Por Ricardo Costa, ChiefAI Security Officer da Vitara

Nos últimos dois anos, ferramentas de inteligência artificial generativa passaram a fazer parte da rotina de trabalho em praticamente todas as áreas de uma empresa. Times de marketing usam IA para gerar textos e imagens, equipes de desenvolvimento aceleram código com assistentes inteligentes e departamentos financeiros recorrem a modelos de linguagem para analisar planilhas e relatórios. Boa parte desse uso acontece fora do radar da área de segurança, oque caracteriza o fenômeno conhecido como Shadow AI.

Shadow AI é o uso de ferramentas de inteligência artificial semaprovação, monitoramento ou controle formal da empresa. Diferente do shadow ITtradicional, ligado a softwares não homologados, a Shadow AI carrega um riscoadicional: cada prompt enviado a uma ferramenta pública pode conter dadossensíveis que saem definitivamente do perímetro corporativo.

O colaborador que usa essas ferramentas raramente tem intenção deprejudicar a empresa. Ele busca ganhar tempo, resolver um problema mais rápidoou entregar um resultado melhor. O risco nasce da combinação entre essa boaintenção e a ausência de capacitação, políticas claras e controles técnicos.Sem esses três pilares, informações como dados de clientes, códigos-fonte,relatórios financeiros e contratos acabam copiadas para interfaces de IA que aempresa não escolheu nem auditou.

Os riscos que ficam fora da vista dadiretoria

Os impactos de um vazamento por Shadow AI ultrapassam o incidentepontual. Entre os riscos mais críticos estão a fuga de propriedade intelectual,violações da LGPD, descumprimento de normas de conformidade exigidas por órgãosreguladores e auditorias externas, questões trabalhistas ligadas ao usoindevido de dados de colaboradores e a contaminação da base de dadoscorporativa com informações geradas por IA sem validação humana.

A escala do problema é maior do que a maioria das empresas imagina.Segundo o State of Data Security Report da Varonis, 99% das organizaçõesanalisadas possuem dados sensíveis expostos a ferramentas de IA e copilotos deforma perigosa. O número mostra que o risco não está restrito a empresas commaturidade baixa em segurança, está presente na maioria absoluta das operações,independentemente do porte ou do setor.

Três perguntas que toda diretoriadeveria responder

Como sua diretoria pode gerenciar o risco de ferramentas que ela sequersabe que estão sendo utilizadas na rede?

Se os seus dados internos possuem permissões excessivas, você temconsciência de que a IA pode expor relatórios confidenciais para colaboradoresnão autorizados?

Se a ANPD auditar hoje os prompts que seus colaboradores enviam para IAspúblicas, sua infraestrutura estaria em conformidade com a LGPD?

Essas perguntas não têm resposta simples, mas têm caminho.

Visibilidade, proteção e governança: umaabordagem em três etapas

O primeiro passo é mapear o consumo atual de IA na rede. Ferramentas comoo SailPoint Shadow AI Remediation identificam em tempo real quais soluções deIA generativa estão sendo acessadas, por quais departamentos e com qualfrequência, bloqueiam proativamente o upload de arquivos confidenciais edirecionam o usuário para alternativas homologadas pela empresa. Essemapeamento elimina o ponto cego da diretoria e substitui o bloqueio da inovaçãopor visibilidade e direcionamento.

O segundo passo é classificar e blindar os repositórios de dadosconfidenciais antes que qualquer ferramenta de IA, interna ou de terceiros,tenha acesso a eles. Soluções como o Varonis Atlas, categoria AI SecurityPosture Management, varrem servidores, nuvens e diretórios corporativos,identificam arquivos com dados sensíveis expostos a usuários comuns e aplicam oprincípio do menor privilégio. Essa etapa reduz o raio de exposição de dadosarmazenados e evita que agentes de IA corporativos exponham segredos comerciaisou informações salariais a colaboradores que não deveriam acessá-los.

O terceiro passo é estabelecer uma política corporativa de uso de IA,formalizada e auditável. Plataformas como a OneTrust AI Governance centralizama governança organizacional, permitem inventariar todos os modelos de IA emavaliação ou uso e rodar análises de impacto automatizadas, as DPIA, paragarantir conformidade com a LGPD. Esse processo transforma políticas abstratasem uma trilha de governança que comprova, diante da ANPD, que a organizaçãotrata dados pessoais com responsabilidade.

Tecnologia não resolve sozinha

Essas soluções servem como referências práticas para o mercado. Cadaempresa tem um cenário de dados, um orçamento e um nível de maturidadediferente, e a escolha das ferramentas certas depende de um diagnósticoespecífico, feito com base no cenário real de fornecedores, na estrutura dedados e nas exigências regulatórias do setor em que a empresa atua. Umdiagnóstico assim exige um parceiro especialista, com conhecimento técnico domercado de segurança e experiência prática na implantação dessas tecnologias.

A segurança efetiva em torno da IA corporativa depende da combinaçãoentre tecnologia, processos e pessoas: regras de acesso bem desenhadas, o RBAC,segregação de funções, o SoD, e sustentação contínua do ambiente. Esse tripéexige acompanhamento técnico permanente, desde a implantação das ferramentasaté o monitoramento e o suporte no dia a dia. É nessa frente que a Vitara atua,apoiando empresas de diferentes portes e setores na estruturação dessa jornada.

A resposta ao Shadow AI está em dar aos colaboradores caminhos segurospara usar essas ferramentas e à diretoria a visibilidade necessária paradecidir, de forma consciente, qual nível de risco a empresa está disposta aaceitar.

Ricardo Costa‍

Chief AI Security Officer, Vitara