Um novo relatório da IBM revela um aumento drástico nas violações de dados associadas ao uso de inteligência artificial (IA) nas organizações. Os incidentes envolvendo modelos de IA saltaram de 13% para 21% do total de violações em um único ciclo de pesquisa, representando um crescimento de 61%. O dado aponta para uma lacuna crítica na governança de dados corporativa, onde a adoção tecnológica tem superado a implementação de controles de segurança adequados.
Governança de IA: o gargalo da segurança
Dentre as organizações que sofreram incidentes relacionados à IA, 92% não possuíam controles adequados de acesso à tecnologia. Ainda mais alarmante é o fato de que 68% dessas empresas não tinham qualquer política formal de governança de IA. Isso demonstra que a velocidade de implementação de soluções generativas e analíticas não foi acompanhada pela maturidade necessária para gerenciar os riscos inerentes a essas ferramentas.
André Xavier, CEO da BHS, empresa especializada em segurança da informação no setor financeiro, observa que práticas já consolidadas em ambientes altamente regulados estão começando a ganhar relevância em projetos de IA. "A tecnologia pode mudar a forma de consultar e processar o dado, mas os critérios sobre quem pode acessá-lo precisam continuar existindo", afirma Xavier, destacando a necessidade de estender a lógica de rastreabilidade e controle de acesso típica do setor financeiro para outras áreas corporativas.
Riscos em processos internos e documentos confidenciais
O desafio de segurança muda à medida que a IA passa a participar da criação e manutenção dos próprios sistemas corporativos. Modelos são utilizados agora para desenvolver aplicações, automatizar etapas e modificar processos internos, aproximando a tecnologia de informações sensíveis que antes circulavam apenas entre equipes especializadas. Paulo Cacciari, CEO da Deyel no Brasil, alerta que quanto mais a IA participa desses processos, maior precisa ser a clareza sobre quais informações ela utiliza e quais regras devem ser preservadas.
Nos departamentos jurídicos, por exemplo, a preocupação ganha outra dimensão. Contratos concentram valores, condições comerciais e dados de clientes. Com ferramentas capazes de consultar grandes volumes desses documentos, a permissão de acesso deixa de valer apenas para o arquivo original e precisa acompanhar também as respostas produzidas pela inteligência artificial. Cíntia Oliveira, Country Manager da Webdox no Brasil, explica: "Se um profissional não tem autorização para acessar determinado contrato, uma ferramenta de IA também não pode entregar a ele uma informação retirada daquele documento".
Implicações para a conformidade e LGPD
A ausência de políticas de governança de IA coloca as empresas em risco de não conformidade com a Lei Geral de Proteção de Dados (LGPD). O tratamento de dados pessoais por meio de algoritmos sem transparência, consentimento adequado ou mecanismos de auditoria pode resultar em sanções severas. Além disso, a capacidade de execução de tarefas não deve ser o único parâmetro para avaliar uma solução de IA; fatores como rastreabilidade, controle de acesso e previsibilidade tornam-se essenciais para manter a integridade dos dados.
Recomendações para executivos
Para mitigar esses riscos, as organizações devem estabelecer imediatamente:
- Inventário completo de todos os modelos de IA em uso e suas fontes de dados;
- Políticas claras de governança de IA alinhadas às normas de proteção de dados;
- Mecanismos de controle de acesso baseados em função (RBAC) aplicados às interfaces de IA;
- Processos de auditoria regular para verificar se as respostas da IA respeitam as restrições de privacidade;
- Capacitação de equipes sobre os riscos de vazamento de dados através de prompts e interações com modelos.
O que fazer agora
Uma demonstração funcional de IA não garante segurança. O desafio é garantir que a tecnologia continue operando de forma consistente, dentro das regras da empresa e sem criar novas brechas quando ganha escala. É necessário investir em histórico, método e previsibilidade para transformar a IA de uma ferramenta de produtividade em um ativo seguro e controlado.