Empresas começam a rever o uso de IA por medo de vazamento de dados

A adoção de inteligência artificial nas empresas entrou em uma nova fase.

Nos últimos anos, a prioridade era colocar IA em operação o mais rápido possível. Agora, a pergunta está mudando:

o que acontece com os dados enviados para esses modelos?

A preocupação aumentou quando empresas passaram a usar inteligência artificial para analisar contratos, documentos internos, código, propostas comerciais e informações de clientes.

Em setembro de 2026, grandes companhias de tecnologia e consultoria passaram a revisar ou restringir o uso de determinados modelos em tarefas que envolvem informações proprietárias. O movimento mostra uma mudança importante: segurança, retenção de dados e governança passaram a pesar tanto quanto a capacidade do modelo.

O problema não é só a resposta da IA

Quando um funcionário usa uma ferramenta de IA para resumir um contrato, o conteúdo pode ser processado em infraestrutura externa e parte das informações pode permanecer registrada por razões técnicas.

Por isso, a discussão passou a incluir perguntas como:

• por quanto tempo os dados ficam armazenados?
• quem pode acessá-los?
• em qual ambiente eles são processados?
• o fornecedor reaproveita essas informações?
• quais garantias contratuais existem?

Para informações estratégicas, essas perguntas se tornam fundamentais.

Dados corporativos exigem política clara

O risco cresce quando funcionários enviam para ferramentas de IA:

• contratos;
• dados de clientes;
• relatórios financeiros;
• código proprietário;
• documentos jurídicos;
• planejamentos estratégicos.

Mesmo sem intenção de compartilhar informações externamente, isso pode criar um fluxo de dados que a organização não controla totalmente.

Esse cenário está relacionado ao chamado Shadow AI: o uso de ferramentas de inteligência artificial sem aprovação ou supervisão adequada da empresa.

Uma organização pode ter dezenas de pessoas utilizando diferentes ferramentas de IA sem saber exatamente quais informações estão sendo compartilhadas.

"Não usar para treinamento" não resolve tudo

Muitos fornecedores afirmam que dados empresariais não são utilizados para treinamento dos modelos.

Isso é importante, mas não responde a todas as questões.

Ainda é necessário compreender se existe retenção temporária para:

• segurança;
• auditoria;
• prevenção de abuso;
• investigação de incidentes.

Para algumas organizações, políticas de retenção reduzida ou inexistente podem se tornar um critério relevante para escolher fornecedores.

A empresa precisa classificar o que pode entrar em uma IA

Uma abordagem prática é definir níveis de sensibilidade.

• Conteúdo público: normalmente aceitável.
• Material interno comum: uso mediante política definida.
• Dados de clientes: controle necessário.
• Informações estratégicas: uso restrito.
• Senhas e credenciais: nunca devem ser enviadas.
• Segredos empresariais: apenas em ambientes especificamente autorizados.

Essa classificação reduz improvisações e oferece aos funcionários regras objetivas.

O uso corporativo de IA precisa de governança

A organização precisa saber quais ferramentas estão autorizadas e quais informações podem ser processadas por cada uma delas.

Medidas básicas incluem:

• mapear as ferramentas de IA utilizadas;
• estabelecer políticas de uso;
• limitar o compartilhamento de dados sensíveis;
• revisar contratos e políticas de retenção;
• registrar aplicações críticas;
• treinar funcionários.

Empresas mais maduras também podem utilizar camadas intermediárias capazes de remover informações sensíveis ou direcionar tarefas para modelos previamente autorizados.

Agentes aumentam ainda mais o risco

O problema se torna maior quando agentes de IA possuem acesso direto a:

• e-mail;
• CRM;
• arquivos;
• bancos de dados;
• APIs empresariais.

Nesse cenário, não é mais necessário que um funcionário copie manualmente uma informação. O próprio agente pode acessá-la.

Por isso, o princípio do menor privilégio é essencial.

Um agente comercial não precisa acessar todo o financeiro. Um agente de atendimento não deveria conseguir exportar toda a base de clientes.

Cada agente deve possuir apenas as permissões necessárias para cumprir sua função.

O que as empresas podem fazer agora?

A resposta não precisa ser proibir inteligência artificial.

É necessário governar seu uso.

Algumas medidas importantes são:

1. mapear as ferramentas já utilizadas;
2. estabelecer quais dados podem ser compartilhados;
3. criar uma lista de soluções autorizadas;
4. analisar políticas de retenção;
5. separar usos experimentais de processos críticos;
6. controlar acessos e permissões;
7. treinar os funcionários;
8. revisar periodicamente a política de IA.

Conclusão

A discussão empresarial sobre inteligência artificial está amadurecendo.

No início, a pergunta era:

qual modelo é mais inteligente?

Agora outras perguntas se tornaram igualmente importantes:

• onde meus dados são processados?
• quanto tempo permanecem armazenados?
• quem pode acessá-los?
• quais informações podem ser enviadas?
• quais sistemas podem utilizar esses dados?

As empresas não precisam escolher entre utilizar IA e proteger informações.

Precisam construir uma arquitetura na qual as duas coisas coexistam.

A próxima fase da adoção corporativa de IA provavelmente será definida pela capacidade de responder com clareza:

qual IA pode acessar qual dado, para realizar qual tarefa e sob quais regras.

Essa é a diferença entre simplesmente utilizar inteligência artificial e possuir governança real de IA.

Referências

• Reuters. Cobertura publicada em setembro de 2026 sobre empresas revendo o uso de modelos de IA diante de preocupações com segurança de dados e propriedade intelectual.
• Google Security. Publicações sobre segurança de capacidades agentivas e riscos relacionados a indirect prompt injection.
• NIST. Artificial Intelligence Risk Management Framework — AI RMF.
• Materiais públicos sobre governança de IA, retenção de dados e segurança da informação em ambientes corporativos.

Aviso editorial: este artigo possui caráter informativo e analítico. Políticas de inteligência artificial e proteção de dados devem ser adaptadas aos requisitos técnicos, regulatórios, contratuais e operacionais de cada organização.

Conteúdo produzido para o Blog da Vórtice — tecnologia, inteligência artificial, segurança, regulamentação, automação e transformação digital.