Uso não autorizado de IA compromete a segurança de 51% das empresas
A adoção acelerada de ferramentas de inteligência artificial no ambiente corporativo está criando um novo desafio para as empresas brasileiras: o Shadow AI, termo usado para definir o uso de aplicações de IA sem autorização, supervisão ou validação do departamento de tecnologia e segurança. Segundo uma pesquisa da KnowBe4, essa prática afetou diretamente a postura de segurança de 51% das organizações nos últimos 12 meses.
O levantamento ouviu líderes de cibersegurança e mostrou que 40% dos profissionais brasileiros utilizam ferramentas pessoais de IA durante o trabalho. Desse grupo, 13,5% afirmam preferir essas soluções particulares às plataformas oficialmente aprovadas pela empresa. A escolha costuma estar relacionada à praticidade, à velocidade de resposta e à percepção de que as ferramentas internas são mais limitadas.
O problema é que, ao recorrer a aplicações não homologadas, o funcionário pode inserir informações estratégicas em ambientes sobre os quais a organização não possui controle. Dados de clientes, contratos, códigos-fonte, relatórios financeiros, documentos jurídicos e credenciais podem acabar armazenados, processados ou utilizados para aprimorar modelos de terceiros.
Informações confidenciais estão entre os principais riscos
Quase metade dos entrevistados, 49,5%, reconhece que o envio de informações sigilosas para ferramentas de IA não verificadas representa uma ameaça relevante. O risco não está apenas no conteúdo inserido, mas também na forma como o serviço armazena os dados, nas permissões concedidas e no eventual compartilhamento com outros sistemas.
A ausência de políticas claras agrava o cenário. Quando a empresa não define quais ferramentas podem ser utilizadas, que tipo de informação é proibida e quem deve aprovar novos recursos, os funcionários tendem a criar seus próprios métodos de trabalho. Na prática, a falta de orientação transforma a IA em um canal invisível de exposição de dados.
” A cibersegurança entrou em uma fase volátil, na qual as organizações tentam proteger uma força de trabalho híbrida, formada por pessoas e agentes de IA. É um ambiente dinâmico que se transforma mais rapidamente do que os líderes conseguem acompanhar”, afirmou Rafael Peruch, CISO da KnowBe4.
Falta de treinamento estimula o Shadow AI
A expansão do uso de inteligência artificial no Brasil confirma a dimensão do problema. Uma pesquisa da Read AI indica que 68% dos profissionais brasileiros utilizam ferramentas de IA diariamente em suas atividades. Porém, somente 31% contam com acesso oficial ou treinamento adequado oferecido pelo empregador.
Essa diferença ajuda a explicar por que tantos trabalhadores recorrem a soluções externas. Em muitos casos, o funcionário não pretende burlar controles de segurança. Ele apenas busca uma forma mais rápida de resumir documentos, analisar dados, automatizar tarefas ou produzir textos. Sem alternativas corporativas eficientes, a ferramenta disponível na internet acaba se tornando o caminho mais conveniente.
Por isso, bloquear todas as plataformas de IA raramente resolve a questão. A restrição pode levar o uso para ambientes ainda menos visíveis, dificultando a identificação de riscos. Uma estratégia mais eficaz combina ferramentas aprovadas, regras objetivas, monitoramento proporcional e treinamento contínuo.
Pressão e distração aumentam as falhas humanas
O risco associado à IA também se soma a problemas tradicionais de segurança. De acordo com a KnowBe4, 62% dos funcionários brasileiros dizem que falta de tempo, excesso de trabalho e distrações contribuem diretamente para erros, mesmo quando conhecem os procedimentos corretos.
Entre os líderes de cibersegurança, 43% apontam as distrações no ambiente profissional como uma das principais causas de falhas humanas. Além disso, 65% consideram os erros não intencionais cometidos durante atividades rotineiras o maior fator de risco.
Esse cenário mostra que incidentes não acontecem apenas por negligência ou má-fé. Um colaborador cansado pode aprovar uma solicitação falsa, anexar o arquivo errado a uma ferramenta de IA ou copiar informações internas para uma aplicação pública sem perceber as consequências. A segurança, portanto, precisa considerar as condições reais de trabalho e não apenas a existência de normas.
Baixa maturidade ainda limita a proteção
Apesar do aumento da conscientização, apenas 33% das organizações brasileiras avaliadas alcançaram o nível de maturidade considerado “padrão ouro”. Esse estágio envolve a capacidade de administrar, ao mesmo tempo, os riscos relacionados às pessoas e às aplicações de inteligência artificial.
O dado revela uma contradição importante: muitas empresas reconhecem a relevância da IA, mas ainda não incorporaram seu uso a processos formais de governança. Falta estabelecer responsáveis, avaliar fornecedores, classificar dados, revisar permissões e acompanhar a utilização das ferramentas no dia a dia.
Ao mesmo tempo, 95% dos líderes brasileiros de segurança demonstram confiança na preparação de suas organizações para enfrentar ameaças impulsionadas por IA nos próximos 12 meses. A confiança pode indicar uma mudança positiva na visão das lideranças, mas também evidencia a necessidade de transformar expectativas em medidas concretas.
Como reduzir os riscos do uso não autorizado de IA
O primeiro passo é criar uma política de inteligência artificial compreensível e aplicável. O documento deve explicar quais serviços estão autorizados, quais dados não podem ser enviados e quais procedimentos devem ser seguidos para solicitar uma nova ferramenta.
Também é importante classificar as informações por nível de sensibilidade. Dados públicos podem receber um tratamento diferente de informações internas, pessoais, financeiras ou estratégicas. Essa separação ajuda o funcionário a tomar decisões mais seguras sem precisar interpretar regras complexas em situações de pressão.
A empresa deve oferecer alternativas oficiais que realmente atendam às necessidades das equipes. Uma ferramenta corporativa lenta, instável ou limitada tende a ser ignorada. Além de controlar a plataforma, a organização precisa garantir facilidade de acesso, suporte técnico e integração com os fluxos de trabalho existentes.
Treinamento precisa ser prático e contínuo
Cursos anuais e conteúdos genéricos não são suficientes para acompanhar a velocidade da evolução da IA. O treinamento deve apresentar exemplos concretos, como a identificação de dados sensíveis, a revisão de respostas geradas automaticamente e os riscos de copiar informações de sistemas internos.
Simulações também podem ajudar. A equipe pode ser orientada a analisar situações envolvendo prompts inseguros, resultados inventados, códigos vulneráveis ou solicitações fraudulentas. Esse tipo de exercício transforma conceitos abstratos em decisões práticas.
Outro ponto essencial é ensinar que a IA não substitui a validação humana. Respostas incorretas, informações fabricadas e interpretações inadequadas podem gerar prejuízos mesmo quando a ferramenta é oficialmente aprovada. Toda saída produzida por um sistema automatizado precisa ser revisada de acordo com o impacto da tarefa.
Governança deve envolver diferentes áreas
A gestão do risco não pode ficar restrita ao setor de tecnologia. Jurídico, recursos humanos, compliance, privacidade, comunicação e as áreas de negócio precisam participar da definição das regras. Cada departamento conhece informações e processos que podem não ser percebidos pela equipe de segurança.
É recomendável manter um inventário das ferramentas utilizadas, realizar avaliações periódicas de fornecedores e registrar quais tipos de dados são processados por cada aplicação. O monitoramento deve respeitar a privacidade dos trabalhadores, mas precisa permitir a identificação de comportamentos incompatíveis com as políticas internas.
Com uma combinação de tecnologia, capacitação e cultura de segurança, as empresas podem aproveitar os ganhos de produtividade da inteligência artificial sem transformar o Shadow AI em uma porta de entrada para vazamentos, fraudes e incidentes operacionais. O desafio não é impedir a inovação, mas garantir que ela ocorra com controle, responsabilidade e transparência.