A inteligência artificial deixou de ser uma tecnologia experimental para se tornar parte da rotina de empresas de todos os portes, impulsionando ganhos de produtividade, mas também novos desafios de segurança. No entanto, embora os riscos relacionados ao uso da IA já sejam percebidos pelas organizações, muitas ainda não estabeleceram regras para orientar seus colaboradores.
O que revela o ESET Security Report 2026
O estudo da ESET realizado com profissionais de cibersegurança da América Latina traz dados alarmantes sobre a maturidade de segurança em relação à inteligência artificial. Segundo o levantamento, 49,2% dos entrevistados brasileiros acreditam que a inteligência artificial pode tornar os ataques cibernéticos mais sofisticados. Esse percentual reflete uma consciência crescente sobre a evolução das ameaças, onde criminosos utilizam a tecnologia para automatizar e aprimorar golpes.
Por outro lado, a mesma pesquisa aponta que 45,3% das empresas ainda não possuem políticas internas para o uso da tecnologia. Esse descompasso evidencia uma lacuna crítica entre a percepção de risco e a implementação de controles. Na avaliação da ESET, o cenário evidencia um descompasso entre a rápida adoção da inteligência artificial e a criação de mecanismos capazes de reduzir riscos relacionados ao vazamento de informações, ao uso inadequado de dados corporativos e à geração de novos vetores de ataque.
Riscos de vazamento de dados e propriedade intelectual
Um dos principais pontos de atenção levantados pelo pesquisador de segurança da ESET no Brasil, Jonathan Ramos, é o comportamento dos colaboradores. "Hoje, muitas empresas se preocupam com o uso malicioso da Inteligência Artificial por criminosos, mas esquecem que o primeiro passo é organizar o próprio ambiente interno. Quando não existem regras claras, colaboradores podem inserir informações estratégicas em plataformas de IA sem avaliar os riscos, comprometendo dados confidenciais, propriedade intelectual e até credenciais corporativas.".
Essa prática, conhecida como "shadow AI" ou uso não autorizado de ferramentas de IA, representa um vetor de ataque interno significativo. Dados sensíveis, como códigos-fonte, estratégias de negócio e informações de clientes, podem ser processados por modelos de linguagem públicos, onde não há garantia de privacidade ou confidencialidade. Para CISOs, isso significa que a governança de dados deve incluir diretrizes explícitas sobre quais informações podem ou não ser submetidas a ferramentas de IA generativa.
Deepfakes e fraudes de identidade
Além da preocupação com ataques mais sofisticados, os profissionais brasileiros também demonstram atenção ao uso da Inteligência Artificial para fraudes de identidade. Segundo o levantamento, 20,3% apontam os deepfakes como uma das principais ameaças relacionadas à tecnologia. Isso evidencia que a IA vem ampliando não apenas a capacidade de automatizar ataques, mas também de torná-los mais convincentes e difíceis de identificar.
Deepfakes de áudio e vídeo são ferramentas poderosas para engenharia social avançada. Criminosos podem clonar vozes de executivos para autorizar transferências financeiras ou criar vídeos falsos de autoridades para disseminar desinformação. A detecção de deepfakes exige investimento em ferramentas de verificação de mídia e treinamento de equipes de resposta a incidentes para identificar sinais de manipulação digital.
Cenário de adoção desigual nas empresas
O estudo também mostra que a adoção da Inteligência Artificial ainda acontece de forma desigual nas empresas. Enquanto 39,1% afirmam incentivar o uso da tecnologia com políticas e diretrizes definidas, 14,1% restringem sua utilização a casos específicos e 1,6% optam por proibir completamente seu uso.
Essa fragmentação na estratégia de adoção cria inconsistências na postura de segurança. Empresas que proíbem totalmente podem perder competitividade, enquanto aquelas que incentivam sem regras expõem seus ativos a riscos desnecessários. O ideal é um modelo de governança que permita o uso seguro, com controles de acesso, monitoramento de tráfego e classificação de dados.
Implicações para a estratégia de segurança
Para a ESET, os resultados indicam que o debate sobre o uso de IA nas empresas deixou de ser apenas uma questão de produtividade e passou a fazer parte da estratégia de cibersegurança. À medida que criminosos utilizam a tecnologia para sofisticar golpes e automatizar ataques, as organizações também precisam evoluir suas práticas de governança para garantir que a adoção da IA ocorra de forma segura e alinhada às políticas de proteção de dados e segurança da informação.
Isso implica na revisão de políticas de uso aceitável, na implementação de soluções de DLP (Data Loss Prevention) que considerem tráfego de IA e na integração de ferramentas de segurança com plataformas de IA corporativas. A segurança deve ser um facilitador, não um obstáculo, mas deve ser embutida no ciclo de vida da adoção da tecnologia.
O que os CISOs devem fazer imediatamente
Diante dos dados apresentados, os profissionais de segurança da informação devem adotar as seguintes medidas:
- Estabelecer políticas de uso de IA: Definir claramente quais dados podem ser processados por ferramentas de IA e quais são proibidos.
- Implementar controles de acesso: Garantir que apenas usuários autorizados tenham acesso a ferramentas de IA corporativas.
- Monitorar o tráfego de IA: Utilizar soluções de monitoramento para detectar uso não autorizado ou anomalias no processamento de dados.
- Capacitar colaboradores: Realizar treinamentos sobre os riscos de deepfakes, engenharia social e vazamento de dados em plataformas de IA.
- Revisar contratos com fornecedores: Garantir que os provedores de IA cumpram normas de privacidade e segurança de dados.
Conclusão e perspectivas futuras
"Estamos entrando em um cenário em que a Inteligência Artificial deixa de ser apenas uma ferramenta de produtividade e passa a influenciar diretamente a evolução das ameaças digitais. As empresas que incorporarem a IA à estratégia de segurança, e não apenas às operações do dia a dia, estarão mais preparadas para enfrentar esse novo contexto", comenta o pesquisador.
A integração da IA na estratégia de segurança não é mais opcional. Com a evolução das ameaças e a necessidade de proteger dados sensíveis, a governança de IA se torna um pilar fundamental da postura de segurança corporativa. Ignorar esse aspecto pode resultar em violações de dados, perda de propriedade intelectual e danos reputacionais significativos.
Perguntas frequentes
Qual é o principal risco do uso de IA sem governança?
O principal risco é o vazamento de dados confidenciais e propriedade intelectual, além da exposição a fraudes de identidade via deepfakes.
Como as empresas podem mitigar os riscos de deepfakes?
Implementando ferramentas de verificação de mídia, treinando equipes de resposta a incidentes e estabelecendo protocolos de autenticação para comunicações críticas.
É necessário proibir o uso de IA nas empresas?
Não. A proibição total pode limitar a competitividade. O ideal é estabelecer políticas de uso seguro com controles adequados.
Qual o papel da LGPD nesse contexto?
A LGPD exige que o tratamento de dados pessoais seja feito com segurança e transparência. O uso de IA deve respeitar esses princípios, especialmente no que tange ao consentimento e à finalidade do processamento.
Como medir a maturidade de segurança em IA?
Através de auditorias regulares, revisão de políticas de uso, monitoramento de tráfego e avaliação de riscos específicos relacionados à tecnologia.