O problema não está no hacker externo. Está no colaborador que abriu o notebook esta manhã, colou um trecho de contrato no ChatGPT e foi tomar café. A empresa média registra 223 incidentes de violação de políticas de dados relacionados à inteligência artificial generativa por mês, número que mais que dobrou em relação ao ano anterior, segundo o Cloud and Threat Report da Netskope. No Brasil, a adoção de IA em empresas saltou de 20% para 51% em apenas doze meses e o fenômeno já tem nome: shadow AI. Para Rafael Franco, engenheiro de software e CEO da Joya Solutions, o dado não é apenas um alerta de segurança é o retrato de um erro estrutural que a maioria das empresas ainda não reconheceu como seu.
"O empresário acha que está inovando ao pedir para uma ferramenta pública analisar o seu caixa ou o seu banco de dados. Não está. Está entregando seus ativos mais valiosos de graça para um servidor que não controla e que não responde pelos dados que recebeu."
Uma pesquisa da Harmonic Security detalhou o que exatamente vai para esses prompts: dados jurídicos e financeiros representam 30,8% dos casos, informações de clientes 27,8%, dados pessoais de titulares 14,9%, registros de funcionários 14,3% e código-fonte sensível 10,1%. Desses dados, 79% fluem para o ChatGPT, sendo 21% para a versão gratuita, na qual os prompts podem ser retidos para treinamento do modelo.
O problema se agrava quando se considera que proibir não resolve. O Cisco Data Privacy Benchmark Study revelou que 27% das organizações baniram totalmente ferramentas de IA generativa e ainda assim 48% dos funcionários dessas mesmas empresas admitiram ter inserido informações não públicas nessas ferramentas. O Gartner projeta que até 2027, 75% dos funcionários adquirirão, modificarão ou criarão tecnologia fora do campo de visão da TI corporativa. "Proibir sem oferecer uma alternativa é perder o controle sem ganhar segurança. O funcionário vai usar a ferramenta que resolve o problema dele. A empresa precisa ser mais inteligente do que a proibição", afirma Franco.
A exposição jurídica é concreta e imediata. Quando um funcionário insere dados pessoais de clientes em uma ferramenta de IA pública, configuram-se simultaneamente a transmissão a terceiro, a potencial transferência internacional de dados e o descumprimento do princípio de segurança previsto no Art. 46 da LGPD e a responsabilidade recai sobre a empresa, independentemente de ter sido iniciativa individual de um empregado. A ANPD, elevada ao status de autarquia especial em 2025 com poderes ampliados de fiscalização, já bloqueou preventivamente o uso de dados pessoais para treinamento de IA por uma das maiores plataformas sociais do mundo e investiga a responsabilidade de outra empresa global por vazamento de dados em ferramenta de IA.
É nesse cenário que a Joya Solutions atua. A empresa de tecnologia paulistana fundada por Franco projeta e implementa infraestruturas de IA proprietárias, ou seja, ambientes fechados onde agentes autônomos executam as mesmas tarefas que os colaboradores hoje fazem em ferramentas públicas, mas dentro de um perímetro controlado, criptografado e auditável pela própria empresa. "A resposta não é tirar o acesso à IA. É oferecer algo melhor: uma IA que conhece os dados da empresa, responde com profundidade e opera sem que nenhuma informação sensível saia do perímetro corporativo."
O Relatório de Ameaças de Dados da Thales de 2026 revela que 70% das organizações já classificam a IA como o principal risco à segurança de dados e que deepfakes e desinformação habilitados por IA estão aumentando a eficácia de ataques baseados em identidade, com roubo de credenciais atingindo 67% das infraestruturas em nuvem. Para Franco, o dado confirma que a janela para agir de forma preventiva está se fechando. "Blindar o patrimônio tecnológico deixou de ser diferencial competitivo: virou obrigação. E as empresas que ainda não entenderam isso estão acumulando um passivo que vai aparecer na hora mais inconveniente."
Imagem: https://pt.vecteezy.com/foto/71527269-fibra-otico-cabo-conexao-tecnologia-dados-transferir-rede
