À medida que nos aproximamos do final de 2025, existem duas verdades incómodas sobre a IA que todo CISO deve levar a sério.
Verdade nº 1: Cada funcionário que pode está usando ferramentas de criação de IA em seu trabalho. Mesmo quando sua empresa não presta contas, mesmo quando sua política proíbe, mesmo quando o funcionário tem que pagar do próprio bolso.
Vice-presidente de produto da 1Password e fundador da Kolide.
Verdade #2: Cada funcionário que usa a IA criativa irá (ou provavelmente já) fornecer a esta IA informações internas e confidenciais da empresa.
Embora você possa se opor ao uso de “todos”, os dados de consenso estão se movendo rapidamente nessa direção. De acordo com a Microsoft, em 2024, três quartos dos trabalhadores do conhecimento do planeta utilizavam IA generativa no trabalho e 78% deles trouxeram as suas próprias ferramentas de IA para o trabalho.
Enquanto isso, quase um terço de todos os usuários de IA admite colar material confidencial em chatbots públicos; entre eles, 14% admitem vazar voluntariamente segredos comerciais da empresa. A maior ameaça à IA diz respeito à expansão geral da “lacuna de acesso e confiança”.
No caso da IA, refere-se à diferença entre aplicações empresariais aceites que são confiáveis para aceder aos dados da empresa e aplicações cada vez mais não fiáveis e não geridas que têm acesso a esses dados sem o conhecimento das equipas de TI ou de segurança.
Trabalhadores como dispositivos não controlados
Essencialmente, os funcionários utilizam dispositivos não monitorizados que podem conter uma série de aplicações de IA desconhecidas, cada uma das quais pode representar um risco significativo para dados empresariais sensíveis.
Com esses fatos em mente, vamos considerar duas empresas fictícias e o uso que fazem da IA: vamos chamá-las de Empresa A e Empresa B.
Na Empresa A e na Empresa B, os representantes de desenvolvimento de negócios estão tirando capturas de tela do Salesforce e inserindo-as na IA para criar o e-mail de saída perfeito para o próximo alvo.
Os CEOs estão usando-o para agilizar a devida diligência nas últimas metas de aquisição que estão negociando. Os representantes de vendas estão transmitindo áudio e vídeo de chamadas de vendas para aplicativos de IA para treinamento personalizado e tratamento de objeções. As operações de produto estão carregando planilhas do Excel com dados recentes de uso do produto, na esperança de encontrar informações importantes que todos perderam.
Para a empresa A, o cenário acima representa um relatório brilhante para o conselho de administração sobre como estão indo as iniciativas internas de IA da empresa. Para a Empresa B, o cenário representa uma lista impressionante de violações graves de políticas, algumas com graves implicações legais e de privacidade.
a diferença A Empresa A já desenvolveu e implantou seu plano de capacitação e modelo de governança de IA, enquanto a Empresa B ainda está debatendo o que fazer em relação à IA.
Governança de IA: do “se” ao “como” em seis perguntas
As organizações simplesmente não podem esperar mais para controlar a governança da IA. O “Custo de relatar uma violação de dados” de 2025 da IBM destaca o custo de governar e proteger adequadamente a IA: 97% das organizações que sofreram uma violação relacionada à IA não tinham controles de acesso à IA em vigor.
Portanto, agora a tarefa é elaborar um plano para permitir a IA que promova o uso produtivo e suprima comportamentos imprudentes. Para entender como pode ser a capacitação segura na prática, começo cada workshop do conselho com seis perguntas:
1. Quais casos de uso de negócios merecem o poder da IA? Pense em casos de uso específicos de IA, como “escrever um boletim informativo sobre vulnerabilidade de dia zero” ou “encurtar uma teleconferência de resultados”. Concentre-se nos resultados, não apenas em usar a IA para seu próprio bem.
2. Quais ferramentas estudaremos? Procure ferramentas de IA verificadas com controles básicos de segurança, como ferramentas de nível empresarial que não usam dados da empresa para treinar seus modelos.
3. Onde chegamos nas contas pessoais de IA? Formalize as regras para o uso de IA pessoal em laptops empresariais, dispositivos pessoais e dispositivos de prestadores de serviços.
4. Como protegemos os dados dos clientes e cumprimos todas as cláusulas contratuais que utilizam a IA? Entradas de modelos cartográficos contra obrigações de confidencialidade e regulamentos provinciais.
5. Como veremos aplicativos web robustos de IA, aplicativos nativos e plug-ins de navegador? Procure o uso de Shadow AI em navegadores e editores de código usando agentes de segurança, logs CASB e ferramentas que fornecem extensões e plug-ins específicos de inventário.
6. Como ensinamos política antes que erros aconteçam? Depois de implementar as políticas, treine proativamente os funcionários sobre elas; as grades não valem nada se ninguém as vir até a entrevista de saída.
As respostas a cada pergunta variam de acordo com o apetite ao risco, mas o alinhamento entre as equipes jurídica, de produto, de RH e de segurança não deve ser negociável.
Essencialmente, colmatar a lacuna entre acesso e confiança exige que as equipas compreendam e permitam a utilização de aplicações de IA fiáveis nas suas empresas, para que os funcionários não sejam incentivados a utilizar aplicações não confiáveis e não controladas.
Governança que aprende no trabalho
Depois de lançar sua política, trate-a como qualquer outra pilha de controle: meça-a, relate-a, refine-a. Parte de um plano de capacitação é celebrar as vitórias e a visibilidade que as acompanha.
À medida que sua compreensão do uso da IA em sua organização aumenta, você deve revisar esse plano e aprimorá-lo continuamente com as mesmas partes interessadas.
Um pensamento final para o conselho
Pense em meados dos anos 2000, quando o SaaS entrou nas empresas por meio de relatórios de despesas e rastreadores de projetos. A TI tentou colocar domínios não verificados na lista negra, o setor financeiro recusou extensões de cartão de crédito e perguntou se os dados legítimos dos clientes estavam “no computador de outra pessoa”. Por fim, aceitamos que o local de trabalho havia evoluído e que o SaaS havia se tornado essencial para os negócios modernos.
A IA generativa segue a mesma trajetória a uma velocidade cinco vezes maior. Os líderes que se lembram da curva de aprendizagem do SaaS reconhecerão o padrão: governar antecipadamente, avaliar constantemente e transformar a experiência do mercado negro de ontem na vantagem competitiva de amanhã.
Confira nossa lista dos melhores softwares de gestão de funcionários.
