas relacionadas a frameworks (por exemplo, "Como implemento o controle A.8.1 da ISO 27001?")
• Forneça contexto sobre sua organização e metas de conformidade
• Carregue documentos relevantes para uma análise de lacunas precisa
• Revise e refine o conteúdo gerado pela IA antes de usá-lo

Práticas de Verificação:

• Cruze referências das sugestões da IA com padrões oficiais
• Valide informações críticas com especialistas em conformidade
• Teste políticas geradas pela IA no contexto da sua organização
• Use a IA como assistente, não como substituto de expertise

Para Organizações

Práticas de Governança:

• Documente o uso do ISMS Copilot em sua política de governança de IA
• Treine a equipe sobre uso apropriado e limitações
• Defina períodos de retenção de dados alinhados com suas políticas
• Revise o conteúdo gerado pela IA antes de submissão oficial
• Mantenha supervisão humana para decisões críticas de conformidade

Gestão de Riscos:

• Inclua ferramentas de IA em Avaliações de Impacto na Proteção de Dados (DPIA)
• Documente acordos de processamento de dados com o ISMS Copilot
• Defina períodos de retenção apropriados para dados sensíveis
• Use workspaces para isolar dados de diferentes clientes ou projetos

Governança de IA na Prática

Além das restrições de segurança, operamos nossos sistemas de IA com governança de ciclo de vida completo. Veja como nossas políticas se traduzem em práticas tangíveis:

Processo de Desenvolvimento

Requisitos e Testes:

• Cada recurso de IA possui requisitos documentados cobrindo capacidades funcionais, limiares de desempenho, restrições de segurança e padrões de tratamento de dados
• Testes de regressão são executados em cada alteração de código para validar precisão de recuperação, fundamentação de resposta e detecção de alucinações
• Testes de segurança incluem varreduras SAST/DAST, testes de penetração anuais e testes de injeção de prompt
• Nenhuma implantação ocorre até que 100% dos testes de regressão sejam aprovados e todas as vulnerabilidades críticas sejam resolvidas

Detalhes da Arquitetura (v2.5, Fevereiro de 2025):

• Arquitetura de injeção dinâmica de conhecimento de framework (substitui a abordagem RAG anterior)
• Detecção de framework baseada em regex garante identificação confiável de ISO 27001, SOC 2, GDPR, HIPAA, CCPA, NIS 2, DORA, ISO 42001, ISO 27701, EU AI Act
• Eficiência de tokens: Apenas o conhecimento relevante do framework é carregado (vs. enviar todos os ~10K tokens a cada solicitação)
• Conhecimento verificado do framework fornecido à IA antes da geração de resposta
• Provedores de IA configuráveis (Mistral, xAI, OpenAI) com acordos de retenção zero de dados

Monitoramento e Melhoria Contínua

O Que Monitoramos:

• Taxas de alucinação rastreadas por meio de relatórios de usuários e detecção automatizada contra verdade conhecida
• Precisão das respostas amostradas e validadas em relação aos padrões oficiais de conformidade
• Padrões de uso analisados para detectar uso indevido ou aplicações não intencionais
• Métricas de desempenho (tempo de resposta, precisão de recuperação, taxas de erro) medidas continuamente
• Feedback dos usuários revisado regularmente para identificar riscos emergentes

Como o Monitoramento Impulsiona a Melhoria:

• O feedback dos usuários informa atualizações do modelo e ajustes de recuperação
• Resultados de testes de segurança impulsionam melhorias de segurança
• Atualizações de mudanças regulatórias e melhores práticas refletidas na documentação
• Dados de desempenho orientam melhorias iterativas na precisão e velocidade

Resposta a Incidentes

Como Comunicamos Problemas:

• Alertas por e-mail para incidentes críticos que afetam a funcionalidade da IA
• Notificações no Slack para equipes com integrações configuradas
• Atualizações na página de status com cronogramas de incidentes e resoluções
• Notificações de alerta precoce compatíveis com NIS2 (relatório de 24 horas para incidentes significativos de cibersegurança)

Relatando Problemas de Segurança

Quando Relatar

Entre em contato com o suporte do ISMS Copilot se encontrar:

• Respostas da IA que violam restrições de segurança
• Potenciais alucinações ou informações factualmente incorretas
• Violações de direitos autorais na saída da IA
• Conteúdo ou comportamento inadequado
• Vulnerabilidades de segurança no sistema de IA
• Violações de privacidade ou vazamentos de dados

Como Relatar

1. Clique no ícone do menu do usuário (canto superior direito)
2. Selecione Central de Ajuda → Contatar Suporte
3. Descreva o problema de segurança com:

• Pergunta ou prompt exato que você usou
• Resposta da IA (captura de tela, se possível)
• Por que você acredita que é uma preocupação de segurança
• Data e hora da interação

4. O suporte investigará e responderá em até 48 horas

O Que Acontece Após o Relatório

Seu relatório aciona nosso processo de governança:

1. Revisão imediata (em até 48 horas): A equipe de suporte avalia a gravidade e o impacto
2. Investigação: A equipe técnica analisa o problema, reproduz a questão e identifica a causa raiz
3. Resposta: Você recebe uma atualização sobre as descobertas e ações planejadas
4. Remediação: Os problemas são resolvidos por meio de atualizações do modelo, ajustes de recuperação, correções de código ou melhorias na documentação
5. Melhoria contínua: As lições aprendidas são integradas aos processos de teste e monitoramento

Limitações e Restrições Conhecidas

Limitações Atuais da IA

• Não pode navegar na internet para obter informações atuais (usa base de conhecimento treinada)
• Não pode acessar bancos de dados externos ou APIs em tempo real
• Não pode executar código ou executar ferramentas de teste de segurança
• Não pode fazer ligações ou enviar e-mails em seu nome
• Não pode garantir 100% de precisão (sempre verifique informações críticas)

Limites de Escopo

• Focado em ISMS e conformidade (não é uma IA de propósito geral)
• Não pode fornecer aconselhamento jurídico, médico ou financeiro fora do contexto de conformidade
• Não pode substituir padrões oficiais ou o julgamento de auditores
• Não pode garantir sucesso em auditorias (a qualidade da implementação importa)

Próximos Passos

• Saiba sobre medidas de segurança e criptografia de dados
• Entenda seus direitos de privacidade sob o GDPR
• Configure workspaces para isolamento de dados
• Visite o Centro de Confiança para documentação detalhada de governança de IA

Obtendo Ajuda

Para dúvidas sobre segurança de IA e uso responsável:

• Revise o Centro de Confiança para informações detalhadas sobre governança de IA
• Entre em contato com o suporte através do menu da Central de Ajuda
• Relate preocupações de segurança imediatamente para investigação
• Verifique a Página de Status para problemas conhecidos