As maiores violações de dados em muitas empresas não foram causadas por ataques: elas ocorreram devido a uma assinatura mensal de €20 paga com cartão de crédito corporativo. Isso se chama *IA paralela*: ferramentas de inteligência artificial contratadas e utilizadas por departamentos sem conhecimento da tecnologia, segurança ou do responsável pela proteção de dados.
Não é uma questão de disciplina. É a consequência previsível de essas ferramentas serem baratas, imediatamente úteis e não exigirem instalação.
Quando um relatório vinha de uma planilha, alguém o olhava com desconfiança. Quando vem de um sistema de IA, é discutido em uma reunião.
O relatório da IBM sobre o custo de uma violação de dados em 2025, em sua vigésima edição e elaborado em parceria com a Ponemon, com base em cerca de 600 organizações, apresenta números que põem fim a qualquer debate interno:
Essa última informação explica as outras três. Quando não existe uma maneira autorizada e razoável de fazer algo, as pessoas resolvem seus problemas com o que estiver ao seu alcance.
A reação instintiva de muitos comitês é emitir uma circular proibindo o uso de ferramentas externas de IA. Isso produz três efeitos, nenhum dos quais é o desejado:
O uso não desaparece: apenas se oculta. Troque do laptop corporativo para o celular pessoal, onde não há visibilidade.
Informações úteis são perdidas. Saber quais ferramentas as pessoas usam indica quais problemas reais a organização tem e que ainda não foram resolvidos.
Aqueles que tentam fazer um trabalho melhor são penalizados. O custo cultural é elevado e duradouro.
A alternativa que funciona é inconveniente porque exige esforço: oferecer uma rota autorizada que seja pelo menos tão conveniente. Se a opção aprovada for mais lenta do que a opção do cartão corporativo, a política perde a validade.
Risco | Como isso se materializa | Controle eficaz |
Vazamento de informações | Um contrato, folha de pagamento ou código proprietário é colado em uma ferramenta pública. | Canal autorizado com acordo de processamento de dados |
Decisão não rastreável | Alguém decide com uma resposta que ninguém consegue reconstruir. | Registro e obrigação de citar a fonte. |
Não conformidade regulamentar | Dados pessoais processados fora do quadro declarado | Inventário e classificação por caso de uso |
Dependência invisível | O processo passa então a depender de uma ferramenta que ninguém aprovou. | Inventário e revisão periódica |
O quarto ponto é o menos discutido e o que mais surpreende. Um departamento configura um fluxo de trabalho em torno de uma ferramenta, o preço dessa ferramenta muda ou ela desaparece, e de repente um processo operacional para sem que ninguém na área de tecnologia saiba que essa dependência existia.
Uma implementação complexa não é necessária. Quatro rotas abrangem a maior parte disso:
O resultado dessas quatro abordagens é um inventário, que é o ponto de partida para qualquer política de governança. Sem um inventário, a política é meramente um documento sobre uma realidade desconhecida, como explicamos ao discutir... As obrigações da Lei de Inteligência Artificial e por onde começar.
Uma rota autorizada, boa e rápida. Uma ou duas ferramentas aprovadas, com um acordo de processamento de dados, fácil acesso e sem entraves burocráticos para começar a usá-las.
Uma regra de dados compreensível. Não é um documento de vinte páginas. Três linhas: quais informações nunca saem dos sistemas internos, quais exigem aprovação e quais são irrestritas. Se não couber em um cartão, não será seguido.
Treinamento breve e específico. Dez minutos sobre o que realmente acontece quando você cola informações em uma ferramenta externa. A maioria das pessoas não faz isso por acidente, mas sim porque não entende como funciona.
Um canal para solicitar ferramentas. Com respostas em dias, não em trimestres. A velocidade deste canal determina o nível de IA paralela da organização melhor do que qualquer padrão.
Revisão trimestral do inventário. Resumindo: o que foi adicionado, o que foi descontinuado e qual acesso precisa ser revogado.
Essa questão é mal defendida quando apresentada como um problema de segurança, porque compete com outras prioridades. Ela é bem defendida quando apresentada com dois números.
A primeira é da IBM: Custo adicional médio de US$ 670.000 quando a IA não autorizada está envolvida em uma violação de segurança. O segundo ponto é nosso: quantas assinaturas de IA aparecem nas despesas do último trimestre sem que ninguém na área de tecnologia soubesse.
Esse segundo número, obtido em uma tarde, geralmente encerra a discussão.
Isso se refere ao uso de ferramentas de inteligência artificial contratadas ou utilizadas por departamentos sem o conhecimento ou aprovação dos responsáveis pela tecnologia, segurança ou proteção de dados. Normalmente ocorre por meio de assinaturas de baixo valor pagas com cartão de crédito corporativo.
De acordo com o relatório da IBM "Custo de uma Violação de Dados em 2025", 201% das violações analisadas envolveram IA não autorizada, e esses incidentes adicionaram uma média de US$ 670.000 ao custo, além de um custo médio de violação de US$ 4,44 milhões.
Como o uso não desaparece, ele simplesmente migra para dispositivos pessoais onde não há visibilidade; informações valiosas sobre problemas organizacionais não resolvidos se perdem; e aqueles que tentam melhorar são penalizados. A alternativa eficaz é oferecer um canal autorizado igualmente conveniente.
Por meio de quatro vias: revisão de assinaturas de cartões corporativos e relatórios de despesas, análise do tráfego de rede e logins em contas corporativas, uma pesquisa interna com anistia explícita e revisão de integrações de terceiros com acesso a e-mail, armazenamento ou CRM.
Uma regra de dados de três linhas — quais informações nunca saem dos próprios sistemas, quais exigem aprovação e quais são gratuitas —, uma ou duas ferramentas autorizadas com um contrato de processamento de dados, um canal para solicitar novas ferramentas com resposta em poucos dias e uma revisão trimestral do inventário.
Sim. Qualquer obrigação regulatória decorre do conhecimento de quais sistemas de IA existem na organização, quais dados eles contêm e quem é o responsável por cada um. Sistemas não inventariados são excluídos da classificação de risco e, portanto, de quaisquer medidas de conformidade.
Você sabe quais ferramentas de IA são usadas na sua empresa atualmente? Realizamos o inventário real, classificamos o risco por caso de uso e projetamos a rota autorizada para que as pessoas não precisem evitá-la. Vamos conversar → |
Español Español 
English
Français
العربية
Português
Deutsch
Italiano
