Funcionários estão enviando dados confidenciais da empresa para ferramentas de IA sem perceber
Entenda como prompts, documentos, planilhas, reuniões e códigos enviados para ferramentas de inteligência artificial podem expor informações corporativas quando não existe uma política clara sobre quais dados podem ser utilizados.
Ferramentas de inteligência artificial já fazem parte da rotina de muitas empresas.
Funcionários utilizam IA para escrever e-mails, resumir documentos, analisar contratos, revisar códigos, organizar planilhas, transcrever reuniões, criar apresentações e acelerar tarefas administrativas.
O problema aparece quando a produtividade cresce mais rápido do que as regras de segurança.
Para conseguir uma resposta melhor, o usuário começa a fornecer contexto.
Primeiro, copia um pequeno trecho de um documento.
Depois, envia uma planilha.
Em seguida, adiciona nomes de clientes, informações financeiras, estratégias comerciais, contratos, códigos internos ou documentos inteiros.
O que parecia apenas uma conversa com uma ferramenta passa a envolver informações pertencentes à empresa, clientes, funcionários ou parceiros.
O risco varia de acordo com a ferramenta, configuração, tipo de conta, contrato e política do fornecedor. Por isso, não é correto assumir que todo serviço de IA trata prompts, arquivos e histórico da mesma maneira.
O NCSC recomenda que organizações compreendam os termos e políticas dos serviços utilizados antes de inserir informações sensíveis, enquanto o NIST inclui vazamento, uso não autorizado e exposição de informações pessoais ou sensíveis entre os riscos relevantes da IA generativa.
O problema não é utilizar inteligência artificial.
É permitir que cada funcionário decida sozinho quais informações corporativas podem sair dos sistemas internos e entrar em uma ferramenta externa.
Neste artigo, você vai entender:
- ✓Por que prompts também precisam ser tratados como transferência de informação
- ✓Quais dados não deveriam ser enviados livremente para ferramentas de IA
- ✓Como uploads de arquivos aumentam o risco
- ✓Por que ferramentas gratuitas e corporativas não devem ser tratadas como equivalentes
- ✓Como liberar o uso de IA sem perder o controle sobre os dados da empresa
Os riscos do uso descontrolado de inteligência artificial
Dados confidenciais em prompts
Funcionários podem copiar estratégias, contratos, informações financeiras ou dados internos para conseguir respostas mais precisas.
Upload de documentos completos
Um arquivo enviado para análise pode conter muito mais informações do que aquelas realmente necessárias para a tarefa.
Dados pessoais de clientes
Nomes, documentos, contatos, históricos e outras informações identificáveis podem ser enviados sem avaliação de necessidade.
Informações de funcionários
Currículos, avaliações, folhas de pagamento, documentos e dados de RH podem acabar em ferramentas não aprovadas.
Código-fonte corporativo
Desenvolvedores podem enviar trechos de sistemas internos, regras de negócio, configurações ou detalhes de infraestrutura para obter ajuda.
Credenciais dentro do conteúdo
Arquivos e códigos podem conter senhas, tokens, chaves de API, URLs privadas ou outras informações que nunca deveriam ser incluídas em prompts.
Reuniões transcritas automaticamente
Ferramentas conectadas a videoconferências podem processar conversas estratégicas, comerciais, jurídicas ou pessoais.
Ferramentas não homologadas
Funcionários podem criar contas particulares em serviços de IA sem conhecimento das áreas de tecnologia, segurança ou privacidade.
Histórico armazenado
Dependendo do serviço e da configuração utilizada, prompts e arquivos podem permanecer disponíveis por determinado período.
Falta de classificação da informação
O funcionário pode não saber diferenciar um dado público de uma informação interna, confidencial ou restrita.
Integrações com sistemas corporativos
Assistentes conectados a e-mail, armazenamento, CRM ou outros serviços podem acessar um volume muito maior de dados do que um chatbot isolado.
Respostas contendo informação sensível
Sistemas de IA mal configurados também podem revelar dados aos quais não deveriam conceder acesso. A OWASP classifica a divulgação de informações sensíveis como um dos principais riscos de aplicações baseadas em LLMs.
O maior risco não é o funcionário perguntar algo para uma IA. É fornecer informações que nunca deveriam ter saído do ambiente controlado da empresa.
Como permitir o uso de IA sem perder o controle das informações
Bloquear completamente a inteligência artificial pode levar funcionários a procurar soluções por conta própria. Uma estratégia mais sustentável é definir ferramentas autorizadas, tipos de dados permitidos, controles técnicos e responsabilidades claras para cada uso.
Criar uma política de uso de IA
Defina quais ferramentas podem ser utilizadas, para quais finalidades e quais tipos de informação não podem ser enviados.
Classificar as informações da empresa
Separe dados públicos, internos, confidenciais e restritos para que funcionários saibam o que pode ser processado externamente.
Aprovar ferramentas corporativas
Avalie fornecedores, contratos, armazenamento, retenção, segurança e controles administrativos antes de liberar uma plataforma.
Diferenciar contas pessoais e corporativas
Uma conta gratuita criada pelo funcionário não deve ser tratada automaticamente como equivalente a uma solução contratada pela empresa.
Aplicar minimização de dados
Envie somente a quantidade de informação necessária para executar a tarefa.
Anonimizar informações
Quando possível, remova nomes, documentos, identificadores e outros elementos capazes de revelar pessoas ou organizações.
Proibir credenciais em prompts
Senhas, tokens, chaves de API, certificados e segredos técnicos nunca devem ser utilizados como contexto para uma IA.
Criar regras para uploads
Documentos completos devem ser enviados somente quando a ferramenta estiver autorizada a processar aquela categoria de informação.
Controlar transcritores de reunião
Defina quais reuniões podem ser gravadas ou transcritas e quais conteúdos devem permanecer fora dessas plataformas.
Avaliar integrações
Aplicações conectadas a e-mail, Drive, SharePoint, CRM ou outros repositórios precisam de análise adicional de permissões.
Aplicar menor privilégio
Uma ferramenta de IA deve acessar apenas os dados necessários para a função que desempenha.
Implementar controles de prevenção de vazamento
Quando disponível, utilize soluções capazes de identificar ou impedir o envio de determinadas categorias de informação.
Manter registros de ferramentas autorizadas
A empresa deve saber quais serviços de IA estão aprovados e quem é responsável por cada um.
Treinar os funcionários
Explique situações práticas: o que pode ser enviado, o que precisa ser anonimizado e o que nunca deve entrar em um prompt.
Revisar fornecedores periodicamente
Recursos, contratos, integrações e políticas podem mudar e precisam ser reavaliados.
Criar um canal para novos casos de uso
Funcionários devem conseguir solicitar avaliação de uma nova ferramenta ou necessidade sem recorrer a soluções paralelas.
Liste as ferramentas de inteligência artificial que sua equipe já utiliza. Para cada uma, descubra quais dados estão sendo enviados, quem utiliza, para qual finalidade e se a ferramenta foi oficialmente avaliada pela empresa.
O que muda quando o uso de IA passa a ser administrado
Antes
- ✓Cada funcionário escolhe sua própria ferramenta
- ✓Documentos são enviados sem classificação
- ✓Informações confidenciais aparecem em prompts
- ✓Contas pessoais são utilizadas para atividades profissionais
- ✓A empresa não sabe quais serviços processam seus dados
- ✓Novas integrações surgem sem análise
Depois
- ✓Ferramentas corporativas são previamente avaliadas
- ✓Funcionários sabem quais dados podem utilizar
- ✓Informações sensíveis são removidas ou minimizadas
- ✓Integrações seguem critérios de segurança
- ✓Novos casos de uso possuem um processo de aprovação
- ✓A empresa consegue aproveitar IA com maior controle sobre seus dados
A pergunta não deveria ser apenas “podemos usar IA?”. Também deveria ser “quais informações essa IA está autorizada a receber?”.
Perguntas frequentes
É errado utilizar inteligência artificial no trabalho?
Não. A IA pode aumentar significativamente a produtividade. O problema é utilizá-la sem critérios para determinar quais ferramentas e informações são apropriadas.
Tudo que envio para uma IA vira treinamento?
Não necessariamente. O tratamento de prompts e arquivos varia de acordo com fornecedor, produto, configuração, tipo de conta e contrato. É necessário verificar as condições específicas do serviço utilizado.
Posso enviar um documento confidencial para uma IA?
Somente se a empresa tiver autorizado aquela ferramenta e determinado que ela pode processar esse tipo de informação.
Remover o nome do cliente torna o documento seguro?
Ajuda, mas pode não ser suficiente. Endereço, número de contrato, valores, contexto e outros elementos podem permitir a identificação da pessoa ou organização.
Posso enviar código-fonte para uma IA?
Depende da política da empresa e da ferramenta utilizada. Segredos, credenciais e componentes confidenciais exigem controles adicionais.
Ferramentas corporativas de IA são mais seguras?
Elas podem oferecer controles de administração, privacidade e segurança diferentes das versões voltadas ao consumidor, mas cada serviço precisa ser avaliado individualmente.
Posso utilizar uma IA para analisar dados de clientes?
Somente quando houver autorização, finalidade legítima, proteção adequada dos dados e compatibilidade com as obrigações aplicáveis à organização.
Transcrever reuniões com IA apresenta risco?
Sim. A transcrição pode transformar uma conversa inteira em dados processados e armazenados por outro serviço. Reuniões sensíveis devem possuir regras específicas.
E se o funcionário já tiver enviado uma informação confidencial?
A situação deve ser comunicada à área responsável para avaliar o conteúdo enviado, a ferramenta utilizada, possibilidade de exclusão, exposição e medidas necessárias.
É suficiente colocar no prompt “não compartilhe estas informações”?
Não. Instruções dentro do próprio prompt não substituem controles técnicos, políticas de acesso e proteção adequada dos dados. A OWASP destaca que instruções de sistema não devem ser utilizadas como substitutas de controles de segurança.
A empresa deveria bloquear todas as ferramentas de IA?
Nem sempre. Uma política que oferece alternativas corporativas autorizadas tende a permitir produtividade com mais controle.
Por onde começar?
Pelas áreas que trabalham com dados pessoais, informações financeiras, contratos, propriedade intelectual, código-fonte, RH e documentos estratégicos.
Conclusão
A inteligência artificial tornou extremamente fácil transformar informações da empresa em contexto para uma tarefa.
Copiar.
Colar.
Enviar.
Em poucos segundos, um documento que estava dentro de um sistema corporativo pode passar a ser processado por uma plataforma externa.
Na maioria das vezes, isso não acontece por intenção maliciosa.
O funcionário está apenas tentando trabalhar mais rápido.
Por isso, depender somente da conscientização individual não é suficiente.
A organização precisa definir ferramentas, responsabilidades, tipos de dados permitidos e controles capazes de acompanhar a forma como a IA está sendo utilizada.
O NIST recomenda que riscos de privacidade, segurança da informação e uso de dados façam parte da gestão de sistemas de IA generativa, enquanto o NCSC orienta organizações a compreenderem como provedores tratam informações antes de utilizá-las em aplicações sensíveis.
O objetivo não é escolher entre produtividade e segurança.
É evitar que a produtividade dependa de entregar informações da empresa a serviços que nunca foram avaliados.
A IA pode ajudar o funcionário a trabalhar com os dados. Isso não significa que ela precise receber todos eles.
Sua empresa sabe quais informações os funcionários estão enviando para ferramentas de inteligência artificial?
Mapeie as ferramentas utilizadas pela equipe, defina quais dados podem ser processados e estabeleça uma política de IA antes que informações confidenciais sejam compartilhadas em um simples copiar e colar.
