IA nas empresas: o risco oculto de vazamento de dados

• Funcionários usam ferramentas de IA sem aprovação e colam dados sigilosos da empresa em sistemas de terceiros.
• Esse uso escondido tem nome: shadow IT, a tecnologia que entra pela porta dos fundos, sem o TI saber.
• No Brasil, a LGPD (Lei nº 13.709/2018) prevê multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
• O maior risco não é o criminoso de fora: é o colaborador bem-intencionado que só quer agilizar o trabalho.
• Proibir a IA não resolve; o caminho é dar uma ferramenta oficial, segura e com regras claras.

O alerta que saiu de uma coluna de economia

A coluna Diário Econômico, do jornal Diário de Pernambuco, publicou em setembro de 2026 um alerta direto: o uso não autorizado de inteligência artificial dentro das empresas está expondo organizações a riscos sérios de vazamento de dados. Em outras palavras, gente usando ChatGPT e ferramentas parecidas no trabalho, por conta própria, sem ninguém da empresa autorizar ou acompanhar.

Pode parecer um problema distante, coisa de grande corporação. Não é. Qualquer pessoa que trabalha com informação de clientes, de pacientes, de fornecedores ou de colegas está nessa história. Se você já colou um texto do trabalho numa ferramenta de IA para ela resumir, reescrever ou corrigir, você participou desse risco sem saber. É por isso que esse assunto não é técnico demais para você: ele mora no seu dia a dia.

O que acontece quando o funcionário usa IA sem autorização?

Acontece que informação confidencial da empresa sai de casa sem ninguém perceber. A pessoa não teve má intenção. Ela só queria terminar o relatório mais rápido, responder o cliente com mais capricho ou traduzir um documento. Mas, ao colar aquele conteúdo numa ferramenta gratuita da internet, ela entregou o dado a uma empresa de fora, que pode guardar, processar e até usar aquilo para treinar seus próprios sistemas.

Vamos ao mecanismo, passo a passo. Uma ferramenta de IA generativa (sistema que cria textos, imagens ou respostas a partir de um comando que você digita, chamado de prompt) funciona assim: você escreve, o pedido viaja pela internet até os servidores da empresa dona do sistema, lá ele é processado e a resposta volta para a sua tela. O detalhe é que, nesse caminho, o seu texto saiu do controle da sua empresa. Quem manda nele agora é outra companhia, muitas vezes em outro país, com regras que você nunca leu.

Pense numa cozinha de restaurante. O chef tem uma receita secreta guardada a sete chaves. Um ajudante, querendo acelerar o preparo, liga para um amigo de outro restaurante e dita a receita inteira pelo telefone, só para pedir uma dica. A intenção era boa. Mas a receita secreta agora está na cabeça de um estranho, e ninguém consegue mais apagá-la de lá. Com dados em IA é igual: depois que a informação entra, você perde o controle sobre onde ela vai parar.

Esse comportamento silencioso é justamente o que faz empresas inteiras ignorarem o perigo até acontecer um problema grave, um padrão que já comentamos em nossa análise sobre como empresas ignoram alertas de segurança da IA. O vazamento costuma ser descoberto tarde, quando o estrago já foi feito.

Quais dados da sua empresa ficam em risco e por quê?

Ficam em risco basicamente três tipos de informação: dados de clientes, segredos do negócio e dados internos da equipe. Cada um deles, se vazar, abre uma porta diferente para o prejuízo.

Os dados de clientes são os mais sensíveis. Nome, CPF, endereço, telefone, número de cartão, histórico de compras, laudos médicos. A LGPD, a Lei Geral de Proteção de Dados do Brasil, chama parte disso de dados pessoais sensíveis, e trata com rigor ainda maior informações sobre saúde, religião, vida sexual e opinião política. Quando um funcionário cola a planilha de clientes numa IA para ela organizar, todos esses dados saem da empresa de uma vez.

Os segredos do negócio são a receita secreta da sua empresa: contratos, tabelas de preço, estratégia de vendas, projetos ainda não lançados, código de sistemas. Imagine um pequeno escritório de advocacia que cola a petição de um caso delicado numa ferramenta de IA para melhorar a redação. Aquele documento continha o nome do cliente, o valor da causa e a estratégia jurídica. Em poucos segundos, o que era sigiloso virou dado hospedado em um servidor que o escritório não controla. Esse tipo de exposição silenciosa lembra o que descrevemos quando falamos que a jaula da IA estava aberta e os riscos eram reais.

Por fim, há os dados internos da equipe: folha de pagamento, avaliações de desempenho, conversas sobre demissões. Tudo isso também vira matéria-prima para a ferramenta. E aqui mora a parte que quase ninguém comenta: muitos serviços gratuitos avisam, lá nos termos de uso que ninguém lê, que podem usar o que você digita para aperfeiçoar o sistema deles. Ou seja, o seu dado não só saiu de casa, como pode estar ajudando a treinar a inteligência de uma empresa concorrente do outro lado do mundo.

Por que o perigo mora no funcionário bem-intencionado, e não no hacker?

Porque o funcionário tem a chave da porta, e o hacker não. O criminoso digital precisa arrombar sistemas, driblar senhas e firewalls. Já o colaborador abre o próprio sistema, copia a informação com toda a autorização que tem para fazer o trabalho e, sem perceber, entrega tudo de bandeja a um serviço externo. Não houve invasão. Houve um ato comum do dia a dia que ninguém ensinou a fazer com cuidado.

Esse fenômeno tem nome no mundo da tecnologia: shadow IT, que em português seria algo como tecnologia na sombra. É todo programa, aplicativo ou serviço que entra na empresa pela porta dos fundos, instalado e usado pelos funcionários sem o conhecimento ou a aprovação do setor de tecnologia. Com a explosão das ferramentas de IA, surgiu até um apelido mais específico, shadow AI, a IA na sombra.

Pense num time de futebol. O técnico monta a estratégia, define quem marca quem, ensaia a jogada. Mas, no meio da partida, um jogador resolve inventar um lance por conta própria, sem combinar com ninguém. Às vezes dá certo. Mas, quando dá errado, abre um buraco na defesa que o adversário aproveita. A shadow AI é esse lance solo: cada funcionário decidindo sozinho qual ferramenta usar, sem ninguém coordenando a defesa dos dados.

O que torna isso perigoso é a escala. Não é um funcionário, são dezenas, cada um usando uma ferramenta diferente, em contas pessoais, no celular particular ou no computador de casa. A empresa não sabe quais serviços estão em uso, quais dados já saíram nem para onde foram. É um vazamento pulverizado, difícil de mapear e quase impossível de reverter depois que acontece.

O que a LGPD tem a ver com um prompt no ChatGPT?

Tem tudo a ver: se o dado de um cliente vaza por causa de um prompt, quem responde na Justiça é a empresa, não a ferramenta de IA. A LGPD, em vigor desde 2020 e baseada na Lei nº 13.709 de 2018, coloca a responsabilidade pela proteção dos dados pessoais sobre quem os coleta e usa, ou seja, sobre o seu negócio.

Os números da lei assustam. A Autoridade Nacional de Proteção de Dados, a ANPD, pode aplicar multa de até 2% do faturamento da empresa no último ano, limitada a R$ 50 milhões por infração. Para um pequeno comércio, mesmo uma fração disso pode significar fechar as portas. E a multa é só o começo: há ainda o dano à reputação, a perda de clientes e a possibilidade de processos individuais de quem teve o dado exposto.

Faça uma comparação com o supermercado. Se o mercado da esquina deixa a porta do estoque aberta e some mercadoria, a culpa não é de quem passou na calçada. É do dono, que não trancou a porta. A LGPD pensa parecido: a empresa tem o dever de guardar bem os dados que recebe. Alegar que foi o funcionário que vazou não livra o negócio da responsabilidade, porque treinar e supervisionar a equipe também faz parte do dever de cuidado.

Vale lembrar que a lei não proíbe usar inteligência artificial. Ela exige que o uso seja feito com cuidado, transparência e controle. A diferença entre estar dentro ou fora da lei não é usar ou não usar IA, é usar com governança ou usar no escuro.

Como a empresa pode se proteger a partir de hoje?

O primeiro passo é o mais barato e o mais ignorado: conversar com a equipe e deixar claro o que pode e o que não pode ser colado numa ferramenta de IA. A maioria dos vazamentos por shadow AI acontece por falta de informação, não por má-fé. Uma reunião de meia hora explicando que dado de cliente não entra em ferramenta gratuita já evita boa parte do problema.

O segundo passo é oferecer uma alternativa oficial. Proibir sem dar opção não funciona: o funcionário vai usar escondido, porque a ferramenta facilita a vida dele. O caminho é escolher uma ferramenta de IA com versão corporativa, que garanta por contrato que os dados não serão usados para treinar o sistema, e liberar essa para o time. Existem boas opções, inclusive algumas que já reunimos em nosso guia de ferramentas de IA para otimizar o seu negócio.

O terceiro passo é criar regras simples e escritas, aquilo que no mundo corporativo se chama política de uso. Não precisa ser um calhamaço jurídico. Pode ser uma página respondendo três perguntas: quais ferramentas são permitidas, quais dados nunca podem ser inseridos e a quem recorrer em caso de dúvida. Empresas que levam isso a sério colhem resultado, como mostramos ao tratar de governança da IA que gera resultados reais.

Por fim, vale revisar quem tem acesso a quê. Nem todo funcionário precisa enxergar a base inteira de clientes. Quanto menos gente com acesso aos dados mais sensíveis, menor a chance de um deles acabar colado no lugar errado. Segurança de dados, no fundo, é a soma de muitos cuidados pequenos e constantes.

O vazamento de dados por IA nas empresas raramente é obra de um vilão: é obra de um funcionário querendo ajudar, com uma ferramenta poderosa e nenhuma regra na mão.

Na leitura do Clube dos Cisnes: proibir a IA é o erro mais caro

No Clube dos Cisnes, entendemos que a reação instintiva de muitos empresários, bloquear o acesso à IA e torcer para o problema sumir, é justamente o caminho que mais expõe o negócio. Proibir não apaga o desejo de usar: empurra o uso para o celular pessoal, para a conta particular, para o fim de semana em casa. O dado continua vazando, só que agora totalmente fora do radar da empresa. Na nossa leitura, o controle nasce da permissão organizada, não da proibição.

Para dar chão ao argumento, uma estimativa nossa, do Clube dos Cisnes, e deixamos claro que é uma estimativa de ordem de grandeza, não um dado verificado de terceiros: uma pequena ou média empresa consegue montar o básico de um uso seguro de IA, reunião de alinhamento com a equipe, uma política de uso de uma página e a assinatura de uma ferramenta com versão corporativa, com um esforço inicial de poucos dias de trabalho e um custo mensal na casa de dezenas a poucas centenas de reais por usuário. É baratíssimo perto de uma única multa da LGPD.

Pense num caso ilustrativo, hipotético, construído a partir do tipo de situação que acompanhamos: um pequeno comércio de bairro usa uma ferramenta gratuita de IA para responder clientes no WhatsApp e, para isso, cola todo dia a lista de pedidos com nomes, endereços e telefones. Durante meses, ninguém vê problema. Até o dia em que um concorrente aparece oferecendo exatamente os mesmos produtos para os mesmos clientes. Ninguém consegue provar de onde veio o vazamento, e é esse o ponto: no uso na sombra, nem dá para investigar direito.

Nossa previsão é clara. Nos próximos meses, veremos a ANPD olhar com mais atenção para o uso de IA dentro das empresas, e o tema de dados corporativos em ferramentas de inteligência artificial deixará de ser assunto só do pessoal de tecnologia para virar pauta de reunião de diretoria. Quem organizar o uso agora vai largar na frente. Quem esperar o primeiro susto vai pagar caro para correr atrás.

Inteligência artificial no trabalho é como fogão em cozinha: ninguém manda apagar o fogo para não se queimar, ensina a cozinhar com segurança. Com dados, a lógica é a mesma, e começar essa conversa hoje custa muito menos do que o silêncio vai custar amanhã.