A Maioria do AI Empresarial Não é Segura. Aqui está o que as Empresas Podem Fazer

As empresas estão correndo para adotar inteligência artificial (AI) gerativa para permanecer competitivas em seus mercados. No entanto, as equipes de segurança enfrentam um desafio significativo porque estão confiando em estruturas obsoletas projetadas para uma era tecnológica diferente. As ferramentas que protegeram com sucesso as organizações por décadas agora expõem vulnerabilidades críticas quando os funcionários interagem com plataformas de AI baseadas em navegador. Para adotar com segurança a última tecnologia, as empresas devem repensar completamente como controlam o acesso a informações e detectam ameaças emergentes.

O Crescente Ameaça do AI Sombra na Empresa

AI Sombra surge quando os funcionários contornam os canais oficiais de TI e usam ferramentas de AI de consumo não autorizadas para tarefas de trabalho. Essas plataformas oferecem velocidade e conveniência que os processos de aprovação interna não podem igualar, tornando-as irresistíveis para os trabalhadores focados na produtividade.

Pesquisas recentes revelam que 73,8% do engajamento dos funcionários com ChatGPT ocorre em contas não corporativas, significando que informações sensíveis fluem diretamente para modelos públicos. Da mesma forma, o uso de Gemini e Bard em contas pessoais atinge 94,4% e 95,9%, respectivamente.

Terceirizar tarefas para plataformas externas não verificadas carrega consequências substanciais. A análise mostra que 55% de todos os falhas de AI decorrem dessas soluções de terceiros, criando riscos que abrangem danos à reputação e perdas financeiras. A desconfiança do consumidor, penalidades de conformidade e litígios frequentemente seguem. Para as empresas que usam ferramentas de AI de terceiros sem realizar análise de risco antes da implantação, isso é alarmante.

Sem diretrizes aplicáveis, os funcionários compartilham informações confidenciais da empresa, criando responsabilidades de privacidade maciças, enquanto muitas plataformas de terceiros carecem das medidas de segurança rigorosas necessárias para proteger registros de negócios confidenciais. Políticas e práticas de armazenamento nessas soluções podem expor inadvertidamente informações do cliente e registros financeiros a possíveis violações.

Por que a Prevenção Tradicional de Perda de Dados Falha

As ferramentas de prevenção de perda de dados (DLP) herdadas foram projetadas para impedir que arquivos fossem baixados ou enviados como anexos de e-mail. Essas soluções são excelentes para seu propósito original, mas enfrentam uma limitação fundamental na era do AI baseado em navegador. Por exemplo, elas não podem facilmente monitorar ou bloquear texto que um funcionário digita ou cola manualmente em uma janela de prompt de AI, criando um ponto cego na cobertura de segurança que se torna mais problemático a cada trimestre.

A lacuna se torna clara ao examinar o que essas ferramentas podem e não podem proteger:

• DLP captura: downloads de arquivos, anexos de e-mail, transferências de USB e uploads de documentos
• DLP perde: ações de copiar e colar em janelas de navegador, prompts digitados manualmente, capturas de tela convertidas em texto e entrada de texto direta em aplicativos web

À medida que a adoção de AI acelera em organizações, essa lacuna de cobertura se amplia e gera uma via para a extração de informações que a infraestrutura de segurança tradicional nunca foi projetada para abordar. As equipes de segurança se encontram em uma posição reativa, descobrindo violações apenas após o conteúdo sensível ter deixado o controle da organização.

Qual é a Melhor Abordagem para o AI Empresarial Seguro?

Permanecer agarrado a soluções de DLP herdadas enquanto ignora a realidade da adoção de AI não constitui uma estratégia de negócios viável a longo prazo. As empresas precisam atualizar para detecção de ameaças impulsionada por AI que se adapte a ataques novos e impõe limites estritos sobre o uso de AI que protejam informações sensíveis. Centralizar práticas de governança para prevenir exposição acidental completa essa fundação de segurança.

Mudar para um Contexto de AI Multicamadas

As ferramentas de detecção de ameaças tradicionais confiam em regras reativas que procuram assinaturas históricas de ataques conhecidos. Essa abordagem gera falsos positivos excessivos, sinalizando comportamento normal de funcionários como suspeito, ou completamente perde ataques novos que não correspondem a nenhum padrão anterior em seu banco de dados.

Por exemplo, o Hospital Geral de Artesia reconheceu essas limitações na proteção de suas operações de cuidados ao paciente e ecossistemas digitais, levando a organização a implantar tecnologia Darktrace. Operando sem nenhuma lista pré-definida de ameaças, a plataforma aprende cada dispositivo, usuário e interação dentro da rede do hospital para desenvolver uma compreensão do que o comportamento normal parece a partir do zero.

O componente Cyber AI Analyst investiga alertas usando métodos semelhantes aos de analistas humanos, enquanto reúne anomalias sutis que poderiam indicar ameaças reais aos registros do paciente e operações do hospital. O sistema examina autonomamente as ameaças da rede do hospital para determinar quais alertas representam incidentes de segurança reais.

Essa abordagem de AI multicamadas reduz significativamente os falsos positivos que sobrecarregam as equipes de segurança. Ao passar de 100 alertas benignos diários para apenas dois ou três incidentes críticos que realmente exigem atenção humana, seu foco se estreita. Os analistas recebem exatamente as informações de que precisam sem gastar horas em investigações manuais.

Impor Políticas de Uso de AI Internas Estritas

Estabelecer limites firmes e implantar barreiras técnicas que controlem quais informações podem entrar em modelos de AI públicos aborda as vulnerabilidades que as soluções de DLP herdadas não podem fechar por conta própria.

A Samsung fornece um exemplo de advertência do que acontece quando os funcionários acessam ferramentas de AI sem salvaguardas técnicas adequadas. Dentro de 20 dias após permitir o acesso ao ChatGPT em abril de 2023, a empresa experimentou três vazamentos separados que comprometeram informações altamente confidenciais em vários departamentos.

Engenheiros colaram o código-fonte do banco de dados de semicondutores proprietários no ChatGPT para verificar erros de codificação, revelando detalhes críticos sobre os processos de fabricação da Samsung. Em outro incidente, um funcionário carregou código especializado projetado para identificar defeitos de equipamento enquanto buscava sugestões de otimização. A equipe também converteu reuniões internas gravadas em texto antes de alimentar essas transcrições para o ChatGPT para geração automática de atas.

Uma vez que as informações entram no conjunto de dados de treinamento de um modelo de AI público, não há um botão de excluir para recuperar ou limpar essas informações da base de conhecimento. A Samsung acabou proibindo completamente o ChatGPT porque o conteúdo proprietário vazado não pode ser recuperado.

Estabelecer Governança de Dados Centralizada

Uma solução de AI empresarial é tão segura quanto as informações que pode acessar dentro da organização, e padronizar permissões em todos os sistemas forma a base da implantação segura de AI. Quando a rede interna de uma empresa sofre de controles de acesso inconsistentes e práticas de gestão fragmentadas, mesmo as ferramentas de AI aprovadas podem acidentalmente expor arquivos confidenciais de RH ou registros financeiros a funcionários não autorizados.

Por exemplo, a AXIS Capital enfrentou esse desafio diretamente ao lidar com plataformas de política e sinistro autônomas e fragmentadas espalhadas por diferentes geografias. Cada linha de negócios havia criado seus próprios padrões de referência de relatórios, e as inconsistências levaram a erros em cotações, subscrições e ajustes de sinistros que tornaram o relatório corporativo extremamente difícil.

A companhia de seguros desenvolveu uma estratégia organizacional utilizando formulários de tutela baseados na web e regras de segurança estritas para padronizar hierarquias de referência centrais. Começando com o Sistema de Classificação da Indústria Norte-Americana e o Código de Classificação Industrial Padrão, a AXIS então expandiu para códigos de classificação e subscrição que variavam anteriormente por localização.

Ao implantar gestão de dados centralizada e controle, a empresa criou uma única fonte segura de verdade acessível em todas as operações. Isso eliminou inconsistências que haviam assolado suas plataformas, permitindo que a AXIS acelerasse processos de seguro essenciais, como a introdução de novas ofertas de produtos, reduzisse o risco operacional e alcançasse análises confiáveis no nível corporativo.

Protegendo o Futuro da Inovação Empresarial

A adoção de AI nas empresas é inevitável, pois as organizações competem por vantagem de mercado. Confiar em estruturas de segurança herdadas e tolerar práticas de governança não estruturadas apenas acelerará vazamentos e violações de conformidade. A questão não é se as empresas adotarão AI, mas se o farão de forma segura. Ao implantar detecção de ameaças de AI multicamadas e estabelecer supervisão rigorosa do acesso a informações, as empresas podem abraçar a inovação de AI enquanto protegem seu conteúdo mais sensível.