A adoção acelerada da inteligência artificial (IA) está a transformar radicalmente o panorama empresarial, trazendo oportunidades de inovação, mas também um conjunto complexo de desafios.
As empresas estão a adotar rapidamente ferramentas de IA como chatbots, geradores de texto e imagem, assistentes de programação e plataformas de análise de dados para impulsionar a produtividade e a inovação.
No entanto, essa adoção acelerada, muitas vezes feita sem supervisão das organizações, pode gerar riscos significativos. Assim, as organizações precisam não só de saber aplicar estas tecnologias de forma eficaz, mas também de identificar os riscos e implementar medidas que assegurem uma utilização segura e estratégica.
1. A Ameaça da Shadow AI: Origens e Riscos
É neste cenário que emerge o fenómeno da “shadow AI“, ou inteligência artificial nas sombras. Este conceito, com origem na expressão “shadow IT”, descreve a utilização pelos colaboradores de tecnologias, aplicações, serviços, sem o conhecimento ou autorização formal da empresa.
A shadow AI é uma extensão deste conceito, aplicada especificamente à utilização de serviços e modelos de inteligência artificial por colaboradores ou equipas sem que exista conhecimento ou autorização formal por parte da empresa.
Na prática, algoritmos e ferramentas poderosas estão a ser usados para tarefas críticas sem supervisão, sem a existência de políticas internas claras ou mecanismos de controlo, criando vulnerabilidades desconhecidos pela gestão de topo.
O crescimento da shadow AI é impulsionado por três fatores principais: a facilidade de acesso às ferramentas, a pressão por produtividade num ambiente competitivo que leva à procura de soluções imediatas, e a falta de sensibilização dentro das empresas, que gera uma falsa sensação de segurança.
Os riscos decorrentes da shadow AI são amplos e impactam várias áreas da organização. Um dos mais evidentes é a exposição de informação sensível. Ao introduzir dados confidenciais ou pessoais em plataformas externas, perde-se o controlo sobre o seu tratamento, armazenamento e partilha, o que pode violar o RGPD e diretivas como a NIS2, que exigem proteção rigorosa dos dados.
Além disso, há também o risco de conteúdos não validados, que podem gerar decisões incorretas, problemas jurídicos ou danos reputacionais. Por sua vez, cada nova ferramenta introduzida de forma informal aumenta a superfície de ataque para os cibercriminosos. Por fim, surge o risco de dependência tecnológica não planeada, deixando a empresa vulnerável a falhas, mudanças contratuais ou encerramento dos fornecedores.
Para os profissionais de segurança da informação, a shadow AI coloca em risco os pilares fundamentais da confidencialidade, integridade e disponibilidade da informação, além de levantar preocupações crescentes com a autenticidade dos conteúdos num mundo onde informações falsas geradas por IA se tornam indistinguíveis das reais.
2. Estratégias de Mitigação e Governação da IA
Enfrentar a shadow AI não significa bloquear a inovação, mas sim criar condições para que a inteligência artificial seja utilizada de forma segura e alinhada com os objetivos organizacionais. A resposta a este desafio requer uma abordagem estruturada e multifacetada.
O primeiro passo fundamental é a definição de uma política corporativa clara sobre o uso de ferramentas de IA com a especificação das plataformas aprovadas, os tipos de dados que podem ser processados e os procedimentos obrigatórios para revisão e validação humana dos resultados gerados. Deve ainda incluir mecanismos formais para a avaliação e aprovação de novas ferramentas, garantindo que os colaboradores têm acesso a alternativas seguras e eficazes.
A liderança e gestão de topo têm um papel determinante no sucesso desta abordagem. Conselhos de Administração e direções executivas devem incluir o tema da inteligência artificial e da segurança associada nas suas agendas, aprovando os recursos necessários e acompanhando indicadores-chave de desempenho.
Este envolvimento é crucial para responder às crescentes exigências legais, que responsabilizam diretamente os administradores por falhas na supervisão e governação da segurança da informação.
Paralelamente, as organizações devem investir em ferramentas técnicas especializadas que permitam monitorizar e controlar a utilização de serviços externos. Soluções como Data Loss Prevention (DLP) e Cloud Access Security Broker (CASB) são essenciais para detetar atividades não autorizadas, bloquear fluxos de dados arriscados e gerar registos de auditoria detalhados.
Estes mecanismos fornecem uma camada adicional de visibilidade e proteção, permitindo que a organização mantenha o controlo mesmo em ambientes complexos.
A norma ISO/IEC 27001:2022, referência internacional na gestão da segurança da informação, não menciona diretamente o termo shadow AI, mas fornece uma estrutura robusta para gerir os riscos associados.
A norma exige que as organizações identifiquem e avaliem riscos relacionados com tecnologias emergentes como a inteligência artificial. A norma exige a identificação e avaliação de riscos ligados a tecnologias emergentes e define controlos como políticas de uso aceitável, segurança em serviços cloud, proteção da informação com fornecedores e monitorização de acessos.
Destaca ainda a formação e consciencialização dos colaboradores, fundamentais para reduzir comportamentos de risco e evitar o uso de ferramentas não autorizadas e de realizarem Shadow AI.
Integrar a shadow AI na gestão da segurança da informação requer mapear ativos de IA, classificar dados conforme a sua criticidade e definir políticas específicas de proteção. Esta abordagem oferece à gestão de topo uma visão clara dos riscos, facilita a mitigação alinhada com os objetivos do negócio e reforça a resposta a incidentes e a conformidade com reguladores e clientes.
Antes de adotar qualquer nova solução de inteligência artificial, as empresas devem realizar avaliações de risco abrangentes, considerando aspetos técnicos, legais e éticos. Em situações de maior criticidade, deve ser realizada uma Avaliação de Impacto na Proteção de Dados (DPIA), assegurando que os fornecedores cumprem requisitos rigorosos de segurança, localização de dados e responsabilidade em caso de incidente.
Olhando para o futuro, a integração da IA nos processos empresariais irá aprofundar-se, acompanhada por regulamentos como a Diretiva Europeia de Inteligência Artificial (AI Act) e a Diretiva NIS2, que irão impor requisitos mais rigorosos, aumentando a responsabilidade das organizações e dos seus líderes.
As organizações que desenvolverem estruturas de governação sólidas estarão não apenas mais protegidas contra riscos, mas também melhor posicionadas para obter vantagens competitivas num mercado em rápida transformação. O controlo e a governação da inteligência artificial tornam-se assim a base da proteção e confiança digital que sustentará o futuro das empresas.
Artigo de opinião sobre Shadow AI da autoria de Carlos Marques Figueira, Manager na Rumos.
Sobre o autor
Aproveite a campanha:
