A inteligência artificial já faz parte das atividades corporativas, desde a elaboração de documentos até a análise de informações e a automação de processos. Entretanto, o uso dessas ferramentas pode envolver o compartilhamento de dados pessoais, documentos internos e informações confidenciais com serviços externos.

Para as empresas, isso representa um desafio de segurança e conformidade com a Lei Geral de Proteção de Dados (LGPD), especialmente quando não há visibilidade sobre quais aplicações estão sendo utilizadas, quais informações são transmitidas e quais controles estão em vigor.

Três questões ajudam a avaliar a capacidade da organização de gerenciar esses riscos: quais ferramentas de IA estão sendo utilizadas, como impedir compartilhamentos indevidos de informações e como estabelecer políticas de segurança sem inviabilizar o uso da tecnologia?

LGPD e inteligência artificial: quais cuidados as empresas precisam adotar?

A LGPD estabelece obrigações relacionadas ao tratamento de dados pessoais, incluindo princípios como finalidade, necessidade, segurança e prevenção.

Quando colaboradores inserem planilhas de clientes, currículos, contratos ou registros de atendimento em ferramentas de inteligência artificial, essas operações podem envolver o tratamento de dados pessoais por serviços externos.

O compartilhamento pode ocorrer por meio de prompts, arquivos anexados, fontes de consulta e integrações com sistemas corporativos.

Por isso, a organização precisa avaliar a finalidade e a base legal de cada operação, limitar o uso dos dados ao necessário e verificar se as ferramentas adotadas oferecem condições de segurança compatíveis com os riscos envolvidos.

Também devem ser considerados critérios como retenção das informações, acesso por terceiros e eventuais transferências internacionais de dados pessoais.

Essas responsabilidades fazem parte das exigências relacionadas à LGPD e à segurança dos dados e precisam estar refletidas nas políticas internas e nos controles tecnológicos da empresa.

Visibilidade: sua empresa sabe quais ferramentas de IA os colaboradores utilizam?

O primeiro desafio da governança de inteligência artificial é compreender como a tecnologia está sendo utilizada dentro da organização.

Ferramentas de geração de texto, análise de documentos, programação e automação podem ser acessadas diretamente pelos colaboradores, inclusive sem avaliação ou autorização prévia da equipe de TI.

Essa prática está associada ao conceito de Shadow AI, caracterizado pelo uso de ferramentas de inteligência artificial fora dos processos formais de aprovação, supervisão ou governança da empresa.

A ausência de visibilidade dificulta a identificação de aplicações que recebem informações corporativas, o acompanhamento das atividades realizadas e a avaliação dos riscos envolvidos.

Para compreender sua exposição, a organização precisa responder a questões objetivas:

• Quais aplicações de inteligência artificial estão sendo acessadas?
• Quais usuários e departamentos utilizam essas ferramentas?
• Existem aplicações em uso que ainda não passaram por avaliação de segurança?
• Quais atividades podem envolver o compartilhamento de dados pessoais ou informações confidenciais?
• Quais comportamentos divergem das políticas internas?

O Penso FG AI Control amplia a visibilidade sobre as aplicações de inteligência artificial utilizadas no ambiente corporativo, permitindo identificar ferramentas acessadas e apoiar o acompanhamento de sua utilização.

Conforme os componentes e as integrações habilitados, essas informações podem ser associadas a usuários, grupos e eventos registrados, oferecendo subsídios para identificar aplicações não autorizadas e priorizar análises de segurança.

Com maior conhecimento sobre o uso da IA, a empresa consegue direcionar seus controles às aplicações e atividades que apresentam maior exposição.

Proteção: como identificar e impedir compartilhamentos indevidos de informações?

A utilização de uma ferramenta autorizada não elimina os riscos associados às informações compartilhadas.

Um colaborador pode utilizar uma aplicação de inteligência artificial para resumir um contrato, analisar uma planilha ou produzir um relatório e, durante a atividade, transmitir dados pessoais ou informações corporativas que deveriam permanecer protegidas.

Por isso, as políticas de segurança precisam considerar tanto as aplicações utilizadas quanto as ações realizadas pelos usuários.

O Penso FG AI Control oferece mecanismos de inspeção e controle que podem ajudar a identificar determinadas atividades e restringir operações incompatíveis com as políticas da empresa.

Entre os recursos previstos estão:

• Inspeção de prompts: mecanismos para analisar interações com aplicações de IA, conforme os recursos de inspeção disponíveis.
• Controle de uploads: possibilidade de restringir determinadas operações de envio de arquivos e informações.
• Bloqueio de aplicações: restrição de acesso a ferramentas que não atendam aos critérios de segurança estabelecidos.
• Políticas por usuário e grupo: aplicação de permissões e restrições conforme as responsabilidades de cada área.
• Registro de eventos: disponibilização de informações para investigar atividades e revisar controles.

A efetividade desses mecanismos depende da arquitetura de segurança, das integrações e das funcionalidades habilitadas no ambiente.

A identificação de uma aplicação não significa, necessariamente, que todo o conteúdo transmitido esteja sendo inspecionado. Da mesma forma, o reconhecimento de dados pessoais nas interações depende dos mecanismos de análise e das políticas configuradas.

A inspeção de tráfego contribui para identificar situações de risco e aplicar restrições específicas, permitindo que a empresa atue sobre atividades que possam resultar na exposição indevida de informações.

Os eventos identificados também podem orientar investigações, embora não constituam, isoladamente, comprovação de violação à LGPD.

Governança: é possível estabelecer regras sem proibir o uso da inteligência artificial?

O uso corporativo da inteligência artificial envolve diferentes níveis de risco.

Uma aplicação utilizada para produzir conteúdo a partir de informações públicas apresenta características distintas de uma ferramenta que recebe documentos internos, acessa bases corporativas ou processa grandes volumes de dados pessoais.

Por isso, a governança precisa considerar as funcionalidades, os dados envolvidos, as condições de tratamento e os requisitos de segurança de cada aplicação.

Com o Penso FG AI Control, a empresa pode estabelecer políticas específicas para diferentes ferramentas, usuários e grupos, de acordo com suas necessidades operacionais.

Na prática, isso permite:

• Autorizar aplicações previamente avaliadas pela equipe de segurança.
• Restringir o acesso a ferramentas que não atendam às políticas corporativas.
• Definir permissões diferenciadas conforme as responsabilidades dos usuários.
• Aplicar restrições a determinadas funcionalidades, como o envio de arquivos, quando os mecanismos estiverem disponíveis.
• Revisar políticas com base nos eventos registrados e nas necessidades de cada departamento.

Uma equipe que utiliza IA para produzir conteúdo público pode ter permissões diferentes das concedidas a profissionais que trabalham com contratos, informações financeiras ou dados pessoais.

Essa diferenciação permite estabelecer critérios proporcionais ao risco de cada atividade, preservando o acesso às ferramentas autorizadas e reduzindo a necessidade de bloqueios generalizados.

A governança também exige acompanhamento contínuo das políticas estabelecidas, permitindo identificar desvios, revisar permissões e adaptar os controles às mudanças no uso corporativo da inteligência artificial.

Como o Penso FG AI Control conecta visibilidade, proteção e governança

O Penso FG AI Control é uma solução da Penso, baseada em tecnologias do ecossistema Fortinet, desenvolvida para ampliar a capacidade das empresas de acompanhar e controlar o uso corporativo de aplicações de inteligência artificial.

A solução reúne recursos que atuam de forma complementar na gestão dos riscos associados à utilização dessas ferramentas.

1. Visibilidade sobre aplicações e usuários

Permite identificar ferramentas de IA acessadas no ambiente corporativo e obter informações sobre sua utilização, conforme os mecanismos de identificação e monitoramento disponíveis.

Esses dados ajudam a reconhecer aplicações fora dos processos de aprovação da empresa e a avaliar possíveis pontos de exposição.

2. Proteção das informações corporativas

Oferece mecanismos para inspecionar determinadas interações e aplicar restrições a atividades, como acessos e uploads, conforme a arquitetura e as políticas configuradas.

Esses controles ajudam a limitar operações incompatíveis com os requisitos internos de proteção de dados.

3. Governança e aplicação de políticas

Possibilita definir regras de utilização por aplicação, usuário ou grupo, estabelecendo diferentes níveis de permissão e restrição.

Os recursos de auditoria e relatórios apoiam o acompanhamento das atividades, a investigação de ocorrências e a revisão das políticas de segurança.

A disponibilidade e o detalhamento dos registros dependem das configurações de inspeção, identidade e auditoria adotadas pela organização.

Qual é o papel dos controles técnicos na conformidade com a LGPD?

A aplicação de controles tecnológicos contribui para que as diretrizes de proteção de dados sejam executadas no ambiente corporativo.

Mecanismos de identificação, inspeção, restrição de acesso e auditoria ajudam a reduzir pontos cegos, limitar situações de exposição e produzir informações relevantes para a gestão dos riscos.

Entretanto, a conformidade com a LGPD também depende de medidas organizacionais e jurídicas, incluindo a definição de finalidades legítimas, bases legais adequadas, responsabilidades pelo tratamento e critérios para utilização dos dados pessoais.

A organização também precisa avaliar as condições de tratamento oferecidas pelos fornecedores de inteligência artificial, incluindo retenção de informações, acesso por terceiros e transferências internacionais.

Os registros gerados pelos controles de segurança podem apoiar investigações e demonstrar a aplicação de determinadas medidas técnicas, mas sua existência, isoladamente, não comprova conformidade integral com a legislação.

A integração entre governança, processos internos e mecanismos tecnológicos permite uma gestão mais consistente dos riscos relacionados ao tratamento de dados pessoais em aplicações de inteligência artificial.

Mais visibilidade e controle sobre a IA. Menos exposição de dados corporativos

A utilização segura da inteligência artificial exige que as empresas conheçam as ferramentas acessadas, estabeleçam critérios para o compartilhamento de informações e acompanhem o cumprimento de suas políticas.

Com o Penso FG AI Control, sua empresa pode ampliar a visibilidade sobre aplicações de IA, estabelecer regras específicas de utilização, restringir atividades de risco e obter informações para apoiar decisões de segurança e governança.

Converse com nossos especialistas e descubra como aplicar controles ao uso corporativo da inteligência artificial, reduzir riscos de exposição de dados e fortalecer as políticas de proteção de informações da sua empresa.

Penso, a gente resolve.