Levantamento aponta que 64% das violações de políticas de dados envolvendo IA generativa no Brasil atingem informações reguladas, enquanto mais da metade dos usuários utiliza ferramentas pessoais no trabalho
A popularização da inteligência artificial generativa dentro das empresas brasileiras está criando um novo desafio para as áreas de tecnologia e segurança da informação. Enquanto organizações adotam ferramentas de IA para acelerar tarefas, aumentar produtividade e apoiar decisões, funcionários também estão recorrendo a contas pessoais e plataformas não homologadas para processar informações corporativas. O movimento, conhecido como Shadow AI, pode fazer com que dados estratégicos deixem o ambiente controlado da empresa sem que exista necessariamente uma invasão ou ataque hacker.
O cenário aparece no Netskope Threat Labs Report: Brazil 2026. De acordo com o levantamento, 64% das violações de políticas de dados relacionadas a aplicações de IA generativa no Brasil envolvem informações reguladas. Código-fonte aparece em 21% dos incidentes, enquanto senhas e chaves de API representam 9% e propriedade intelectual corresponde a 7%.
O estudo também aponta que 52% dos usuários ainda utilizam aplicações pessoais de inteligência artificial no ambiente de trabalho. O dado mostra que o avanço da tecnologia não está acontecendo exclusivamente por meio das plataformas autorizadas pelas empresas. Na prática, funcionários podem estar utilizando ferramentas externas para resumir documentos, analisar planilhas, escrever códigos, elaborar textos ou executar outras atividades relacionadas à rotina profissional.
Para Rafael Franco, especialista em inteligência artificial aplicada, infraestrutura de dados e segurança da informação da Joya Solutions, o problema representa uma mudança importante na maneira como as organizações precisam pensar a proteção de suas informações.
“O risco mais difícil de combater é aquele que nasce de uma ação legítima. O funcionário não está tentando invadir a empresa; ele está tentando trabalhar mais rápido. O problema é que, ao colocar uma informação corporativa em uma ferramenta de IA não controlada, ele pode transferir aquele dado para uma infraestrutura sobre a qual a empresa não possui governança, auditoria ou visibilidade suficientes.”
O usuário autorizado virou parte do perímetro de segurança
Durante décadas, boa parte das estratégias de cibersegurança foi construída em torno da proteção do perímetro tecnológico. Firewalls, antivírus, sistemas de detecção de intrusão, controles de endpoint e mecanismos de autenticação continuam sendo importantes para impedir acessos indevidos e ataques à infraestrutura.
A utilização de inteligência artificial, entretanto, introduziu uma situação diferente. O usuário não precisa necessariamente ultrapassar uma barreira de segurança para provocar uma exposição.
Um funcionário com acesso legítimo a um contrato, banco de dados, código ou documento estratégico pode copiar uma informação e inseri-la em uma plataforma externa para solicitar uma análise ou gerar determinado conteúdo.
Nesse processo, não existe necessariamente uma tentativa de invasão. O acesso inicial ao documento é permitido. O problema ocorre quando a informação é transferida para um ambiente que não está sob o mesmo nível de controle da organização.
“Você pode ter um firewall extremamente sofisticado e, ainda assim, perder um segredo comercial em segundos porque alguém simplesmente colou o conteúdo em uma caixa de texto. O dado saiu pelo comportamento autorizado do usuário, não por uma invasão. É por isso que a segurança precisa acompanhar o dado e não apenas proteger a rede.”
A declaração resume uma das principais mudanças provocadas pela expansão da IA no ambiente corporativo. O foco da segurança deixa de estar exclusivamente em quem entra na rede e passa a incluir o que acontece com a informação depois que ela é acessada.
Shadow AI cresce com a busca por produtividade
O chamado Shadow AI ocorre quando colaboradores utilizam ferramentas de inteligência artificial sem que essas aplicações tenham sido formalmente aprovadas, contratadas ou administradas pela área de tecnologia da empresa.
O comportamento pode surgir de maneira bastante simples. Um profissional precisa analisar um documento extenso e utiliza uma conta pessoal de uma ferramenta de IA. Outro colaborador precisa corrigir um código e recorre a uma plataforma de programação com recursos de inteligência artificial. Um terceiro utiliza uma aplicação externa para resumir uma apresentação ou transformar informações em um relatório.
Em muitos casos, a motivação não é burlar políticas internas. É ganhar tempo.
O problema é que a empresa pode não saber quais informações estão sendo compartilhadas, quais controles existem sobre elas ou como os dados são tratados pela plataforma utilizada.
Segundo o levantamento da Netskope, a adoção de IA generativa já alcança todas as organizações brasileiras analisadas. O estudo aponta ainda que 96% dos usuários utilizam ferramentas que incorporam recursos de inteligência artificial de maneira indireta.
Isso significa que o desafio não está restrito às ferramentas que aparecem explicitamente como aplicativos de IA. Recursos inteligentes podem estar incorporados a softwares que já fazem parte da rotina das equipes.
Consequentemente, simplesmente criar uma lista de ferramentas proibidas pode não ser suficiente para controlar o fluxo de informações.
Bloquear tudo pode não ser a solução
Diante do risco, uma reação possível para as empresas seria bloquear o acesso a todas as plataformas externas de inteligência artificial. Apesar de aparentemente simples, essa estratégia pode produzir efeitos contrários ao objetivo de segurança.
Quando uma ferramenta é bloqueada, mas a necessidade do usuário permanece, existe a possibilidade de o colaborador procurar alternativas para realizar a tarefa.
Isso pode levar justamente ao uso clandestino de serviços, dificultando ainda mais a capacidade da empresa de monitorar o comportamento.
Por esse motivo, a discussão sobre IA corporativa começa a migrar de uma lógica baseada apenas em permissão ou bloqueio para um modelo de governança.
A pergunta deixa de ser somente quais ferramentas podem ser utilizadas e passa a envolver quais informações podem ser processadas em cada ambiente.
Uma empresa pode, por exemplo, permitir o uso de determinadas ferramentas para conteúdos públicos ou informações de baixo risco, enquanto estabelece controles mais rígidos para dados financeiros, informações de clientes, propriedade intelectual, códigos proprietários e documentos estratégicos.
Dados precisam ser classificados antes de chegar à IA
Uma das bases para esse modelo é a classificação da informação.
Nem todos os dados possuem o mesmo nível de sensibilidade. Um material de marketing já publicado não apresenta o mesmo risco de um código-fonte proprietário ou de uma base contendo informações de clientes.
A diferenciação permite estabelecer políticas específicas para cada categoria.
Informações de maior criticidade podem exigir ambientes privados, infraestrutura corporativa, redes segregadas, mecanismos adicionais de autenticação, criptografia e controles de prevenção contra perda de dados.
Nesse contexto, tecnologias de DLP, sigla em inglês para Data Loss Prevention, podem contribuir para identificar e impedir determinados tipos de transferência de informação.
Controles de identidade e acesso também podem limitar quem está autorizado a manipular determinados conteúdos e em quais circunstâncias.
A arquitetura precisa considerar ainda o monitoramento do tráfego e a identificação de padrões de comportamento que indiquem transferência inadequada de informações.
O objetivo não é necessariamente eliminar o uso da inteligência artificial, mas criar condições para que a tecnologia seja utilizada de acordo com o nível de risco de cada dado.
LGPD amplia a responsabilidade das empresas
A discussão ganha outra dimensão quando envolve empresas que trabalham com dados pessoais, informações financeiras ou outros conteúdos sujeitos a obrigações legais e contratuais.
Organizações submetidas à Lei Geral de Proteção de Dados Pessoais (LGPD), por exemplo, precisam considerar como as informações pessoais são coletadas, armazenadas, processadas e compartilhadas.
A utilização de ferramentas externas de IA pode acrescentar uma nova etapa ao fluxo de dados.
Antes de autorizar determinada plataforma, a organização precisa avaliar quais informações podem ser inseridas, como o serviço trata os dados, quais mecanismos de proteção existem e quais condições se aplicam ao armazenamento e ao processamento.
Também entram nessa equação contratos de confidencialidade e proteção de propriedade intelectual.
Um documento ainda não divulgado, um projeto estratégico, um algoritmo proprietário ou informações comerciais podem representar ativos importantes para uma empresa. A exposição desses conteúdos pode gerar impactos que vão além de uma eventual questão regulatória.
Segurança precisa acompanhar o dado
Para Rafael Franco, o avanço da inteligência artificial exige uma mudança na própria arquitetura de segurança das organizações.
“A soberania sobre o dado precisa ser um requisito de arquitetura. Se a empresa não consegue responder onde determinada informação está sendo processada, quem pode acessá-la, por quanto tempo ela permanece disponível e quais controles existem sobre esse fluxo, ela não tem governança suficiente sobre aquela informação. A IA corporativa precisa ser construída em torno dessa premissa.”
A lógica coloca o dado no centro da estratégia.
Em vez de proteger apenas servidores, redes e dispositivos, as empresas precisam acompanhar o percurso das informações. Isso inclui saber quem acessou determinado conteúdo, onde ele foi processado e quais sistemas tiveram contato com ele.
Essa abordagem se torna ainda mais relevante diante da multiplicação de aplicações capazes de incorporar inteligência artificial.
A IA pode estar presente em ferramentas de produtividade, desenvolvimento de software, atendimento, análise de documentos, marketing, gestão e diversas outras áreas. Assim, o controle não pode depender exclusivamente da identificação de uma plataforma específica.
Ambientes privados ganham relevância
Uma das alternativas para organizações que desejam utilizar IA com maior controle é a criação de ambientes corporativos ou privados de processamento.
Nessas estruturas, a empresa pode definir regras mais específicas para os dados utilizados pelos modelos e estabelecer políticas de acesso e segurança alinhadas às suas necessidades.
Arquiteturas baseadas em nuvens corporativas também podem ser utilizadas para combinar capacidade computacional com mecanismos de governança.
Para informações altamente sensíveis, ambientes segregados podem reduzir a exposição e facilitar o controle sobre o processamento.
A escolha da arquitetura, entretanto, depende do tipo de dado, dos requisitos regulatórios e do objetivo de utilização da IA.
O ponto central é que a tecnologia deve ser implementada dentro de uma estratégia de governança, e não simplesmente adicionada à infraestrutura existente.
Empresas precisam equilibrar inovação e controle
A expansão da inteligência artificial colocou as organizações diante de um dilema. De um lado, bloquear ferramentas pode reduzir determinados riscos, mas também limitar ganhos de produtividade. De outro, liberar o uso indiscriminado pode ampliar a exposição de informações.
O equilíbrio passa pela criação de políticas claras.
Funcionários precisam saber quais ferramentas são permitidas, que tipos de dados podem ser utilizados e quais informações nunca devem ser inseridas em serviços externos.
Treinamento também passa a ser uma peça importante da estratégia. Uma política de segurança que não seja compreendida pelos usuários tende a ser menos efetiva.
A conscientização precisa acompanhar a velocidade de adoção da tecnologia. Afinal, o colaborador pode estar utilizando IA para realizar uma tarefa legítima e, mesmo assim, criar uma vulnerabilidade não intencional.
A nova disputa é pelo controle dos dados
O avanço da inteligência artificial está criando uma disputa que vai além da escolha dos melhores modelos ou plataformas.
Para as empresas, uma das questões estratégicas será determinar quem controla os dados utilizados por esses sistemas e em quais condições eles podem ser processados.
A tendência é que a adoção da IA continue avançando justamente porque a tecnologia oferece ganhos de produtividade em diferentes áreas. A questão, portanto, não é simplesmente impedir que os funcionários utilizem inteligência artificial.
O desafio será criar uma infraestrutura que permita aproveitar os benefícios da tecnologia sem transformar dados corporativos em ativos expostos.
Nesse cenário, o Shadow AI deixa de ser apenas um problema de tecnologia. Ele passa a envolver cultura, processos, governança, segurança e estratégia empresarial.
A empresa que conseguir estabelecer esse equilíbrio poderá ampliar o uso da inteligência artificial com mais confiança. Já aquelas que tratarem o fenômeno apenas como uma questão de bloqueio de aplicativos podem descobrir que o problema não está na ferramenta, mas na informação que circula por ela.
Sobre a Joya Solutions
A Joya Solutions é o braço de tecnologia e ecossistemas corporativos do grupo Joya, com atuação em inteligência artificial aplicada, infraestrutura de dados, segurança da informação e soluções tecnológicas para organizações.
A empresa trabalha na estruturação de ambientes digitais orientados à eficiência operacional, governança e proteção de ativos estratégicos.
