Funcionários já usam inteligência artificial (IA) para criar formulários, automatizar tarefas e consultar documentos internos, muitas vezes sem avisar a empresa. A falta de regras e de revisão pode expor dados confidenciais e deixar falhas de segurança sem controle. Pesquisas citadas em levantamentos sobre o tema também apontam que o receio de parecer incompetente ou ser responsabilizado por erros leva parte dos trabalhadores a esconder esse uso.
Um exemplo é o de um analista comercial que encontra nas redes sociais um comando pronto para IA, usa a ferramenta contratada pela empresa para criar um formulário e envia o link a um fornecedor. O aplicativo funciona, mas ninguém da área de segurança verificou sua operação nem para onde vão as informações preenchidas. O risco não decorre necessariamente de uma intenção inadequada: pode surgir quando os funcionários não sabem quais usos são permitidos ou quando precisam de aprovação.
Medo de julgamento favorece o uso escondido
Uma pesquisa com quase 29 mil engenheiros de uma empresa de tecnologia, conduzida por pesquisadores das universidades Peking e Hong Kong Polytechnic, identificou o que chamou de “penalidade de competência”. Segundo o estudo, avaliadores podem considerar que alguém que usa IA para completar uma tarefa não sabia executá-la sozinho.
Os engenheiros previam essa reação antes de vivenciá-la e, por isso, adotavam a ferramenta mais lentamente do que poderiam. Sem orientações claras, o receio não impede necessariamente o uso: pode levar a pessoa a recorrer à IA sem comunicar o que está fazendo, o que também dificulta a revisão do trabalho.
Uma pesquisa da GoTo com a consultoria Workplace Intelligence, que ouviu 2.500 funcionários, apontou outro aspecto desse temor. Entre os trabalhadores que usam IA, 83% disseram temer ser culpados por um erro da ferramenta. Além disso, 42% prefeririam correr o risco de errar por conta própria a parecer lentos ou substituíveis.
Documentos e automações podem expor dados
O uso não comunicado pode impedir que a empresa identifique problemas antes que eles causem danos. Um documento sensível, como uma planilha com os salários da diretoria, pode ter sido compartilhado por engano com toda a organização. Se o conteúdo estiver marcado como público ou liberado para busca interna, o Microsoft Copilot pode encontrá-lo ao responder a uma consulta, inclusive para alguém que não deveria ter acesso à informação.
O risco está ligado à integração de ferramentas de IA com e-mails, planilhas e sistemas internos. A ferramenta busca o conteúdo que está disponível para ela, mas não avalia se a permissão foi concedida corretamente ou se o arquivo deveria estar acessível.
Outro cenário envolve as chamadas skills: pacotes de instruções que orientam uma IA a automatizar uma tarefa. Uma equipe pode baixar uma dessas ferramentas, pedir que a segurança avalie seu funcionamento e aprová-la. Se, meses depois, o responsável pelo conteúdo alterar um site externo usado pela skill e incluir instruções para desviar dados da empresa, a automação pode passar a agir de outra forma, mesmo sem mudança em seu código ou nas permissões. Uma auditoria feita apenas no momento da aprovação não detectaria necessariamente essa alteração.
Ferramentas como o Copilot Studio, da Microsoft, e o Gemini Enterprise, do Google, permitem que equipes criem automações sem escrever código e já são aprovadas em empresas. Nesse contexto, baixar uma skill pronta pode parecer tão simples quanto instalar um aplicativo. Uma das razões para recorrer a soluções de terceiros é não saber construir uma automação própria.
Treinamento e regras devem vir antes da fiscalização
O problema também aparece fora das ferramentas contratadas. Segundo levantamento da KnowBe4, 49,5% dos profissionais brasileiros já compartilharam informações confidenciais em uma ferramenta de IA própria, fora das soluções adotadas pela empresa.
Para reduzir o uso sem supervisão, a orientação apresentada começa pelo treinamento. A proposta é ensinar os funcionários a usar as ferramentas e, quando possível, a criar suas próprias automações. A formação deve incluir quem ocupa cargos de liderança, para que gestores conheçam as ferramentas antes de orientar as equipes.
Depois, a empresa pode elaborar uma política com a participação de quem já usa IA. Entre as medidas sugeridas estão revisar documentos configurados para serem acessados por “qualquer pessoa com o link” e impedir a instalação de skills de terceiros com acesso a dados corporativos. A recomendação é usar essas soluções externas para estudo, e não para operar dentro da empresa; automações que acessam dados internos devem ser desenvolvidas por pessoas treinadas para isso.
A orientação também prevê revisão periódica das regras. A cada trimestre, a empresa pode verificar o que funcionou, o que não foi adotado e quais mudanças são necessárias, registrando os ajustes. Esse acompanhamento ajuda a evitar que uma política fique apenas no papel e permite identificar alterações nos usos e nas ferramentas.
Para começar, a liderança pode mapear com a equipe onde a IA já está sendo usada sem revisão, definir uma data para o primeiro treinamento e escolher quem participará da elaboração das regras. A medida busca substituir a proibição genérica por procedimentos que esclareçam quais usos são aceitos e quando é necessário pedir aprovação.