O uso crescente de ferramentas de inteligência artificial no ambiente corporativo criou um risco silencioso para as organizações: o Shadow AI, que nada mais é do que a utilização de IAs por colaboradores sem o conhecimento da TI. Estudo recente da Microsoft revela que cerca de 75% dos profissionais já usam IA no dia a dia, e a maioria prefere usar ferramentas próprias e não as fornecidas pela empresa.
“O Shadow AI acontece quando o colaborador, na busca por produtividade, insere dados corporativos em ferramentas públicas sem entender o destino dessas informações. O problema central não é a tecnologia em si, mas a ausência de governança sobre o que está sendo compartilhado”, explica Fabio Brodbeck, co-fundador e CGO da OSTEC.
Segundo Brodbeck, há uma ilusão de privacidade em ferramentas públicas de IA e uma confiança cega em suas respostas vinda da falta de treinamento sobre o que pode ser inserido nos prompts e, consequentemente, falta de preparação contra engenharia social hiper-realista (clonagem de voz e deepfakes).
O risco não está nas ferramentas, mas nas informações compartilhadas
Seja ao interagir com modelos de linguagem ou ao utilizar ferramentas de transcrição, extensões de navegador e geradores automatizados de relatórios, o perigo reside na falta de visibilidade sobre o destino dos dados corporativos, pois, ao inserir informações em plataformas públicas, a confidencialidade desses dados passa a depender das políticas, dos controles e das garantias contratuais do fornecedor da plataforma.
“Em ferramentas públicas/gratuitas, sem contrato que impeça o uso para treinamento, os dados podem ser retidos e reutilizados. Ao utilizar essas tecnologias para analisar balanços ou estruturar estratégias, as informações passam a integrar repositórios usados para treinar futuros modelos de IA, sem consentimento da empresa”, detalha o co-fundador da OSTEC.
O risco se amplifica pela falta de conhecimento das organizações sobre a extensão do problema. Um estudo recente da Thomson Reuters aponta que 46% dos profissionais na América Latina utilizam ferramentas de IA não autorizadas, índice que salta para 55% em empresas onde a adoção tecnológica oficial é percebida como lenta.
Áudios de reuniões estratégicas e documentos internos são processados por servidores de terceiros através de transcritores ou extensões integradas, ampliando a superfície de ataque. “Mesmo configurações de privacidade oferecidas por algumas plataformas não garantem proteção de longo prazo. Mudanças em termos contratuais, aquisições ou alterações de política podem expor dados que antes pareciam protegidos”, alerta o especialista.
O que fazer para proteger dados da empresa?
A Inteligência Artificial é uma realidade consolidada. Para manter os dados sensíveis a salvo, as empresas devem estruturar uma estratégia de governança clara, fundamentada em quatro pilares principais. Pilares que dialogam com frameworks internacionais como a ISO/IEC 42001 (gestão de IA), o NIST AI RMF, a ISO/IEC 27001:2022 e os CIS Controls:
- Criação de políticas de uso aceitável de IA;
- Homologação e catalogação de ferramentas permitidas;
- Análise rigorosa de riscos técnicos antes da aquisição de qualquer software com IA;
- Diversificação de canais nos processos operacionais, evitando a dependência de uma única plataforma.
De acordo com o executivo, outra estratégia utilizada é a pseudonimização de dados, um mecanismo que atua como uma camada de proteção para converter informações sensíveis como nomes, valores financeiros e dados estratégicos em termos genéricos antes do processamento. “Essa prática permite que as equipes ganhem produtividade sem expor dados confidenciais ou violar cláusulas de proteção”, finaliza.
