Levantamento mostra que 64% das violações de políticas de dados envolvendo IA generativa no Brasil atingem informações reguladas; especialista alerta que o problema já ultrapassa a capacidade das defesas tradicionais
A inteligência artificial generativa já deixou de ser uma tecnologia restrita aos departamentos de inovação e passou a fazer parte da rotina operacional das empresas brasileiras. O problema é que, enquanto organizações aceleram a adoção de ferramentas de IA para ganhar produtividade, funcionários também recorrem a contas pessoais e plataformas não homologadas para realizar tarefas corporativas. O resultado é uma nova frente de exposição de dados que não depende necessariamente de um ataque hacker: o próprio usuário pode estar levando informações estratégicas da empresa para ambientes que a organização não controla.
O alerta ganha dimensão diante dos dados do Netskope Threat Labs Report: Brazil 2026. Segundo o levantamento, 64% das violações de políticas de dados em aplicações de IA generativa no Brasil envolvem dados regulados. Código fonte aparece em 21% dos incidentes, enquanto senhas e chaves de API representam 9% e propriedade intelectual, 7%. O estudo também aponta que 52% dos usuários ainda utilizam aplicações pessoais de IA no ambiente de trabalho, evidenciando que a separação entre uso corporativo e particular permanece uma das principais dificuldades para as áreas de tecnologia e segurança.
Para Rafael Franco, especialista em inteligência artificial aplicada, infraestrutura de dados e segurança da informação da Joya Solutions, o cenário representa uma mudança importante na forma como as empresas precisam enxergar a segurança. Um colaborador que copia um contrato, uma planilha financeira, um código ou uma informação estratégica para pedir à IA que faça uma análise não está necessariamente cometendo uma ação maliciosa. Ainda assim, pode estar retirando aquele dado do perímetro de controle da organização.
“O risco mais difícil de combater é aquele que nasce de uma ação legítima. O funcionário não está tentando invadir a empresa; ele está tentando trabalhar mais rápido. O problema é que, ao colocar uma informação corporativa em uma ferramenta de IA não controlada, ele pode transferir aquele dado para uma infraestrutura sobre a qual a empresa não possui governança, auditoria ou visibilidade suficientes.”
O fenômeno conhecido como Shadow AI amplia justamente essa dificuldade. Em vez de depender exclusivamente das ferramentas aprovadas pelo departamento de tecnologia, usuários utilizam ChatGPT, Gemini, Claude, ferramentas de programação, extensões de navegador e outros serviços para resolver demandas específicas. O relatório da Netskope mostra que a adoção de IA generativa já alcança todas as organizações brasileiras analisadas, enquanto 96% dos usuários utilizam ferramentas que incorporam recursos de IA de maneira indireta. Ou seja, mesmo quando uma empresa não autoriza explicitamente uma determinada ferramenta, seus funcionários podem estar interagindo com IA por meio de aplicações que já fazem parte da rotina corporativa.
Essa mudança também expõe uma limitação das estratégias tradicionais de cibersegurança. Firewalls, antivírus, sistemas de detecção de intrusão e controles de endpoint continuam sendo componentes fundamentais, mas foram concebidos principalmente para controlar acessos e ameaças. Eles não resolvem, sozinhos, o problema de um usuário autorizado copiar uma informação legítima e inseri-la em uma plataforma externa.
“Você pode ter um firewall extremamente sofisticado e, ainda assim, perder um segredo comercial em segundos porque alguém simplesmente colou o conteúdo em uma caixa de texto. O dado saiu pelo comportamento autorizado do usuário, não por uma invasão. É por isso que a segurança precisa acompanhar o dado e não apenas proteger a rede.”
A resposta, na avaliação do especialista, não deveria ser simplesmente bloquear todas as ferramentas de inteligência artificial. A proibição indiscriminada pode estimular justamente o comportamento que as empresas tentam evitar: o uso clandestino de aplicações externas, sem registro, monitoramento ou política de tratamento de informações. A alternativa é construir uma arquitetura que permita utilizar IA mantendo controle sobre os dados processados.
Nesse modelo, empresas podem combinar ambientes privados de IA, nuvens corporativas, redes segregadas, controles de identidade e acesso, criptografia, DLP (Data Loss Prevention), monitoramento de tráfego e políticas de classificação da informação. Para dados de maior criticidade, arquiteturas isoladas podem reduzir significativamente a exposição externa. O objetivo não é impedir a utilização da IA, mas estabelecer em quais ambientes cada categoria de informação pode ser processada.
A questão ganha ainda mais relevância para empresas submetidas à LGPD, obrigações contratuais de confidencialidade ou proteção de propriedade intelectual. Informações financeiras, dados de clientes, código proprietário, projetos ainda não divulgados e documentos estratégicos podem ter valor muito superior ao custo de uma assinatura de uma ferramenta de IA. Uma vez que uma informação deixa o ambiente controlado, a empresa também precisa considerar como aquele dado será armazenado, processado, acessado e eventualmente eliminado.
Para Rafael Franco, a discussão empresarial sobre inteligência artificial precisa mudar de eixo: deixar de perguntar apenas “qual ferramenta devemos contratar?” e passar a questionar “quais dados estamos autorizados a colocar nessa ferramenta?”
“A soberania sobre o dado precisa ser um requisito de arquitetura. Se a empresa não consegue responder onde determinada informação está sendo processada, quem pode acessá-la, por quanto tempo ela permanece disponível e quais controles existem sobre esse fluxo, ela não tem governança suficiente sobre aquela informação. A IA corporativa precisa ser construída em torno dessa premissa.”
O movimento também cria uma oportunidade para as empresas que conseguirem estruturar essa governança antes de transformar a IA em um problema de segurança. Em vez de tratar inteligência artificial como uma aplicação isolada, departamentos de tecnologia passam a precisar enxergá-la como uma camada integrada à infraestrutura de dados, aos sistemas corporativos e às políticas de segurança.
A tendência é que a disputa por produtividade com IA seja acompanhada por uma disputa menos visível: quem terá controle sobre os dados que alimentam esses sistemas. Para empresas, a questão pode determinar não apenas a segurança das informações, mas também a capacidade de preservar propriedade intelectual, cumprir obrigações regulatórias e utilizar inteligência artificial em escala sem transformar produtividade em vulnerabilidade.
Sete práticas para garantir a conformidade com a LGPD | Jornal Empresas & Negócios
