Apenas 29% das equipes de segurança conseguem informar regularmente quais dados confidenciais os funcionários enviam para ferramentas de IA

Este artigo se baseia nas conclusões do relatório da pesquisa de 2026 da Cloud Security Alliance (CSA), Prevenção contra perda de dados na era da IA, encomendado pela Jazz.

Em junho e julho, a CSA perguntou a 433 profissionais de TI e segurança se suas equipes conseguiriam gerar um relatório mostrando quantas vezes dados confidenciais foram enviados para ferramentas de IA generativa nos últimos 30 dias. Vinte e nove por cento disseram que conseguiriam gerá-lo regularmente.

Esse número teria menos importância se os entrevistados considerassem a IA generativa um canal de pouca relevância. Eles a classificaram como o principal risco de exfiltração de dados, e 48% a colocaram entre os três maiores riscos.

Lidero a engenharia em uma empresa que desenvolve soluções de prevenção contra perda de dados, e grande parte do meu trabalho consiste em entender onde, dentro de um sistema, ficam as evidências da movimentação de dados e por que os riscos associados a ela surgem. Sob essa perspectiva, a diferença entre o que as equipes acreditam ser capazes de monitorar e o que conseguem comprovar decorre diretamente da forma como os controles para IA generativa foram projetados.

A confiança na visibilidade da IA generativa supera em muito o que as equipes conseguem comprovar

Pouco mais da metade dos entrevistados avaliou sua visibilidade sobre o uso de IA generativa com nota 4 ou 5 em uma escala de 5. Ainda assim, apenas 29% conseguiam respaldar regularmente essa avaliação com um relatório que simplesmente contabilizasse quantas vezes dados confidenciais foram enviados para uma ferramenta de IA.

Fonte: Cloud Security Alliance, DLP in the AI Era (2026), n=433. Gráficos reproduzidos com base nas páginas 22 e 23 do relatório.

A aplicação dos controles segue o mesmo padrão. Apenas 22% dos entrevistados bloqueiam rigorosamente dados confidenciais no canal de IA generativa. As mídias removíveis, que os entrevistados classificaram como o menor risco de exfiltração, têm a maior taxa de bloqueio rigoroso: 31%. O bloqueio rigoroso se concentra nos canais com as ferramentas mais antigas.

Fonte: Cloud Security Alliance, DLP in the AI Era (2026), n=433. Gráficos reproduzidos com base nas páginas 23 e 26 do relatório; barras ajustadas para 100% quando o arredondamento resultava em 99% ou 101% para uma linha.

A Jazz também publicou dados de telemetria de ambientes de seus clientes junto com os resultados da pesquisa. Nesses dados, a organização média usava 169,5 ferramentas de IA distintas, das quais 9,8 eram aprovadas, o que deixava 94,2% fora da lista de ferramentas aprovadas.

Por que existe essa diferença: uma lista de ferramentas não registra eventos

A resposta habitual ao risco da IA generativa é aprovar alguns serviços de IA por meio de contratos empresariais e desestimular ou bloquear os demais. O número de 94,2% mostra o quanto essa lista fica aquém da realidade. Um engenheiro com prazo apertado usa a ferramenta que resolver o problema do dia, porque a aquisição da ferramenta aprovada leva semanas.

Mesmo uma lista completa não produziria o relatório solicitado pela CSA. A equipe responsável por incidentes, ou um auditor, perguntará sobre um evento específico em que dados saíram da organização, e uma lista de ferramentas não contém registros de eventos.

Para mostrar o que aconteceu nesse evento, são necessários quatro fatos: quais dados confidenciais estavam envolvidos, qual ferramenta os recebeu, por qual conta foram enviados e por que a pessoa os enviou.

A conta é o primeiro ponto em que a governança no nível da ferramenta falha. O mesmo site atende tanto à conta empresarial da sua empresa, com suas configurações de retenção e condições contratuais, quanto à conta pessoal gratuita de um funcionário, que não tem nenhuma dessas condições. Usar uma ferramenta aprovada com uma conta pessoal fornece quase tantas evidências quanto usar uma ferramenta não aprovada.

A finalidade é mais difícil de determinar e é o que define se algo deu errado. Uma analista financeira que cola um modelo de receita em um chatbot para corrigir uma fórmula com erro está fazendo seu trabalho. A mesma ação, feita por alguém que entregou o pedido de demissão na sexta-feira, exige uma conversa bem diferente. O que distingue as duas situações é o contexto da pessoa, que nunca aparece no conteúdo enviado.

Cada controle em uso enxerga apenas um ponto

A pesquisa não identificou uma abordagem predominante para controlar dados confidenciais enviados a ferramentas de IA. O bloqueio de domínios de IA no nível da rede, a inspeção de conteúdo no navegador e o uso exclusivo de políticas de uso aceitável receberam, cada um, entre 21% e 23%; as plataformas empresariais de IA com prevenção contra perda de dados integrada receberam 10%.

Cada um desses controles foi projetado para um único ponto de inspeção. O bloqueio de domínios permite ou interrompe uma conexão e registra a qual site ela se destinava. Uma extensão de navegador vê o que é digitado naquele navegador, mas não detecta o que é enviado por um aplicativo de computador, por um assistente de programação dentro de um editor de código ou por uma ferramenta de linha de comando. A prevenção contra perda de dados integrada a uma plataforma empresarial de IA vê o que entra nessa plataforma. Cada um desses controles escolhe um lugar para observar e espera que seja ali que os dados passarão.

O ponto único de inspeção também explica os números sobre a aplicação dos controles. Se um controle não consegue distinguir uma conta corporativa de uma pessoal, ou uma colagem rotineira de outra arriscada, precisa bloquear ambas ou nenhuma. O bloqueio rigoroso acaba, então, interrompendo o trabalho legítimo junto com o arriscado. Quando perguntados sobre o principal motivo para não adotarem medidas mais agressivas de bloqueio ativo, 46% dos entrevistados citaram o receio de interromper os fluxos de trabalho da empresa, e 39% mencionaram a falta de confiança na precisão da prevenção contra perda de dados.

Ressalvas que vale ter em mente

Os números da pesquisa são autorrelatados, e a pesquisa não comparou as avaliações de visibilidade com a cobertura real. Os respondentes estão concentrados nas Américas (80%) e em organizações com menos de 5.000 funcionários (67%), portanto os resultados talvez não se apliquem da mesma forma a grandes empresas globais. Os dados de telemetria vêm de organizações que optaram por implementar esse tipo de visibilidade, o que pode enviesar os resultados em favor das que já se preocupam com a proliferação do uso de IA.

Ferramentas aprovadas e agentes enfraquecerão ainda mais a lista

À medida que os produtos SaaS aprovados adicionam assistentes de IA, a pergunta sobre qual ferramenta recebeu os dados costuma ter duas respostas: o aplicativo aberto pelo funcionário e o provedor do modelo de IA por trás dele. Os agentes de IA complicam ainda mais a questão. Quando um agente busca um arquivo e o envia a algum lugar em nome de um funcionário, quem fez isso e por quê passa a depender, em parte, do software. Como argumenta um artigo recente da Unite.AI sobre injeção de prompt em agentes em produção, o conteúdo lido por um agente pode direcioná-lo; por isso, o relato do próprio agente sobre o que fez não pode substituir evidências sobre sua finalidade.

Um teste que você pode fazer este mês

Considere os últimos 30 dias e escolha o dado mais sensível que você acredita ter chegado a uma ferramenta de IA. Em seguida, verifique se sua equipe consegue fornecer as seguintes informações sem compilá-las manualmente:

• Qual era o dado e de onde veio
• Qual ferramenta o recebeu, incluindo ferramentas que não constam da sua lista de aprovadas
• Se o envio foi feito por uma conta corporativa ou pessoal
• Em que a pessoa estava trabalhando quando enviou o dado

Se você obtém rapidamente as duas primeiras respostas, mas precisa entrevistar o funcionário para conseguir as duas últimas, sua governança abrange a lista de ferramentas e muito pouco dos seus dados.