Uso de IA sem autorização expõe dados das empresas

O uso de ferramentas de inteligência artificial (IA) sem autorização ou supervisão das empresas pode expor informações corporativas e gerar consequências jurídicas e de reputação. Conhecida como shadow AI (algo como "IA nas sombras"), a prática ocorre quando funcionários usam essas tecnologias para redigir e-mails, resumir documentos ou analisar dados sem seguir as diretrizes da organização.

Segundo o relatório Cost of a Data Breach, da IBM, feito com base em pesquisa do Ponemon Institute, a proporção de incidentes de segurança relacionados ao uso dessas ferramentas mais que dobrou no mundo, de 20%, no relatório de 2025, para 43%, no de 2026. O levantamento também indica que 68% das organizações que sofreram violações de dados não tinham governança adequada para gerenciar o uso de inteligência artificial ou monitorar ferramentas não autorizadas.

Para Pedro Rizzo, sócio-diretor da Apter e responsável pela área digital da empresa, um dos principais riscos é a perda de controle sobre o destino das informações. Segundo ele, contratos, planilhas e dados de clientes podem ser inseridos em ferramentas não homologadas sem que a empresa saiba onde esse conteúdo será armazenado ou se poderá ser usado no treinamento de modelos de IA.

"Com a LGPD, o que parecia uma questão técnica passa a ter consequências jurídicas e reputacionais", diz, em referência à Lei Geral de Proteção de Dados.

Rizzo defende que a inteligência artificial seja incorporada aos processos das empresas, em vez de ficar restrita ao uso individual dos funcionários. "Quando ela faz parte do processo, a segurança deixa de depender do comportamento de cada pessoa", afirma.

Quatro cuidados para usar IA no trabalho

Para reduzir o risco de vazamento de informações, o especialista recomenda quatro medidas. A primeira é usar ferramentas homologadas, com contratos que definam onde os dados ficam armazenados e proíbam seu uso no treinamento de modelos.

A segunda é controlar os acessos por meio de contas corporativas, com registro de quem usa as ferramentas e de quais funcionalidades são acessadas.

A terceira é proteger os dados antes do envio, classificando as informações e anonimizando o que for sensível antes de inseri-lo nos sistemas de IA. Também existem plataformas que intermediam o acesso à IA e aplicam regras de segurança.

Por fim, a revisão humana é indispensável. Os resultados devem ser verificados antes de qualquer uso externo. Embora a IA possa apoiar a tomada de decisões, a responsabilidade pelo conteúdo continua sendo de quem o valida e assina.

Critério simples evita compartilhamento indevido

Segundo Rizzo, o uso de ferramentas não autorizadas costuma surgir quando o funcionário precisa resolver uma tarefa e a empresa não oferece uma alternativa oficial. Por isso, além de criar regras, é importante orientar as equipes sobre quais informações podem ser compartilhadas com sistemas de IA.

O especialista sugere um critério simples: se uma informação não pode ser enviada por e-mail a alguém de fora da organização, também não deve ser inserida em uma ferramenta de IA não autorizada. A regra vale para dados pessoais de clientes e funcionários, números financeiros não divulgados, contratos, estratégias de negócio, códigos-fonte e senhas de acesso.