Bússola Técnica #1

A linha tênue entre produtividade e exposição

Por Romulo Bacchiega

Foi apenas mais um dia normal na divisão de semicondutores da Samsung em março de 2023. Um engenheiro, lutando com um inseto teimoso, decidiu pedir ajuda ao ChatGPT. Colocou pedaços do código fonte proprietário da empresa na ferramenta e, em segundos, recebeu sugestões de depuração. Problema resolvido, trabalho acelerado. O que ele não sabia era que ele tinha acabado de entregar informações estratégicas do gigante sul-coreano para os servidores da OpenAI. Em 20 dias, dois incidentes similares ocorreram: um desenvolvedor otimizando código para equipamentos sensíveis e outro transcrevendo uma reunião confidencial para gerar automaticamente minutos. Samsung reagiu rapidamente, banindo ChatGPT de sua rede. Mas o dano já estava feito.

A história da Samsung não é exceção, é a regra. As mesmas ferramentas de inteligência artificial que prometem revolucionar a produtividade estão se tornando veículos silenciosos para vazamento de informação. E o mais preocupante é que isso acontece sem malícia, sem hackers, sem ataques sofisticados. Acontece porque um empregado, pressionado por prazos, encontrou uma solução rápida e conveniente.

Os números revelam a escala do problema. De acordo com um relatório de segurança da LayerX, aproximadamente 77% dos funcionários já vazaram algum tipo de dados corporativos usando ferramentas como ChatGPT, Gemini ou Claude. Pesquisas conduzidas pela IBM mostram que quase um em cada cinco funcionários regularmente cola informações da empresa em plataformas de IA geradoras, e mais da metade dessas inserções contêm dados confidenciais. Isso não é descuido ocasional. É um comportamento comum que se tornou rotina.

Para entender como isso se transforma em vazamento, precisamos entender a natureza dessas ferramentas. Modelos de linguagem são treinados em bilhões de textos, e esse treinamento nunca termina. Quando você introduz informações em versões públicas dessas plataformas, seus dados podem ser incorporados aos processos de refinamento dos modelos. O que você digitou hoje pode parecer uma sugestão para outro usuário amanhã.

Mas o risco vai mais longe. Há ataques de engenharia reversa, onde atores maliciosos usam técnicas sofisticadas para extrair informações de conversas anteriores. Também há risco legal: conversas com IA podem ser intimadas em processos judiciais. Sam Altman, CEO da OpenAI, já confirmou que os dados podem ser entregues sob ordem judicial. Um juiz americano ordenou a entrega de 20 milhões de conversas do ChatGPT em um processo legal. Advogados que usaram a ferramenta para redigir contratos descobriram tarde demais que o privilégio advogado-cliente pode não se aplicar quando há um terceiro digital na conversa.

Os impactos nas empresas são múltiplos e severos. Operacionalmente, vazar especificações técnicas ou estratégias significa entregar vantagem competitiva. Legalmente, há risco de processos por violação de confidencialidade, violação de propriedade intelectual, e não cumprimento de regulamentos como o GDPR e várias leis de proteção de dados. E talvez o mais difícil de quantificar: danos na reputação. A confiança de clientes e parceiros, construídos ao longo dos anos, pode evaporar quando vazamentos se tornam públicos.

O grande desafio não é apenas o que os funcionários fazem com ferramentas autorizadas, mas o que fazem nas sombras. O fenômeno chamado “AI Sombra” – uso não autorizado de ferramentas de inteligência artificial – está se espalhando. Funcionários bem intencionados, buscando eficiência, ignorando políticas de TI usando suas contas pessoais em plataformas públicas. Pesquisas indicam que 97% das organizações que sofreram vazamentos relacionados à IA não tinham controle de acesso adequado.

Então, como navegamos esse dilema? A solução não é abandonar a IA, que seria jogar fora uma das ferramentas mais poderosas de hoje. A resposta está na governança inteligente.

Primeiro, políticas claras de uso são fundamentais. Os funcionários precisam entender exatamente o que pode e não pode ser compartilhado. Isto não pode permanecer enterrado em um manual de conformidade. Ela precisa ser parte da cultura organizacional, discutida em bordo, reforçada em treinamento.

Segundo, investir em soluções empresariais faz diferença. Plataformas como Azure OpenAI, AWS Bedrock ou Google Vertex AI oferecem garantias contratuais de que dados não serão usados para treinamento e permanecerão isolados no ambiente da empresa. Para informações sensíveis, modelos locais eliminam risco de exposição externa. Sim, eles custam mais, mas para certos dados, o custo de um vazamento é infinitamente maior.

Terceiro, educação contínua. A tecnologia evolui muito rápido para o treinamento anual ser suficiente. Os funcionários precisam entender não só as regras, mas as razões por trás delas. Quando as pessoas compreendem os riscos reais, a adesão aumenta naturalmente.

Finalmente, DLP (Prevenção de Perda de Dados) ferramentas precisam evoluir para o mundo IA. Sistemas que identificam quando informações confidenciais estão prestes a sair da rede, que bloqueiam uploads suspeitos, que alertam sobre padrões de risco. A tecnologia existe, mas poucas empresas a implementaram com a IA generativa em mente.

Inteligência artificial não é o vilão nesta história. É uma ferramenta extraordinária que redefine produtividade, criatividade e inovação. Mas, como qualquer tecnologia transformadora, vem com responsabilidades proporcionais ao seu poder. Empresas que tratam IA como se tratassem e-mails nos anos 90 “descobrem vocês mesmos” pagam o preço. Aqueles que investem em governança desde o início vão colher os benefícios sem pesadelos.

O caso da Samsung teve um resultado interessante. Depois do susto inicial, a empresa não baniu a IA. Desenvolveu sua própria solução interna, com limites de caráter por prompt, sem conexão à internet e totalmente controlada. Transformou erro em aprendizagem. Essa pode ser a lição mais importante: na era IA, a questão não é se devemos usá-la, mas como usá-la inteligentemente. E inteligência, neste caso, significa segurança, governança e responsabilidade. Porque no fim das contas, nenhuma produtividade vale um vazamento.