Empresas brasileiras expõem dados confidenciais com uso descontrolado de IA

O número de incidentes de usuários enviando informações confidenciais para aplicativos de Inteligência Artificial (IA) dobrou no último ano, atingindo uma média de 223 por mês por organização globalmente. No Brasil, a situação é ainda mais preocupante: 64% das violações de política de dados em aplicações de IA generativa envolvem dados regulamentados, como informações financeiras e pessoais. O código-fonte representa 21% dos incidentes, seguido por senhas e chaves de API (9%) e propriedade intelectual (7%).

Esse cenário, conhecido como 'BYOAI' (Bring Your Own AI), onde colaboradores adotam ferramentas de IA sem o conhecimento ou supervisão da empresa, expõe dados sensíveis e gera riscos à segurança. Uma pesquisa da Zappts revelou que 42% das empresas brasileiras não possuem políticas de governança para agentes de IA, e 55% operam sem uma camada centralizada de controle.

A lacuna entre adoção e governança

O levantamento da Zappts, que ouviu 167 executivos, indica que, embora a adoção de IA esteja avançando rapidamente, a criação de bases normativas e infraestrutura técnica para rastrear o uso da tecnologia não acompanha o ritmo. Apenas 26,9% das empresas se declaram totalmente estruturadas em governança de IA, um avanço tímido em relação aos anos anteriores.

O uso de IA já ultrapassou a alta liderança e as áreas técnicas, com 59,9% dos respondentes lidando com IA ocupando cargos fora do C-Level e diretorias de tecnologia. Essa disseminação sem controle formal gera o fenômeno 'Shadow AI', onde o uso de ferramentas de IA ocorre sem autorização ou supervisão da empresa.

"O maior risco hoje não é a empresa adotar IA rápido demais. É a adoção avançar mais rápido do que a capacidade da organização de governá-la", afirma Pablo Augusto, diretor-presidente da Zappts. Ele ressalta que a pergunta para a liderança mudou de "como impedir o uso?" para "como permitir que ele aconteça dentro de limites seguros, auditáveis e economicamente sustentáveis?".

Ausência de infraestrutura de controle e riscos associados

Outra lacuna significativa é a ausência de um 'AI Gateway', uma solução que funciona como ponto único de passagem entre os agentes de IA da empresa e os modelos de linguagem. Essa camada é crucial para bloquear conteúdo sensível, registrar chamadas para auditoria, remover dados pessoais e medir o consumo por agente. Atualmente, 55,2% do mercado opera sem essa infraestrutura, seja por não possuí-la e não procurar, ou por desconhecer sua função.

A falta de um AI Gateway transforma a governança em um documento sem efeito prático, segundo Rodrigo Bornholdt, diretor de tecnologia da Zappts. Ele explica que o controle precisa ser executável em tempo de operação, definindo o que cada agente pode acessar, quais ações pode executar e quais dados pode compartilhar, mantendo a rastreabilidade.

A preocupação com cibersegurança é alta entre CIOs brasileiros (52%), mas o investimento nem sempre reflete o receio. Agentes de IA adicionam novos desafios, pois podem receber permissões para consultar bases de dados e executar atividades, tornando cada agente uma possível superfície de ataque. A gestão de permissões e o monitoramento de atividades automatizadas tornam-se essenciais.

Recomendações e próximos passos

Para mitigar esses riscos, a recomendação é começar com um diagnóstico para entender onde a IA pode gerar produtividade, definir prioridades, estabelecer regras claras e criar controles para o uso seguro. O envolvimento das áreas de negócio, TI e Compliance desde o início é fundamental.

A Prestex, operadora de logística, integrou TI e Compliance há um ano para definir processos de uso e desenvolvimento de IA. Seu agente interno, LIO, analisa milhares de informações em segundos para otimizar rotas e monitoramento, tendo resolvido 30% dos atendimentos sem intervenção humana em seis meses e reduzido o tempo médio de resposta para rastreamento urgente a 10 minutos.

"Nosso desafio foi acompanhar a velocidade da inovação sem abrir mão da segurança e da governança. Mais do que estabelecer e seguir regras claras, treinamos nossos profissionais para fazerem escolhas com ética e responsabilidade na segurança dos dados", afirma Elizabete Loz, chief compliance officer da Prestex. A executiva enfatiza que a liderança humana é quem responde, decide e comanda, mesmo com a ampliação da execução pela IA.

Os setores financeiro e de seguros, e de tecnologia da informação (TI), demonstram maior preparo em governança e implementação de AI Gateway. Em contrapartida, setores como educação, governo, saúde, agronegócio e indústria apresentam maior ausência de políticas de governança. As necessidades técnicas futuras apontam para governança centralizada, combate ao 'Shadow AI' e cibersegurança unificada.