Dizer que a inteligência artificial chegou para revolucionar tudo não é exagero. Anos atrás, as políticas de segurança corporativa costumavam se concentrar nos mesmos temas: credenciais de acesso, senhas, uso de dispositivos USB, acessos remotos, classificação das informações, phishing e ransomware. Hoje, no entanto, cada vez mais organizações incorporam políticas específicas para o uso de IA. Ainda assim, o processo de adaptação e amadurecimento está longe de ser concluído.
Segundo os dados do último ESET Security Report, 39,1% das empresas brasileiras promovem seu uso com base em diretrizes internas, enquanto 45,3% ainda deixam a decisão nas mãos de cada funcionário, sem uma política definida. Além disso, 14,1% limitam seu uso a determinados casos e apenas 1,6% das organizações mantêm uma proibição total dessas ferramentas.
Diante desse cenário, é interessante entender de que maneira as empresas estão incorporando novas políticas voltadas ao uso de ferramentas de inteligência artificial, qual é o desafio para aquelas organizações que passaram de proibir essas ferramentas a estabelecer regras para seu uso, quais regulamentações e padrões existem atualmente em nível global e a quais riscos estão expostas as empresas que ainda não têm políticas definidas.
Da proibição da IA à definição de regras para seu uso
Em 30 de novembro de 2022, a OpenAI lançou publicamente o ChatGPT, e milhões de pessoas começaram a experimentar a inteligência artificial generativa. Diante desse novo cenário, as empresas adotaram uma postura cautelosa, restringindo ou proibindo seu uso internamente por medo de um possível vazamento de informações.
Essas medidas iniciais não conseguiram frear o boom das ferramentas de inteligência artificial. Muitos funcionários começaram a utilizar essas ferramentas por iniciativa própria para automatizar tarefas. Isso deu origem ao fenômeno Shadow AI, ou seja, o uso de ferramentas de IA por colaboradores de uma organização sem a aprovação da área de TI. Diante disso, muitas empresas começaram a elaborar as primeiras políticas de uso aceitável de IA. O Walmart foi um dos casos mais emblemáticos: passou de uma postura de restrição para a adoção controlada da tecnologia, com ferramentas próprias, monitoramento e regras claras.
Aos poucos, as organizações aceitaram que a IA veio para ficar e que o verdadeiro desafio já não era impedir seu uso, mas gerenciá-lo. Os principais provedores de tecnologia acompanharam essa crescente adoção da IA, lançando versões empresariais de seus assistentes, com controles específicos de segurança, privacidade e conformidade. ChatGPT Business e Enterprise, Microsoft 365 Copilot e Gemini para Google Workspace foram desenvolvidos para oferecer mais garantias em relação ao tratamento dos dados corporativos.
Entre 2024 e 2025, a discussão mudou e as empresas começaram a trabalhar em políticas internas, classificação de dados, ferramentas autorizadas, capacitação de funcionários e integração de assistentes de IA aos processos de negócio.
Em relação ao nível de regulamentação adotado pelas empresas, como mostra o ESET Security Report, são observadas diferenças entre os setores. Na Educação, o uso de IA é mais desregulado, com 57,1% das instituições sem nenhum tipo de regra sobre IA. Já no setor financeiro (Bancos), o padrão brasileiro se inverte em relação à média regional: 66,7% das instituições não têm regulamentação alguma sobre o uso de IA, e apenas 33,3% incentivam seu uso sob normas internas.
O risco para as organizações que ainda não definiram regras
O ESET Security Report 2026 mostra que 45,3% das organizações brasileiras ainda operam sem uma política definida sobre o uso de ferramentas de IA, deixando a decisão nas mãos de cada funcionário. Isso não significa necessariamente que a IA seja proibida ou permitida: simplesmente não existem diretrizes claras que indiquem quais ferramentas podem ser utilizadas, que tipo de informação pode ser compartilhada ou quais responsabilidades assumem aqueles que recorrem a elas.
Em outras palavras, o fato de mais de quatro em cada dez organizações brasileiras ainda não terem definido políticas de uso de IA não significa que seus funcionários não utilizem essas ferramentas, mas justamente o contrário. A IA já faz parte do trabalho cotidiano, mas cada pessoa decide como, quando e com quais informações utilizá-la.
Na prática, isso significa que cada colaborador pode tomar decisões diferentes diante de uma mesma situação: utilizar assistentes públicos ou contas pessoais, compartilhar informações sem conhecer os riscos ou incorporar conteúdo gerado por IA a processos críticos sem validação.
Embora nenhuma dessas ações seja necessariamente mal-intencionada, a falta de regras faz com que a organização perca visibilidade e controle sobre como a inteligência artificial é utilizada.
Qual é o problema de fundo? Com o tempo, essa falta de critérios comuns pode se traduzir em um uso inconsistente entre as áreas, maior exposição ao Shadow AI, dificuldades para proteger informações sensíveis e até problemas para responder a incidentes ou demonstrar que existem controles sobre o uso dessas ferramentas.
Quais problemas as políticas de IA buscam resolver?
Embora a realidade de cada organização seja particular e as políticas possam variar entre elas, todas têm algo em comum: os desafios que buscam enfrentar diante da adoção da IA generativa.
Proteger informações sensíveis
Um dos principais receios que a IA generativa despertou nas empresas foi a possibilidade de que os funcionários compartilhassem, de forma intencional ou acidental, informações confidenciais em plataformas públicas. O caso da Samsung, no qual engenheiros inseriram código-fonte e dados internos no ChatGPT, reflete esses receios iniciais, já que deixou evidente como uma simples consulta pode se transformar em um vazamento real de informações.
Hoje, muitas políticas estabelecem que tipo de dado pode ser inserido em ferramentas de IA e quais não podem. Assim, é comum encontrar restrições relacionadas a informações de clientes, propriedade intelectual, código-fonte, documentos internos ou informações financeiras.
Reduzir o risco do Shadow AI
O fato de uma ferramenta ser proibida nem sempre significa que ela deixará de ser utilizada. Na verdade, costuma acontecer o contrário. Muitas organizações descobriram que seus funcionários continuavam usando assistentes de IA a partir de contas pessoais ou dispositivos próprios. Qual é o problema? A organização não tem nenhum tipo de visibilidade ou controle sobre esse uso.
Por meio das políticas, as empresas buscam reduzir esse risco oferecendo alternativas aprovadas e regras claras sobre quando e como utilizar esses assistentes. Dessa forma, permite-se o uso de versões empresariais, enquanto contas pessoais ou serviços sem controles corporativos ficam fora da política. Outras organizações optam por modelos próprios ou assistentes internos para processar as informações dentro de sua infraestrutura.
O objetivo final é que os funcionários não apenas saibam se podem usar IA, mas também quais ferramentas estão disponíveis para que possam utilizá-la de forma segura.
Garantir a supervisão humana
Quando a IA também começou a ser utilizada para redigir documentos, analisar informações ou gerar código, surgiu outra preocupação: a de confiar cegamente em suas respostas. Por esse motivo, muitas políticas incorporam o princípio da supervisão humana, que estabelece que as pessoas continuam sendo responsáveis por validar todo conteúdo gerado por essas ferramentas, especialmente quando ele está relacionado a decisões de negócio ou processos críticos.
As regulamentações que existem atualmente
À medida que as empresas começaram a formalizar políticas para o uso da inteligência artificial, também surgiram frameworks de referência, padrões internacionais e regulamentações que servem como guia para implementar uma adoção mais segura e responsável. Embora apresentem diferenças em seu alcance e nível de exigência, eles buscam oferecer critérios para gerenciar os riscos associados a essa tecnologia.
NIST AI RMF (Artificial Intelligence Risk Management Framework)
Publicado em 2023 pelo National Institute of Standards and Technology, o framework propõe boas práticas para que as empresas possam identificar, avaliar, gerenciar e monitorar os riscos associados à IA. Seu objetivo não é regulamentar o uso dessa tecnologia, mas oferecer uma metodologia para governá-la de forma responsável durante todo o seu ciclo de vida.
Essa norma é focada exclusivamente na gestão de riscos associados à IA. Ela não estabelece um sistema de gestão completo, mas oferece diretrizes para identificar, analisar, tratar e monitorar os riscos decorrentes do desenvolvimento ou uso de sistemas de IA.
É o primeiro padrão internacional para a implementação de um Sistema de Gestão de Inteligência Artificial (Artificial Intelligence Management System – AIMS). A norma estabelece requisitos para definir políticas, atribuir responsabilidades, avaliar riscos, documentar processos e promover a melhoria contínua.
É o primeiro marco regulatório abrangente sobre IA aprovado pela União Europeia. Seu objetivo é estabelecer obrigações para aqueles que desenvolvem, comercializam ou utilizam sistemas de IA, classificando-os de acordo com o nível de risco que representam. Embora sua aplicação esteja concentrada no mercado europeu, também impacta empresas de outros países que oferecem produtos ou serviços baseados em IA dentro da União Europeia.
NIST Cybersecurity Framework (CSF) 2.0
É um dos frameworks de cibersegurança mais utilizados no mundo. Embora não tenha sido desenvolvido especificamente para IA, oferece uma estrutura amplamente adotada para gerenciar riscos tecnológicos por meio de funções como Govern, Identify, Protect, Detect, Respond e Recover.
Além das diferenças entre eles, esses padrões, frameworks de referência e regulamentações refletem como a governança da IA já não depende apenas dos critérios de cada organização. Hoje, existem diretrizes amplamente reconhecidas que ajudam a definir políticas, gerenciar riscos e estabelecer controles para incorporar a IA de forma segura, responsável e alinhada aos objetivos do negócio.
Cumprir as políticas: o verdadeiro desafio
Ter uma política de uso de IA definida não garante que os funcionários irão adotá-la. Por isso, é necessário que as empresas façam com que as pessoas compreendam os riscos envolvidos, conheçam as ferramentas autorizadas e as incorporem ao seu trabalho cotidiano.
Nesse sentido, as organizações precisam encontrar um equilíbrio. Diante de restrições rígidas, é provável que os funcionários recorram a ferramentas não autorizadas. Por outro lado, políticas permissivas ou ambíguas aumentam o risco de compartilhamento de dados sensíveis, de confiança excessiva nas respostas da IA ou de uso sem os controles adequados.
Por isso, as empresas buscam complementar as políticas com treinamentos, programas de conscientização e ferramentas corporativas que ofereçam uma alternativa segura aos serviços públicos. O objetivo é integrá-las à cultura da organização sem prejudicar a produtividade. Afinal, se a alternativa corporativa for mais lenta ou tiver mais restrições do que a pública, o funcionário terá um incentivo natural para contornar a política.
E é justamente aí que está o principal desafio para as organizações: fazer com que a forma segura de usar IA também seja a mais conveniente.
Um novo desafio para a cibersegurança corporativa
O fato de apenas 1,6% das empresas brasileiras proibirem completamente o uso de IA mostra que a discussão já mudou. A questão já não é se essas ferramentas têm espaço dentro da organização, mas sim como utilizá-las sem comprometer a segurança, a privacidade ou a conformidade regulatória.
Assim como, anos atrás, as políticas de segurança incorporaram regras claras sobre dispositivos móveis, trabalho remoto ou serviços em nuvem, hoje a inteligência artificial começa a ocupar um lugar na agenda de cibersegurança das empresas.
