A Meta coloca a AI (mantém-se a sigla inglesa) no centro do seu processo de Risk Review, antecipando as verificações de compliance para a fase de codificação

Do Privacy Review de produto a um programa transversal de Risk Review

Michel Protti, Chief Compliance and Privacy Officer for Product da Meta, apresenta este anúncio como mais do que uma simples atualização de ferramentas. Segundo a Meta, a empresa está a transformar o seu Privacy Review de produto num programa mais amplo e transversal, o Risk Review, com a AI (mantém-se a sigla inglesa) no seu núcleo.

Esta redefinição de âmbito é importante. O processo anterior era descrito como focado na privacidade; o novo integra privacidade, segurança e proteção num único fluxo de revisão. O motivo apontado é a escala: a Meta reporta a realização de dezenas de milhares de revisões de risco e compliance por ano, num contexto de centenas de leis de proteção de dados em todo o mundo que evoluem à medida que a tecnologia avança.

A verdadeira mudança estrutural está na consolidação. Em vez de manter revisões paralelas por domínio, a Meta está a construir um sistema único que cruza novos produtos e funcionalidades com aquilo a que chama uma biblioteca global de políticas e regulamentos.

A passagem dos formulários de admissão para a deteção durante o desenvolvimento

O ponto de fricção identificado pela Meta é a admissão manual. Anteriormente, os especialistas passavam horas a reunir informação e a preencher formulários de admissão padronizados apenas para dar início a uma revisão. O sistema de AI (mantém-se a sigla inglesa) preenche agora previamente a documentação essencial e destaca desde o início os requisitos relevantes do produto.

Mais relevante ainda é o momento em que a revisão acontece. Segundo a Meta, o sistema analisa as propostas de produto durante a fase de desenvolvimento, identificando potenciais problemas ou lacunas no código e sugerindo soluções antes de se chegar à fase de testes.

Desta forma, o nosso programa de Risk Review potenciado por AI (mantém-se a sigla inglesa) funciona como uma ferramenta de deteção de risco permanentemente ativa, que apoia as nossas equipas em todas as fases do processo de revisão, ajudando-nos a identificar potenciais problemas e a sugerir medidas de mitigação para revisão por especialistas ainda durante a escrita do código, e não depois.Montana Labs

É esta a ideia central a analisar: o compliance a deslocar-se para etapas anteriores, integrando-se no ciclo de codificação, em vez de funcionar como uma barreira antes do lançamento. O objetivo declarado pela Meta é uma cultura em que os processos manuais sejam a excepção, e não a regra.

Como funciona na prática a divisão entre humanos e AI (mantém-se a sigla inglesa)

A Meta é explícita quanto à divisão de tarefas. Na maioria dos casos, a AI (mantém-se a sigla inglesa) faz uma primeira análise; os especialistas confirmam a exatidão, asseguram uma supervisão contínua e concentram-se nos casos novos e de elevado impacto que exigem discernimento humano.

Vale a pena destacar que os humanos são descritos como os arquitetos do sistema — são eles que definem as regras de utilização e supervisão da AI (mantém-se a sigla inglesa). A tecnologia garante a escala; as pessoas definem o rumo. Trata-se tanto de uma afirmação sobre governação como sobre produtividade.

A tensão não explicitada está na calibração. Quando a AI (mantém-se a sigla inglesa) faz a primeira análise em dezenas de milhares de revisões, a qualidade do que chega aos especialistas humanos depende inteiramente da capacidade do sistema para distinguir os casos de rotina dos que exigem maior escrutínio. A Meta não divulga taxas de erro, taxas de anulação, nem a forma como avalia se essa primeira análise está a identificar corretamente os casos relevantes — os indicadores que permitiriam a terceiros avaliar se a supervisão é efetiva ou meramente formal.

A implicação: compliance como monitorização contínua, e não como barreira ao lançamento

A ideia mais duradoura deste anúncio é a continuidade. A Meta descreve uma monitorização contínua para garantir que as proteções continuam a funcionar à medida que os produtos evoluem, além de um acompanhamento permanente das alterações regulatórias, de modo a atualizar os produtos em conformidade.

Isto transforma a revisão de risco, deixando de ser uma aprovação pontual para se tornar um processo permanente, ativo durante o desenvolvimento e depois do lançamento. Para as equipas de aplicação prática, este é o problema de engenharia mais difícil — não é automatizar um formulário, mas manter uma biblioteca de políticas atualizada em centenas de jurisdições e voltar a verificar os produtos já lançados face a essa mesma biblioteca.

A Meta apresenta esta iniciativa como uma tendência do setor, referindo que os Data Protection Officers irão discutir a gestão integrada e multidomínio do risco no IAPP Global Summit. O anúncio apresenta o modelo, mas não a prova; a questão que permanece em aberto é se a deteção permanentemente ativa melhora efetivamente os resultados ou se, sobretudo, acelera um processo cuja exatidão continua a depender dos humanos que o verificam.