Proteger dados no uso corporativo de inteligência artificial exige definir o que pode ser compartilhado, com quais plataformas e sob quais condições.

Um contrato ainda em negociação pode ser inserido em uma ferramenta de inteligência artificial para revisão. Um desenvolvedor pode compartilhar parte do código-fonte para identificar uma falha. Uma equipe comercial pode enviar uma proposta completa para tornar o texto mais persuasivo.

Em todos esses casos, a intenção é legítima: ganhar produtividade.

O risco surge quando a empresa não consegue determinar quais informações foram enviadas, para qual aplicação, por qual usuário e em que contexto.

A proteção, portanto, não começa no momento em que alguém faz o upload de um arquivo. Começa antes, com a definição dos dados que não podem sair do ambiente corporativo e dos controles necessários para impedir esse compartilhamento.

Defina quais informações nunca podem ser enviadas para uma IA pública

Informação confidencial é uma classificação ampla demais para orientar decisões no dia a dia.

O colaborador precisa saber se pode inserir um trecho de contrato, uma planilha financeira, uma base de clientes ou parte do código de uma aplicação. 

Sem critérios objetivos, essa avaliação passa a ser feita individualmente e, muitas vezes, durante a execução de uma tarefa urgente.

A empresa deve transformar o conceito de confidencialidade em categorias claras, como:

• dados pessoais e informações de clientes;
• credenciais, chaves e informações de acesso;
• contratos e documentos jurídicos;
• propostas comerciais e condições de negociação;
• demonstrativos e projeções financeiras;
• código-fonte e documentação técnica;
• propriedade intelectual;
• planos estratégicos, roadmaps e informações ainda não divulgadas.

Essa classificação permite associar cada categoria a uma regra. Algumas informações podem ser utilizadas apenas em aplicações corporativas aprovadas. 

Outras devem ser anonimizadas antes do envio. Determinados conteúdos não devem ser compartilhados com nenhuma ferramenta externa.

Sem essa etapa, a empresa tenta controlar aplicações sem ter definido, com precisão, o que pretende proteger.

Avalie cada ferramenta antes de autorizá-la

Tratar todas as soluções de inteligência artificial como equivalentes cria uma política superficial.

As plataformas podem adotar condições diferentes para retenção de dados, uso das informações fornecidas, administração de contas, integração com ambientes corporativos e disponibilidade de registros para auditoria.

A avaliação deve considerar, entre outros pontos:

• onde os dados são processados;
• por quanto tempo podem permanecer armazenados;
• se as informações podem ser utilizadas para aprimorar o serviço;
• quais configurações administrativas estão disponíveis;
• se a empresa consegue controlar usuários, acessos e permissões;
• quais evidências ficam disponíveis em caso de investigação.

O resultado dessa análise deve ser uma relação objetiva de ferramentas autorizadas, restritas e proibidas.

A aprovação também precisa considerar a finalidade. Uma plataforma pode ser adequada para produção de textos genéricos e, ao mesmo tempo, inadequada para analisar documentos jurídicos ou informações financeiras.

A pergunta correta não é apenas se determinada IA pode ser usada. É o que pode ser feito com ela.

Crie regras diferentes para áreas com exposições diferentes

Uma política única para toda a empresa tende a falhar em uma das duas direções: bloqueia atividades legítimas ou permite compartilhamentos excessivos.

O Jurídico, por exemplo, lida com contratos, disputas e informações protegidas por sigilo. Recursos Humanos processa dados pessoais e registros de colaboradores. 

Desenvolvimento trabalha com código-fonte, arquitetura e credenciais técnicas. Marketing pode utilizar IA para criar peças sem precisar expor informações sensíveis.

Essas áreas não apresentam o mesmo risco e não deveriam receber as mesmas permissões.

Uma política contextual pode estabelecer:

• quais ferramentas cada grupo pode acessar;
• quais recursos ficam disponíveis;
• quais tipos de conteúdo podem ser enviados;
• quando a atividade deve ser bloqueada;
• quando uma exceção depende de aprovação;
• quais ações precisam ser registradas.

Essa granularidade reduz a dependência de bloqueios generalizados e mantém o uso da inteligência artificial alinhado às responsabilidades de cada área.

Proteja prompts, arquivos e dados copiados

O controle não pode se limitar ao upload de documentos.

Informações confidenciais também podem sair da empresa por meio de trechos copiados e colados, comandos digitados manualmente, imagens, tabelas, capturas de tela e integrações conectadas a aplicações corporativas.

Um usuário não precisa enviar um contrato completo para expor seu conteúdo. 

Pode inserir apenas uma cláusula que contenha valores, nomes, condições comerciais ou informações sobre uma negociação ainda não concluída.

Da mesma forma, algumas linhas de código podem revelar componentes internos, endereços de infraestrutura, estruturas de autenticação ou características de uma aplicação.

A política precisa acompanhar os diferentes caminhos pelos quais a informação pode chegar à ferramenta de IA. 

Caso contrário, a empresa controla o arquivo, mas deixa o conteúdo desprotegido.

Aplique o controle antes que o compartilhamento seja concluído

Treinamentos ajudam os colaboradores a reconhecer riscos, mas não conseguem impedir todos os erros.

Uma pessoa pode conhecer a política e ainda assim compartilhar um conteúdo sensível por distração, pressa ou interpretação incorreta. 

Quando a proteção depende apenas dessa decisão, o controle acontece tarde demais.

A tecnologia deve atuar no momento da tentativa de acesso ou envio.

Isso pode envolver:

• identificação das aplicações de IA utilizadas;
• políticas por usuário, grupo ou área;
• bloqueio seletivo de ferramentas;
• restrição de uploads e compartilhamentos;
• inspeção de conteúdo;
• alertas diante de comportamentos de risco;
• registro das atividades para auditoria.

O objetivo não é interromper indiscriminadamente o trabalho. É aplicar a resposta adequada ao risco.

Uma ação pode ser permitida, registrada, alertada, condicionada a uma regra adicional ou bloqueada. Essa capacidade de diferenciação transforma a política em um controle operacional.

Registre o uso para corrigir falhas e investigar incidentes

Sem registros, a empresa não consegue comprovar que as políticas foram aplicadas nem reconstruir o que aconteceu em uma possível exposição.

Logs de acesso e atividade ajudam a responder perguntas essenciais:

• qual ferramenta foi utilizada;
• qual usuário realizou a ação;
• quando o evento ocorreu;
• qual política foi acionada;
• se o envio foi permitido ou bloqueado;
• quais áreas concentram os comportamentos de maior risco.

Essas informações também permitem ajustar a governança.

Se uma equipe recorre repetidamente a uma plataforma não autorizada, o problema pode indicar falta de orientação, ausência de uma alternativa corporativa ou uma necessidade operacional ainda não contemplada pela TI.

O monitoramento, nesse caso, não serve apenas para identificar violações. Ele revela onde a política precisa evoluir.

Evite que a produtividade crie um novo canal de saída de dados

As empresas investiram durante anos em controles para impedir invasões, proteger endpoints e restringir acessos indevidos.

A inteligência artificial acrescentou outra frente ao problema: informações podem deixar o ambiente corporativo por meio de ações legítimas executadas por usuários autorizados.

Isso muda a lógica da proteção.

Não basta verificar quem tem acesso aos dados. É necessário controlar o que essa pessoa pode fazer com eles ao utilizar serviços externos.

Classificar informações, avaliar ferramentas, aplicar políticas contextuais, inspecionar compartilhamentos e manter registros são etapas de uma mesma estratégia. 

Quando funcionam em conjunto, permitem usar inteligência artificial sem transformar cada prompt em uma possível saída não monitorada de dados.

Conheça a tecnologia Penso com Fortinet no Fortinet Cybersecurity Summit Brasil 2026

A Penso estará no Fortinet Cybersecurity Summit Brasil 2026 para demonstrar como ampliar a visibilidade sobre o uso de inteligência artificial, aplicar políticas conforme o contexto e reduzir o risco de compartilhamento indevido de informações corporativas.

Visite o estande da Penso e conheça, na prática, como estruturar controles para proteger dados sem impedir o uso produtivo da IA.

📍 Transamérica Expo Center
📅 11 de agosto de 2026
📌 São Paulo | SP

Penso, a gente resolve.