A IA generativa torna as ações judiciais baratas - e as empresas precisam se preparar

No ano passado, para melhorar a conformidade fiscal, o Departamento do Tesouro dos EUA propôs uma regra criada para aumentar as divulgações de criptomoedas. O setor de criptomoedas achou que as obrigações eram muito amplas e reagiu duramente, com o apoio de um aliado não convencional. O "LexPunk Army", uma comunidade de advogados e desenvolvedores que fornece suporte jurídico de código aberto para o setor financeiro descentralizado, lançou um bot de IA que qualquer pessoa poderia usar para fazer comentários sobre a regra proposta. O efeito foi triplo: Primeiro, qualquer pessoa que tivesse um comentário poderia enviá-lo facilmente no formato correto. Em segundo lugar, um grande número de comentários retardou a ação do Tesouro, podendo atrasar ou colocar em risco a regra. Em terceiro lugar, os comentários criaram as bases para uma futura contestação legal. O número médio de comentários sobre uma nova regulamentação é três, mas, nesse caso, a regra gerou 120.000 comentários. Quando a proposta foi finalizada, ela foi diluída no que a Blockchain Association descreveu como um "testemunho da voz incrivelmente poderosa de nosso setor e comunidade". Trata-se de uma vitória isolada de um grupo de nicho com conhecimento sobre tecnologia e leis? Ou é indicativo de uma disrupção mais ampla na forma como indivíduos e empresas se envolverão com a lei? Acreditamos que seja a segunda opção - um exemplo prototípico de como a tecnologia ampliará os serviços e processos jurídicos de novas maneiras que representam grandes promessas e grandes desafios para governos e empresas. Um mundo em chamas Não é apenas a digitalização da lei que está mudando. Atualmente, o mundo está sofrendo com a volatilidade geopolítica e com o declínio do estado de direito, o que aumenta a exposição jurídica de forma mais geral. As proteções legais tradicionais para o comportamento corporativo estão caindo: O processo de adjudicação da OMC foi neutralizado. Novas guerras significam novas sanções. Os países estão seguindo seu próprio caminho em termos de regulamentação, criando uma série de regras que devem ser cumpridas. Os políticos estão processando seus rivais e ameaçando contestar eleições em jurisdições tradicionalmente livres e justas. Toda essa turbulência gera novas exposições para as empresas globais. De acordo com uma pesquisa realizada em 2022, 99% dos consultores internos disseram que estão lidando com um volume "consideravelmente" maior de questões jurídicas, que também são mais complicadas. As ações judiciais podem vir de concorrentes, funcionários, clientes ou órgãos reguladores do governo que estão em busca de um pagamento econômico ou político. Colapso dos custos jurídicos As empresas podem gastar centenas de milhões de dólares por ano em serviços jurídicos. Essas empresas, cujos advogados podem custar milhares de dólares por hora, provavelmente não sentem que o custo jurídico está diminuindo. Mas isso está prestes a mudar radicalmente. Vejamos o exemplo do comentário sobre a proposta de regra de criptomoeda do Departamento do Tesouro, que tinha cerca de 100.000 palavras. Com 225 palavras por minuto, uma pessoa comum levaria quase oito horas apenas para ler a legislação. Depois, o senhor pode levar mais duas horas para redigir uma resposta. Não estamos nem falando de tempo analítico - apenas o tempo necessário para digerir e formular uma resposta. Com taxas horárias corporativas médias de US$ 500, essas 10 horas de trabalho custariam US$ 5.000. Com advogados mais caros fazendo um trabalho mais extenso, esse valor poderia ser muito maior. Compartilhamos a regra de criptomoeda proposta com vários modelos de linguagem ampla (LLMs) voltados para o consumidor, que geraram visões gerais concisas e compreensíveis da proposta em minutos. Quando dissemos ao LLM para adotar diferentes personas - um corretor de Bitcoin, um comprador de Bitcoin - ele nos explicou por que deveríamos nos preocupar e esboçou comentários que poderíamos ter enviado. Isso praticamente não consumiu tempo ou dinheiro. Imagine se essas ferramentas forem usadas como armas contra sua empresa. Digamos que o senhor tenha expandido para um novo mercado em que um concorrente se sinta ameaçado e decida partir para o ataque legal. Ele usa uma ferramenta de IA para vasculhar informações públicas sobre sua empresa e abrir centenas de processos por violação de direitos autorais, propriedade intelectual e roubo de segredos comerciais. A escala significa que o senhor não pode simplesmente ignorar ou se contentar com um valor nominal. Ou talvez o senhor administre um restaurante ou uma cafeteria. E se todos os smartphones que entrassem no restaurante estivessem a alguns cliques de capturar o comportamento de seus funcionários e registrar uma reclamação por discriminação? Sua exposição ao risco aumentaria muito. Por fim, imagine que um de seus clientes tenha uma reclamação contra sua empresa. Tradicionalmente, eles seguem seu processo de atendimento ao cliente porque o custo de uma ação judicial é proibitivo. Mas e se eles pudessem usar uma plataforma para clicar em alguns botões e registrar uma reclamação que levaria a um pagamento mais alto para eles e custaria ao senhor mais em honorários advocatícios para se defender do que em um acordo? Apostamos que eles clicariam nesse botão. Hoje em dia, as empresas podem se safar de um mau comportamento porque é muito caro fazer com que sejam punidas. Seus funcionários, clientes ou concorrentes precisam pensar muito antes de partir para o ataque porque as batalhas legais consomem tempo, são caras e distraem os senhores. Quando a ação legal se tornar muito mais fácil, muito mais ações serão tomadas. A TI nivela o campo de jogo ao remover a vantagem assimétrica que as empresas têm hoje de contar com mais recursos jurídicos e conhecimento especializado na ponta dos dedos. Em alguns casos, isso é bom para a justiça e, em outros, permite agressores injustificados. Independentemente disso, cria um novo mundo de riscos jurídicos para as empresas. O novo risco cibernético Esse mundo é novo para o risco jurídico, mas não para a segurança cibernética, que vem lidando com riscos de alto volume há décadas e oferece lições úteis para lidar com a próxima onda de ações judiciais. Imagine se centenas de empresas compartilhassem dados sobre os tipos de ações judiciais que estão enfrentando - e os mecanismos tecnológicos que as produzem. Ou se elas até investissem em tecnologia para facilitar o compartilhamento e reduzir as vulnerabilidades. Isso é comum na segurança cibernética. Desde o sistema Common Vulnerabilities and Exposures (CVE) até o National Vulnerability Database, governos, empresas, acadêmicos e caçadores de bugs aprenderam a compartilhar. É difícil imaginar uma série de CEOs e conselheiros gerais que acham que é uma boa ideia compartilhar as vulnerabilidades e exposições legais de suas empresas. Eles teriam objeções imediatas com base em privilégio e confidencialidade, bem como preocupações com antitruste. Essas objeções estão enraizadas em um cálculo de risco baseado na forma familiar de risco legal: Uma ação legal específica é tomada por um ator claro. Os riscos legais futuros serão expedições de pesca legais semelhantes aos ataques de "phishing" na Internet: ações menos pessoais e produzidas em massa iniciadas por muitos atores. Quando coordenadas, elas serão muito mais parecidas com os ataques de negação de serviço distribuído (DDoS), que envolvem sobrecarregar um alvo com uma enxurrada de tráfego para deixá-lo off-line. Isso é semelhante a tentar sobrecarregar o Tesouro com comentários para torná-lo mais lento. Os ataques DDoS são pequenos incômodos, até que não sejam mais. As solicitações aos servidores fazem parte da Internet da mesma forma que os comentários sobre uma proposta de regra são apenas uma parte do direito administrativo ou a apresentação de reclamações de clientes é simplesmente a execução de um direito do consumidor. Mas quando há muitas solicitações ao mesmo tempo, o sistema entra em colapso. Na segurança cibernética, a posição padrão é que a insegurança cibernética é ruim para todos, exceto para os criminosos e adversários. Embora as empresas possam certamente ser responsabilizadas por não tomarem medidas para se protegerem - e protegerem os dados confidenciais dos clientes - contra ataques, as empresas ainda são vistas como vítimas na maioria dos casos. Por exemplo, o Petya (2016) e o NotPetya (2017) foram ataques que exploraram vulnerabilidades semelhantes e realizaram a mesma ação - criptografar os arquivos dos usuários -, mas tiveram finalidades diferentes. O Petya foi implantado por criminosos como ransomware. O senhor paga uma taxa e recebe seus dados de volta. Por outro lado, acredita-se que o NotPetya tenha sido implantado pela Rússia simplesmente para destruir dados. Em ambos os casos, as empresas atacadas, como a gigante do transporte marítimo Maersk, foram vistas como vítimas. Há alguma razão para pensar que a Rússia ou outro ator estatal não realizaria ataques semelhantes a sistemas jurídicos por meio de empresas ou dos sistemas jurídicos já sobrecarregados dos quais elas dependem? A Coreia do Norte, a Rússia e o Irã, por exemplo, condenaram os EUA por racismo e acesso desigual à justiça. Será que eles podem tentar envergonhar os EUA e prejudicar suas empresas mais bem-sucedidas fornecendo litígio como serviço com tecnologia de IA para clientes ou concorrentes irritados? Embora muitos aspirantes a sequestradores sejam sufocados pela ameaça de pena de prisão por suas ações, uma estratégia jurídica ofensiva é muito legal. Na verdade, não é difícil se convencer de que partir para o ataque é simplesmente uma maneira mais eficiente de obter justiça e reequilibrar a dinâmica do poder. À medida que o fluxo de ameaças legais aumenta, será cada vez mais difícil determinar quem está buscando um pagamento e quem está buscando fazer com que a empresa-alvo passe por fases de descoberta dolorosas e embaraçosas a um custo baixo para o agressor. Descobrir o que é sinal e o que é ruído é difícil em uma inundação e as empresas precisarão de novas técnicas de filtragem de riscos legais. Sem dúvida, combater a IA com IA será um resultado natural. A nova armadura jurídica Atualmente, é mais provável que as empresas interajam com riscos jurídicos significativos na sala de reuniões, onde as ações e os casos jurídicos chegam ao radar de risco da empresa somente quando atingem um limite de materialidade. Esse não é o mecanismo de filtragem correto para o risco legal no futuro. Para se preparar para essa nova realidade, as empresas precisam seguir o exemplo da preparação para a segurança cibernética. Especificamente, as empresas precisarão agir rapidamente para entender melhor suas vulnerabilidades, ameaças emergentes e seu impacto potencial, as ações de mitigação de risco que desejam adotar e suas estratégias de comunicação com as partes interessadas internas e externas. Por exemplo, o escritório jurídico DLA Piper trabalha com empresas em um exercício de "equipe jurídica vermelha" para identificar vulnerabilidades. Comece estabelecendo uma abordagem e uma estratégia central. O senhor pode decidir investir em tecnologia para gerenciar o volume crescente de riscos jurídicos. É claro que a abordagem antiga também consiste em atacar o problema com pessoas - aumentar o número de advogados internos ou terceirizar para um escritório de advocacia também pode funcionar, pelo menos por algum tempo. Em seguida, conecte a estratégia corporativa e as equipes jurídicas para pensar sobre a presença atual da empresa. Quais são seus principais mercados? Onde há concorrentes ferozes que farão de tudo para obter participação no mercado? A quais sistemas jurídicos a empresa está exposta e como eles se comportarão sob ataques jurídicos gerados por IA e de maior volume? Vale a pena sair de alguns lugares para proteger aqueles em que a empresa manterá um ponto de apoio? Há medidas de mitigação que o senhor pode tomar agora para reduzir suas vulnerabilidades? Além disso, é fundamental monitorar o que está acontecendo no mundo. Embora não exista um sistema CVE para riscos jurídicos, os esforços para digitalizar o trabalho jurídico e tornar o funcionamento do sistema jurídico mais transparente, pelo menos em alguns países, significam que não há escassez de dados disponíveis para começar. Acrescente a isso os dados que o senhor já possui sobre os riscos jurídicos existentes e terá um bom ponto de partida. Uma vez identificados os riscos, o senhor pode identificar sua equipe de resposta e projetar sistemas e processos para responder aos riscos. Analise as estruturas de práticas recomendadas para a segurança cibernética, como o NIST CSF 2.0, e converse com suas equipes internas de segurança cibernética. Os GCs podem descobrir que podem aprender muito com a forma como os CISOs operam seus centros de operações de segurança (SOCs). Procure parceiros externos que gostariam de colaborar. Grupos do setor, empresas parceiras e alguns órgãos governamentais podem ser chamados para o desenvolvimento de respostas mais holísticas a tipos específicos de ataques. Por exemplo, um ataque de reivindicações frívolas de propriedade intelectual poderia fornecer uma base para fazer lobby para obter apoio regulatório ou legislativo. Uma palavra final de cautela: Não subestime esse risco. O Departamento do Tesouro teve que dar sentido a 120.000 comentários porque a tecnologia facilitou isso. Prepare-se para sua inundação legal antes que ela chegue.

A IA generativa torna as ações judiciais baratas - e as empresas precisam se preparar

Resumo.

Partner Center