AI! Os meus dados…

De acordo com o KPMG CEO Outlook 2025, os CEOs portugueses identificam a cibersegurança e a integração de ferramentas de Inteligência Artificial (IA) nos processos empresariais e laborais, como dois dos principais desafios para as suas organizações.
A utilização destas ferramentas tem vindo a ganhar espaço nas empresas, sobretudo pela capacidade de aumentar a eficiência dos modelos operativos e simplificar tarefas que, até há pouco tempo, eram maioritariamente manuais ou repetitivas. Exemplos disso são a sumarização de documentos, a geração de atas com base em transcrições de reuniões ou até a criação de novos conteúdos e documentos de trabalho.
No entanto, para funcionarem de forma eficaz, estas ferramentas precisam de consumir informação. Essa informação pode ser introduzida diretamente através de prompts, ou seja, texto colocado pelo utilizador como input na plataforma, ou através do carregamento de documentos que permitem enriquecer o contexto e melhorar a qualidade da resposta gerada.
É precisamente aqui que surgem novos riscos. As interações entre utilizadores e ferramentas de IA criam cenários que muitas organizações não tinham previsto nos seus modelos tradicionais de segurança. Empresas que anteriormente não permitiam o carregamento de ficheiros em plataformas deste tipo, enfrentam agora uma dualidade entre a necessidade de proteger a sua informação e a pressão competitiva para adotar novas tecnologias e acompanhar a evolução do mercado.
Neste contexto, a adoção de ferramentas de IA deve ser acompanhada por um conjunto de medidas que permitam reduzir o risco sem bloquear a inovação.
Desde logo, é essencial rever os normativos internos e o modelo de operação. A organização deve dispor de um corpo normativo claro e atualizado, que contemple estas tecnologias e as novas formas de trabalho associadas. Uma Política de Classificação da Informação ou um Target Operating Model são exemplos de instrumentos importantes para definir responsabilidades, regras de utilização e mecanismos de controlo.
Outro ponto crítico passa pela classificação e proteção da informação. As organizações devem implementar ou atualizar mecanismos que permitam descobrir, classificar e proteger informação não estruturada, como documentos e apresentações. Esta classificação pode ser feita manualmente pelos utilizadores ou automaticamente pelas próprias ferramentas.
A par disso, devem ser reforçados os mecanismos de Data Loss Prevention (DLP), de forma a melhor controlar os fluxos de informação. Estes mecanismos podem ajudar a prevenir situações como o carregamento de documentos confidenciais para plataformas não controladas ou a introdução de dados sensíveis em prompts de ferramentas de IA.
A monitorização é igualmente fundamental. Não basta implementar políticas e controlos, é necessário garantir que os alertas gerados por estes mecanismos são acompanhados, analisados e investigados. Sem esta capacidade de monitorização, a organização corre o risco de apenas acumular alertas.
Por fim, importa reforçar a sensibilização dos colaboradores. Nenhum mecanismo de segurança é perfeito e, por isso, é essencial que os utilizadores compreendam como funcionam as ferramentas que utilizam, que tipo de informação podem ou não submeter e quais os riscos associados à exposição de dados sensíveis.
A introdução de tecnologias de IA é importante e, em muitos casos, inevitável para as organizações que pretendem manter-se competitivas. Mas isso não significa que as equipas de segurança devam “atirar a toalha ao chão”, nem que a adoção destas ferramentas deva ser travada por receios de segurança. O caminho deve passar por uma adoção controlada, preparada e monitorizada, capaz de conciliar inovação, eficiência e proteção da informação.