d u n k e r
IA sem governança: o que a adoção acelerada está custando para a segurança da informação para empresas
16 Jun
- Dunker IT
IA sem governança: o que a adoção acelerada está custando para a segurança da informação para empresas
A inteligência artificial entrou nas empresas pela porta dos fundos. Um colaborador assina gratuitamente numa plataforma. Outro integra um plugin ao e-mail corporativo. Um terceiro cola dados de clientes num chatbot para agilizar uma análise. Cada movimento parece inofensivo. No conjunto, eles representam um problema sério de segurança da informação para empresas que ainda não estruturaram uma política clara para o uso dessas ferramentas. E os números confirmam: segundo o IBM Cost of a Data Breach Report 2025, 87% das empresas brasileiras ainda não possuem políticas formais de governança de IA.
Esse cenário tem nome: Shadow AI. E ele já está presente em mais organizações do que a maioria dos gestores imagina.
Segurança da informação para empresas começa com o que você não vê
Shadow IT, o uso de sistemas não autorizados dentro de uma organização, já era um desafio conhecido. A Shadow AI é a versão atual, com alcance bem maior.
Ferramentas de IA generativa, automações baseadas em modelos de linguagem e assistentes integrados a plataformas de trabalho são adotadas sem que o departamento de TI saiba que existem no ambiente corporativo. De acordo com o Cloud and Threat Report 2025 da Netskope, 74% dos funcionários acessam ferramentas de IA via contas pessoais, completamente fora do controle das equipes de segurança. Dados confidenciais, contratos, informações de clientes e registros financeiros podem estar sendo processados por sistemas externos sem contrato de sigilo, sem avaliação de conformidade, sem controle de acesso.
Não nasce de má-fé. Nasce da pressão por produtividade e da ausência de uma política clara. O resultado operacional, porém, é o mesmo: visibilidade zero sobre onde os dados da empresa estão indo. Segundo o IBM Global AI Adoption Index, apenas 22% dos trabalhadores afirmam utilizar exclusivamente ferramentas oficialmente aprovadas pela empresa.
O risco que começa com um copia e cola
Um dos vetores mais comuns de incidente relacionado à IA é também o mais subestimado. Quando um colaborador cola numa janela de chat dados de pacientes, contratos de clientes ou credenciais de sistemas para pedir ajuda à IA, esses dados podem ser utilizados para treinamento de modelos, armazenados em servidores de terceiros ou expostos em caso de incidente na plataforma utilizada.
A pesquisa da LayerX Security, publicada no Enterprise GenAI Security Report 2025, revelou que 75% dos funcionários que utilizam ferramentas de IA não aprovadas já inseriram informações sensíveis nessas plataformas. O relatório da Check Point Research acrescenta outro dado preocupante: 1 em cada 80 prompts enviados a partir de dispositivos corporativos continha dados de alto risco.
A LGPD não distingue se o vazamento foi intencional ou acidental. A responsabilidade recai sobre a empresa que tratou os dados, independentemente de quem os inseriu e onde. Empresas que não definem quais dados podem ser compartilhados com ferramentas externas operam, na prática, com uma política de privacidade cheia de buracos.
Segurança da informação para empresas exige controle sobre integrações
Ferramentas de IA modernas oferecem integrações nativas com e-mail, CRM, ERP, plataformas de comunicação interna e sistemas de armazenamento em nuvem. Uma única aplicação mal configurada pode ter acesso a praticamente toda a operação.
O risco cresce quando essas integrações são feitas sem revisão de permissões, sem autenticação adequada e sem monitoramento de acesso. Um token comprometido, uma API mal protegida ou uma configuração padrão não revisada podem dar a um agente externo acesso amplo a dados e sistemas críticos.
A superfície de ataque de uma empresa não é mais definida apenas pela sua rede. Ela inclui todas as conexões que suas ferramentas estabelecem com o mundo externo. A IA expandiu essa superfície de forma considerável, e boa parte das empresas ainda não atualizou sua leitura de risco para essa realidade.
Governança: o que sustenta a operação quando tudo falha
Sem governança, não há clareza sobre quais ferramentas são autorizadas, quais dados podem ser processados externamente, quem monitora o comportamento dessas ferramentas ou como incidentes devem ser tratados. A ausência dessas definições não é neutralidade. É risco operacional ativo, com custo mensurável.
O IBM Cost of Data Breach Report 2025 apurou, com base em 600 organizações globais, que violações originadas em Shadow AI custam em média US$ 670 mil a mais do que os demais incidentes, chegando a US$ 4,63 milhões por ocorrência. Além disso, 97% das organizações que sofreram violações em modelos ou aplicações de IA relataram ausência de controles de acesso adequados.
Vale incluir aqui um ponto que costuma ser negligenciado: a dependência de fornecedores. Empresas que adotam soluções de IA sem avaliação criteriosa podem se tornar altamente dependentes de plataformas que mudam suas políticas, encerram serviços ou sofrem incidentes de segurança. Avaliar fornecedores vai além de verificar funcionalidades, envolve entender onde os dados são armazenados, quais certificações de segurança a plataforma possui e quais são os termos contratuais em relação à propriedade dos dados processados.
Segurança da informação para empresas em um cenário onde a IA também ataca
Além dos riscos associados ao uso corporativo inadequado, a inteligência artificial está sendo usada como ferramenta por agentes maliciosos. Em 2025, 82,6% das mensagens de phishing enviadas por e-mail já utilizavam IA em sua elaboração, com um crescimento de 202% nos registros desse tipo de golpe no segundo semestre de 2024, segundo levantamento publicado pela Fenati.
Um caso que ganhou repercussão internacional ilustra bem a dimensão do problema: um funcionário de uma empresa em Hong Kong foi enganado por criminosos que usaram deepfakes para simular uma videoconferência com o diretor financeiro. Convencido de que falava com seus superiores, ele autorizou a transferência de US$ 25 milhões. Segundo o Identity Theft Resource Center, houve um aumento de 148% em casos de falsificação de identidade entre abril de 2024 e março de 2025, impulsionados em grande parte pelo uso de IA generativa em ataques de engenharia social.
Para empresas que ainda operam com postura reativa de segurança, esperando o incidente para agir, esse cenário representa uma aceleração significativa do risco. A janela entre a detecção de uma vulnerabilidade e a sua exploração está encolhendo.
Por onde começar
A adoção segura de IA não exige desacelerar. Exige estruturar.
O ponto de partida é o mapeamento do ambiente atual: identificar quais ferramentas de IA já estão sendo usadas na empresa, com ou sem autorização formal, é o primeiro passo para entender a exposição real. A partir daí, é possível definir políticas de uso, estabelecer critérios de avaliação de fornecedores e implementar monitoramento contínuo sobre o comportamento dessas ferramentas no ambiente corporativo.
Capacitação também entra nessa conta. Colaboradores bem-informados sobre os riscos do uso inadequado de IA tomam decisões melhores. Treinamentos periódicos de reconhecimento de deepfakes e phishing, por exemplo, podem reduzir em até 85% os cliques em links maliciosos, segundo dados da Supernova Cloud. Isso não é custo, é prevenção com retorno mensurável.
O que está em jogo
Empresas que ignoram a dimensão de segurança da IA não estão sendo mais ágeis. Estão transferindo o custo da decisão para o futuro, geralmente na forma de incidentes, multas ou danos à reputação. A pergunta que cada empresa deveria estar fazendo não é “estamos usando IA?”. É “sabemos o que a IA está fazendo com os nossos dados?”
A Dunker IT apoia empresas na estruturação de ambientes de TI seguros, com governança, monitoramento contínuo e planejamento tecnológico alinhado ao crescimento do negócio.
Receba insights estratégicos de TI direto no seu e-mail!
Tendências, dicas práticas e soluções para transformar sua TI em vantagem competitiva — toda semana, com exclusividade.