Como as Empresas Devem Abordar a Sobrecarga de Aplicativos de IA?

Computação Não Tão Pessoal

Durante anos, o desenvolvimento tecnológico foi impulsionado pelo desejo de tornar a computação mais acessível. Desde smartphones até tablets, laptops e tecnologia wearable, há uma tendência geral de tornar os computadores e suas capacidades cada vez mais pessoais. Basta considerar a nomenclatura dos pilares da indústria: o “Computador Pessoal”, ou PC; o “i” Pod, Pad, Phone e além. Cada um desses dispositivos é projetado para atuar como um companheiro pessoal, ajudando a simplificar a experiência digital do usuário e, por extensão, sua vida.

O desenvolvimento da inteligência artificial (IA) — particularmente os grandes modelos de linguagem (LLMs) e soluções agênticas — está seguindo basicamente a mesma direção. Assim como o PC e o iPhone, as ferramentas de IA como o ChatGPT tornaram atividades de computação, como buscar, editar e brainstorming, mais acessíveis ao público em geral. No entanto, à medida que essa acessibilidade impulsionou o uso aumentado, também aumentou o risco.

Seja por meio de conectores envenenados ou indexação involuntária de mecanismos de busca, as ameaças ao uso privado de IA estão se tornando cada vez mais difíceis de proteger. Adicione incertezas sobre quem está usando quais ferramentas, e as empresas enfrentam uma tempestade perfeita de ameaças crescentes e proteção inadequada. Dada a promessa das ferramentas de IA e a incerteza sobre como protegê-las, o que uma empresa tecnologicamente avançada deve fazer?

O Crescimento de Aplicativos de IA Não Autorizados

Com mais de 700 milhões de usuários diários em 2025, o uso do ChatGPT cresceu mais de 4x ano a ano. Mesmo assim, apenas cinco milhões desses usuários são clientes de negócios pagantes. Isso torna os outros 695 milhões ou mais membros de sua base de usuários como usuários pessoais ou de negócios não autorizados. Esse número parece grande até se lembrar de que o ChatGPT não é a única solução de IA no mercado. Na verdade, está longe disso — a explosão contemporânea de IA e avanços de aprendizado de máquina gerou centenas de milhares de novos modelos e soluções, tanto públicas quanto privadas.

Para as empresas, o crescimento exponencial de soluções de IA deu origem a uma nova dimensão do cenário de ameaças cibernéticas conhecida como “IA Sombra”. Como o fenômeno de “TI Sombra”, este conceito é baseado no uso de soluções de IA por funcionários sem a verificação e aprovação prévia de sua organização. Isso completamente bypassa toda a supervisão de TI e segurança, levando a cenários nos quais os funcionários poderiam estar usando soluções potencialmente perigosas ou inseguras para trabalhos sensíveis.

O uso de IA Sombra é tanto pervasivo quanto em expansão. Um relatório encontrou que mais de 320 aplicativos de IA não autorizados estão sendo usados em média por empresa. Cada um desses aplicativos não autorizados e seu uso por funcionários expande ainda mais o cenário de ameaças.

Os Riscos Inerentes à Sobrecarga de IA

As ameaças associadas à sobrecarga de IA são multifacetadas e, infelizmente, continuamente em expansão. Algumas, como envenenamento de dados, injeção de prompts, manipulação de modelos e raspagem de dados, são de conhecimento comum. Essas tentativas diretas de manipulação e exploração de IA podem permitir que atores mal-intencionados acessem dados e sistemas internos da empresa. Dada esse risco, as empresas estão começando a se proteger ativamente contra tais ataques.

Mas as empresas só podem se proteger contra as ameaças que conhecem. Pense em proteger um castelo medieval. Muros, torres de vigia, portas, fossos e mais ajudam a proteger o castelo contra inimigos e invasores externos. Mas e se a equipe da cozinha tiver um passe secreto que bypassa os muros externos? Ou um guarda barulhento é ouvido discutindo mudanças de turno no taverna local? Qualquer uma dessas ameaças desconhecidas poderia ajudar ladrões a bypassar a segurança e violar as muralhas internas.

IA Sombra tem o mesmo efeito na segurança de dados da empresa. Mesmo o uso bem-intencionado de LLMs e copilotos não autorizados pode significar desastre para a proteção de dados sensíveis, pois qualquer solução insegura pode servir como portas de entrada para atores mal-intencionados. Qualquer uso de LLMs aumenta intrinsicamente o risco de problemas como retenção de dados, injeção de prompts, ou viés de modelo, cada um dos quais requer suas próprias medidas de segurança relevantes. Isso aumenta os riscos de violações de dados, violações de conformidade e falhas operacionais, todos os quais são frequentemente identificados após o dano já ter sido feito.

Estabelecendo Controle sobre Soluções de IA

À medida que o uso de IA continua a crescer tanto no nível pessoal quanto empresarial, é crucial que as organizações estabeleçam controle sobre essas soluções antes que a adoção cresça além do controle. Proteger a IA empresarial e se proteger contra riscos de IA não autorizados envolve:

1. Obter visibilidade abrangente. Como mencionado, você não pode proteger seus dados contra ameaças das quais não está ciente. A segurança começa com supervisão em todas as soluções de IA que seus funcionários estão usando — tanto autorizadas quanto não autorizadas. Isso é mais fácil de dizer do que de fazer, mas uma solução de broker de segurança de acesso à nuvem (CASB) pode ajudar a estabelecer visibilidade contínua no uso de aplicativos por funcionários.
2. Realizar avaliações de risco abrangentes. Equipes devem realizar esforços de TPRM para garantir que todas as soluções de IA sejam avaliadas por sua segurança e riscos potenciais. Esses esforços também devem se estender ao nível de quarta parte, pois mesmo aplicações autorizadas como plataformas de CRM ou produtividade estão começando a incorporar capacidades de LLMs externas em suas plataformas. Essas soluções de quarta parte devem atender aos mesmos padrões de segurança que qualquer aplicação internamente aprovada.
3. Estabelecer estruturas de governança. Com essa supervisão e compreensão de suas soluções, as organizações podem desenvolver e implantar estruturas de política de governança de IA consistentes em todo o ecossistema de aplicativos. Como com o acesso a dados, essas políticas de governança podem ajudar a controlar os tipos de soluções de IA que os funcionários são capazes de acessar, as informações que podem compartilhar com elas e a transparência de seu uso diário.
4. Automatizar a detecção de riscos. O crescimento exponencial da adoção de IA torna a detecção e resposta de riscos manuais quase impossíveis. Automatizar esses processos com base em políticas de governança e comportamento de usuário esperado pode ajudar a identificar proativamente anomalias e limitar seu impacto de segurança mais amplo.
5. Explicar expectativas dos funcionários. A parte mais importante da adoção e uso seguro de IA são seus funcionários. Fornecer treinamento adequado e estabelecer expectativas claras ajudará a prevenir simultaneamente o uso arriscado de IA e a impor o uso seguro e impulsionado por negócios de soluções autorizadas e protegidas.

Mantendo a Adoção Segura de IA

Ao estabelecer esses tipos de medidas de segurança proativas, as empresas ganham uma visão mais holística das maneiras pelas quais estão usando soluções de IA — tanto autorizadas quanto “na sombra”. Isso tem um impacto imediato na segurança, ajudando as equipes a identificar riscos e vetores de ameaças existentes e a tomar medidas para remediá-los.

Mais importante, no entanto, é que isso prepara essas empresas para o sucesso de IA a longo prazo. Ao criar a fundação técnica para a adoção segura de IA e uma cultura de segurança entre os usuários de IA, essa abordagem multifacetada ajuda a criar um modelo sustentável para futuras ferramentas de IA. Com o apoio técnico e treinamento adequados, os funcionários podem colher os benefícios de IA sem serem sobrecarregados por seus riscos inerentes.

As organizações que fizerem essas mudanças mais cedo do que mais tarde estarão melhor preparadas para enfrentar o futuro das soluções de IA, seja o que for que elas tragam. Fazer o trabalho de frente para criar uma base sólida — em vez de simplesmente correr para marcar a caixa de adoção de IA — colocará as equipes na melhor posição possível para o sucesso impulsionado por IA sustentado.