À medida que se amplia rapidamente o uso de ferramentas de inteligência artificial nas empresas, também crescem os riscos relacionados à tecnologia, entre os quais a vulnerabilidade causada pelo acesso a sistemas operados de forma independente, sem supervisão ou governança. É o caso do Shadow AI, ou “IA sombra”, termo usado para caracterizar a utilização de soluções de IA em ambiente corporativo sem a validação formal das áreas de tecnologia e segurança.

Mesmo que pareça inofensivo, esse tipo de acesso cria vulnerabilidades que podem comprometer a segurança da organização e a integridade dos dados. Para dar uma dimensão do problema, especialistas da provedora de serviços Conversys IT Solutions citam uma pesquisa da LayerX Security segundo qual 75% dos funcionários que utilizam ferramentas de IA não aprovadas já inseriram informações sensíveis nessas plataformas.

Isso inclui dados internos, códigos proprietários e documentos estratégicos, que podem ser compartilhados em ambientes externos sem clareza sobre o armazenamento, o processamento ou o reaproveitamento. Edgar Zattar, CTO Conversys, disse que ignorar o avanço do Shadow AI pode aumentar a exposição das organizações: “Esperar que esse movimento se traduza em um incidente concreto para então agir significa adotar uma postura reativa diante de um risco que já existe. Quando falamos de informações corporativas sensíveis, as consequências podem ser imensuráveis”, acrescentou.

De acordo com Zattar, algumas providências simples conseguem reduzir os riscos associados ao Shadow AI, a começar pela definição das ferramentas de IA que podem ser utilizadas, para que o uso desse tipo de soluções não se torne uma rotina da empresa. “Com os benefícios que a IA oferece, a discussão já não deve ser sobre permitir ou impedir seu uso. As empresas precisam definir quais ferramentas podem ser utilizadas para que isso ocorra de forma segura”, explicou.

Também é importante estabelecer diretrizes para o compartilhamento de informações e decidir com clareza quais informações podem ou não ser inseridas nas ferramentas. Um simples prompt, por exemplo, talvez envolva dados sensíveis sem ser identificado como um evento crítico pelos modelos tradicionais de segurança. “Pode parecer uma interação comum, mas um prompt passa a ser um risco quando contém informações confidenciais. Por isso, os funcionários precisam saber quais dados podem ser compartilhados e quais devem permanecer restritos ao ambiente corporativo”, disse Zattar.

Além disso, a empresa deve implantar mecanismos de monitoramento e visibilidade para acompanhar a maneira como as ferramentas de IA estão sendo utilizadas, ajudar a identificar usos fora das diretrizes estabelecidas e adequar as práticas de segurança à nova dinâmica. Zattar acrescenta: “Mais do que restringir, é preciso orientar os colaboradores sobre o uso de IA. À medida que essas soluções se integram ao dia a dia, a compreensão dos riscos e os mecanismos de segurança precisam evoluir na mesma velocidade”.