A Sombra Ampla e Turva do GenAI Está Colocando os Dados da Sua Empresa em Risco

As soluções de inteligência artificial generativa (GenAI) não são mais algo que os funcionários das empresas estão apenas “testando”. Elas estão sendo adotadas e integradas ao trabalho diário a um ritmo cada vez mais rápido. De acordo com um relatório, 40% das organizações relataram usar GenAI em fluxos de trabalho diários nos últimos 12 meses, e mais de 80% relataram que os usuários interagiram com essas ferramentas semanalmente.

No entanto, enquanto a adoção de IA está em ascensão, a visibilidade e o controle não estão acompanhando o mesmo ritmo. À medida que o GenAI se incorpora a caixas de entrada de e-mail, editores de código, suites de colaboração, assistentes virtuais e muito mais, ele obtém acesso a quantidades cada vez maiores de dados sensíveis por meio de prompts, uploads e ações de copiar e colar – todos os quais provavelmente contornam os controles tradicionais.

O resultado é um pool crescente de dados sombra: informações críticas para os negócios fluindo por serviços SaaS, nuvem e locais com salvaguardas limitadas para visibilidade, governança ou retenção. Para inovar de forma sustentável e segura com soluções de IA, é fundamental que as empresas modernas entendam essa lacuna de adoção e controle e aprendam a abordar os dados sombra antes que eles escapem do seu controle.

A Sombra Ampla e Turva do GenAI

O desafio central dos dados sombra decorre da falta de contexto. Enquanto os desafios de TI sombra estão confinados a arquivos em repouso, aplicativos sancionados e pontos de saída conhecidos, os limites dos dados sombra impulsionados por IA são muito menos rigidamente definidos. As equipes não podem simplesmente descobrir e proteger ferramentas desconhecidas; elas também precisam monitorar modelos de IA integrados a aplicativos aprovados, como plataformas de e-mail, soluções de armazenamento em nuvem e CRMs. Isso derruba as “soluções seguras” com as quais eles vinham trabalhando e monitorando, e amplia seu cenário de ameaças.

O GenAI também muda a forma como os dados sensíveis se movem pela arquitetura da empresa. Ao contrário dos fluxos de trabalho baseados em aplicativos e arquivos das soluções SaaS tradicionais, ele opera em uma camada contínua e conversacional que incentiva os usuários a compartilhar contexto para obter melhores resultados. Isso leva os usuários a realizar ações de copiar e colar e uploads rotineiros que podem incluir trechos de código-fonte, registros de clientes, documentos internos e muito mais, todos os quais carecem da governança adequada de compartilhamento de dados para seus respectivos níveis de sensibilidade.

Além disso, a adoção do GenAI muitas vezes não segue um padrão limpo e centralizado. Nenhum dois usuários de dados de empresa são exatamente iguais, e sua busca por fluxos de trabalho otimizados e automação de economia de tempo pode levá-los a aproveitar numerous soluções de IA, que por sua vez criam caminhos de dados ainda mais fragmentados. Multiplique isso por toda a força de trabalho da empresa, e a sombra se torna incrivelmente ampla.

Por Que Bloquear o GenAI Não Funcionará

Diante dessas ameaças, a reação de muitas organizações é bloquear ou restringir fortemente o acesso a ferramentas de GenAI. Embora essa seja uma abordagem compreensível, ela muitas vezes não é tão eficaz quanto a empresa poderia esperar. Uma vez que o gênio do GenAI está fora da garrafa, por assim dizer, é incrivelmente difícil colocá-lo de volta. Muitos funcionários usam essas ferramentas para otimizar seus fluxos de trabalho diários, incorporando o GenAI em seu planejamento e execução de tarefas.

Quando o acesso é restringido de cima, o uso não é provável que pare; ele simplesmente sairá de vista. Se os funcionários mudarem para contas pessoais ou não gerenciadas, as empresas perdem toda a visibilidade sobre quais dados estão sendo compartilhados e retidos por aplicativos. De fato, um relatório encontrou que 44% dos funcionários já usaram IA de maneiras que violam políticas e diretrizes, enquanto outro estudo relatou que 75% dos funcionários que usam ferramentas de IA não aprovadas admitiram compartilhar informações potencialmente sensíveis com elas. Quando funcionários bem-intencionados, sem saber, contornam salvaguardas e criam oportunidades para que dados sensíveis deixem ambientes governados e entrem em sistemas com controles incertos, isso cria um risco interno significativo, que pode custar a uma organização uma média de $19,5 milhões anualmente. Ao empurrar a atividade do usuário para navegadores não gerenciados, contas de nuvem pessoais ou ferramentas de IA de nicho, as empresas criam mais vetores de ameaça que as equipes de segurança podem nunca ver.

Dessa forma, os dados sombra não são o resultado único de funcionários temerários com acesso a ferramentas de IA. É um resultado estrutural do design acessível do GenAI, da demanda por contexto e da ubiquidade geral. E até que as empresas possam recuperar a visibilidade de como e onde seus dados sombra fluem, a adoção do GenAI continuará a superar sua capacidade de gerenciar o risco.

Eliminando Dados Sombra com Visibilidade e Proteção

Embora bloquear completamente as soluções de GenAI não seja provável que funcione, as empresas podem apoiar a inovação de IA enquanto detém a proliferação de dados sombra, realizando três ações principais:

1. Estabelecer Visibilidade de Ponta a Ponta

As empresas precisam saber exatamente com o que estão lidando antes de poderem proteger efetivamente seus ecossistemas de dados. Isso começa com a criação de uma imagem completa de quais aplicativos de GenAI estão sendo usados por seus funcionários, incluindo aqueles integrados a ferramentas sancionadas. Isso também se estende aos tipos de dados – financeiros, IP, PII, PHI ou outras informações regulamentadas – que estão sendo compartilhados com esses aplicativos, bem como onde os dados estão viajando por redes locais, SaaS e nuvem. Sem essas informações cruciais, as equipes de segurança e conformidade são deixadas governando suposições em vez de comportamento real dos funcionários.

2. Aplicar Políticas de Proteção de Dados Conscientes do Contexto

A visibilidade sozinha não é adequada se os controles não puderem se adaptar a como o GenAI está sendo usado. As políticas clássicas “permitir ou bloquear” são muito rígidas para fluxos de trabalho de IA que exigem troca de dados contínua e conversacional. Para proteger efetivamente essas soluções, as equipes devem criar políticas conscientes do contexto que avaliam os usuários, dados e destinos em tempo real. Isso torna possível tomar ações realistas e proporcionais ao comportamento do usuário, bloqueando uploads arriscados, redigindo informações sensíveis antes que elas deixem o ambiente ou instruindo os funcionários a tentar alternativas mais seguras. Esses guardiões automatizados podem ser incorporados às tarefas diárias de forma mais eficaz do que a interrupção total ou a intervenção manual, tornando o uso do GenAI mais seguro sem inibir a produtividade.

3. Garantir a Aplicação Consistente de Políticas

As empresas devem aplicar um conjunto consistente de políticas de proteção de dados em todos os lugares onde o trabalho acontece, sem forçar as equipes a abandonar as ferramentas das quais elas dependem. Elas não devem “arrancar e substituir” ferramentas estabelecidas, pois isso interromperia significativamente a produtividade. Em vez disso, elas devem estabelecer políticas uniformes que sigam os dados e os usuários por armazenamento em nuvem, plataformas de colaboração, aplicativos SaaS e assistentes de GenAI. Essa consistência reduzirá tanto o risco quanto a fricção, permitindo que as equipes de segurança evitem gerenciar controles fragmentados e permitindo que os funcionários trabalhem dentro de guardiões previsíveis em vez de enfrentar banimentos inesperados. Em última análise, uma resposta proativa e consistente será muito mais eficaz do que uma resposta reativa e fragmentada.

Apoio à Adoção Segura e Sustentável

As ferramentas de GenAI se tornaram rapidamente enraizadas nos fluxos de trabalho diários para que as organizações as tratem como um risco experimental ou de nicho. Elas não podem ser ignoradas, nem podem ser completamente erradicadas. Em vez disso, as empresas devem navegar por um caminho à frente que permita o uso inovador de IA enquanto evita o movimento não protegido de dados sensíveis por ecossistemas de dados. O sucesso não virá da supressão da adoção, mas do seu uso seguro por meio da proteção de dados contínua, contextual e consistente, onde quer que seus dados fluam.