Proteger dados virou pauta de conselho, não só de TI, na era da IA

O risco mudou de endereço

Por décadas, segurança da informação foi um problema de TI: firewall, criptografia, backup, controle de acesso. Essa conta não fechou mais a partir do momento em que qualquer funcionário passou a ter, no bolso, acesso a um modelo de linguagem capaz de processar um contrato inteiro em segundos.

É esse o ponto central de uma coluna publicada em 29 de outubro de 2026 na Época Negócios por Hugo Tadeu, diretor do Núcleo de Inovação e Empreendedorismo da Fundação Dom Cabral (FDC) e conselheiro de administração. O argumento dele é simples e incômodo: proteger sistemas não basta mais. O que está em jogo é o conhecimento organizacional inteiro, a propriedade intelectual e a própria capacidade de competir.

Para o dono de uma empresa média, isso não é um alerta técnico distante. É um risco que já está rodando dentro da operação, provavelmente sem que ninguém da diretoria tenha sido consultado.

Shadow AI: o vazamento que ninguém autorizou

O termo que a coluna usa para descrever esse fenômeno é Shadow AI, e o paralelo histórico ajuda a entender a escala: é o mesmo movimento que aconteceu quando funcionários passaram a usar nuvem pessoal e dispositivos próprios para resolver problemas de trabalho antes que a empresa tivesse qualquer política para isso.

A diferença é a velocidade e a profundidade do dano possível. Um analista financeiro que cola uma planilha de margem em um chatbot público para pedir ajuda com uma fórmula pode estar entregando, sem perceber, a estrutura de custos da empresa para um sistema fora do perímetro corporativo. Um jurídico que usa IA para resumir um contrato de fornecimento pode estar expondo cláusulas de exclusividade que são o diferencial competitivo do negócio.

Nenhum desses casos exige má intenção. Exige apenas a ausência de uma política clara sobre o que pode e o que não pode ser inserido em ferramentas externas de IA, e isso é exatamente o que falta na maioria das empresas médias brasileiras hoje.

Quando a ameaça também fala com a sua voz

A coluna aponta uma segunda frente, menos discutida nos comitês de risco: a sofisticação das fraudes. IA generativa barateou a produção de mensagens fraudulentas personalizadas, vozes sintéticas e imagens falsificadas com grau de realismo que torna a verificação manual insuficiente.

Isso muda uma pergunta que antes parecia óbvia. Como confirmar que uma solicitação de transferência, aparentemente vinda do CEO por áudio, é de fato dele? Como validar que uma informação usada numa decisão de investimento não foi produzida ou distorcida artificialmente?

A confiança, que sempre foi a base implícita de processos internos, virou um ativo que precisa de verificação ativa. Isso implica rever protocolos de aprovação financeira, dupla checagem de solicitações sensíveis e treinamento específico para identificar sinais de manipulação por IA, algo que a maioria dos comitês de segurança ainda trata como pauta de TI, e não de governança.

Os agentes também precisam de dono

A terceira camada do argumento é a mais nova e a que mais vai crescer: a segurança dos próprios sistemas de IA. Modelos podem ser manipulados por instruções maliciosas, vazar informação sensível ou carregar vulnerabilidades herdadas de dados e componentes comprometidos.

O problema ganha outra dimensão quando a empresa passa a usar agentes autônomos, sistemas que não só respondem, mas acessam documentos, consultam bases internas e executam tarefas sem supervisão humana em cada etapa. Nesse cenário, a pergunta que o conselho precisa fazer não é mais "estamos usando IA?", e sim:

• Quais dados alimentam cada sistema de IA em uso na empresa?
• Quais informações esse sistema pode acessar, e quais ele não deveria?
• Quais decisões ele pode executar sozinho, sem aprovação humana?
• Quem responde, formalmente, se algo sair errado?

Se a empresa não tem resposta pronta para essas quatro perguntas, ela tem um agente de IA rodando sem dono.

O que isso muda na mesa do conselho

O ponto mais direto da coluna é também o mais difícil de implementar: segurança da informação precisa sair da área de tecnologia e entrar na pauta estratégica da liderança. Isso tem consequências concretas de governança.

Em resumo: significa classificar informações por nível de sensibilidade, definir critérios de contratação para qualquer fornecedor que envolva IA, monitorar acessos e, principalmente, decidir quem na organização é formalmente responsável por cada sistema inteligente em uso. Não é uma política de TI anexada ao contrato de trabalho. É um item de pauta de reunião de diretoria, com dono, prazo e métrica.

A coluna também lembra algo que o dono de empresa média sabe de experiência própria: tecnologia sozinha não resolve, porque decisões humanas continuam sendo tanto a maior fonte de exposição quanto a principal linha de defesa. Treinar as pessoas que usam IA no dia a dia pesa tanto quanto qualquer ferramenta de proteção.

Governança como vantagem, não como freio

O argumento final evita a armadilha mais comum nesse debate: tratar segurança e inovação como objetivos opostos. Hugo Tadeu defende o contrário.

A governança deve funcionar como um habilitador da inovação, e não como uma barreira burocrática.

Hugo Tadeu, diretor do Núcleo de Inovação e Empreendedorismo da FDC

A leitura prática para quem está no comando de uma empresa média é que a ausência de regras não acelera nada de forma sustentável. Ela só adia o custo. Empresas que constroem um ambiente confiável para experimentar IA, com classificação de dados, política de uso e responsabilidade definida, criam a base para escalar iniciativas sem que um incidente de vazamento ou fraude jogue fora o ganho de produtividade conquistado.

O que fica em aberto, e a coluna não resolve, é o modelo de governança que cabe em cada porte de empresa. Para o dono de negócio médio, o primeiro passo realista não é um comitê robusto de compliance de IA, mas um mapeamento simples: quais ferramentas de IA já estão em uso na empresa, quem autorizou, e que tipo de dado passa por elas. Sem esse retrato, qualquer política vem depois do problema, não antes.

Fonte: Época Negócios