Um funcionário cola um extrato da base de clientes em um assistente de IA para redigir um e-mail de follow-up. Em poucos segundos, nomes, endereços e históricos de compras transitam por um servidor de terceiros, sem criptografia ou rastreabilidade. Este cenário, banal desde a generalização das ferramentas de IA generativa, ilustra um risco concreto: o vazamento de dados sensíveis por meio dos prompts.
Vazamentos por IA generativa: um risco subestimado nas políticas de segurança
Senhas robustas, atualizações e backups protegem o perímetro técnico. Nenhuma dessas medidas cobre os dados que um colaborador transmite voluntariamente a uma ferramenta de IA conversacional utilizada no dia a dia.
A CNIL recomenda definir precisamente as finalidades antes de transmitir dados a um sistema de IA, limitar o volume de informações compartilhadas e anonimizar ou pseudonimizar os conjuntos de dados. Quando um projeto envolve um tratamento em grande escala, uma análise de impacto sobre a proteção de dados é recomendada antes do desdobramento.
É possível proteger seus dados sensíveis com Jeune et Actif começando por mapear os fluxos: quais colaboradores utilizam quais ferramentas, com quais categorias de informações. Sem essa etapa, toda política de privacidade permanece teórica.
O reflexo a ser instalado: antes de colar um texto em um chatbot, perguntar-se se aceitaria exibi-lo em um painel no hall da empresa. Se a resposta for não, o prompt deve ser reformulado ou abandonado.
Formação obrigatória em IA: o que o regulamento europeu impõe desde fevereiro de 2025
Desde 2 de fevereiro de 2025, o regulamento europeu sobre inteligência artificial impõe aos fornecedores e implementadores de sistemas de IA garantir um nível suficiente de domínio da IA por sua equipe. A nuance é importante: não se trata mais de sensibilização geral à cibersegurança, mas de uma exigência regulatória específica.
Para uma organização, isso significa documentar três coisas:
- A lista das ferramentas de IA autorizadas internamente, com suas condições de uso (tipos de dados aceitos, proibições explícitas).
- Um programa de formação datado e nominativo, provando que cada usuário foi treinado sobre os riscos relacionados a dados sensíveis nos prompts.
- Um procedimento de atualização dessa formação quando uma nova ferramenta é implementada ou quando um uso muda.
Os retornos variam sobre esse ponto conforme o tamanho da estrutura: uma PME de dez pessoas pode formar em meio dia, enquanto uma entidade com várias centenas de agentes precisará de um plano estendido por vários meses. A obrigação permanece a mesma.
Backups e criptografia frente à dupla extorsão
Os ataques recentes combinam cada vez mais criptografia dos sistemas, roubo de dados e ameaça de divulgação. Restaurar um backup não é mais suficiente se os atacantes possuem uma cópia utilizável dos arquivos sensíveis.
Essa evolução muda a hierarquia das prioridades. Antes de pensar em backup, deve-se pensar em segmentação: um contador não precisa acessar os arquivos do departamento jurídico, e vice-versa. Cada acesso não justificado é um caminho potencial de exfiltração.
Medidas concretas de segmentação e criptografia
A criptografia dos dados armazenados (at rest) e em trânsito protege contra a exploração direta em caso de roubo. Combinada a uma segmentação de rede rigorosa, reduz a superfície útil para um atacante que tenha ultrapassado o perímetro.
Limitar os direitos de acesso ao estritamente necessário continua sendo a medida mais eficaz e menos custosa. Uma auditoria trimestral das contas ativas permite identificar acessos órfãos (ex-colaboradores, prestadores cujo contrato foi encerrado).
Dependências de fornecedores e diretiva NIS 2: assegurar toda a cadeia
O risco não se limita ao perímetro interno. A ENISA destaca que as dependências em relação a fornecedores e subcontratados constituem um vetor de ataque crescente. Um prestador de serviços de folha de pagamento comprometido expõe os dados pessoais de todos os seus clientes.
A diretiva NIS 2, em processo de transposição na França, amplia as obrigações de segurança para muitas organizações que não estavam cobertas pelo quadro anterior. As entidades chamadas “importantes” deverão, entre outras coisas:
- Avaliar formalmente a segurança de seus fornecedores críticos antes de formalizar contratos.
- Integrar cláusulas de notificação de incidentes nos contratos de subcontratação.
- Implementar uma gestão de riscos relacionados à cadeia de suprimentos digital, documentada e auditável.
No campo, isso começa com um inventário: quem hospeda nossos dados, onde estão armazenados e quais compromissos contratuais cercam sua proteção? Sem esse mapeamento, a conformidade com o RGPD e com a NIS 2 permanece um exercício de fachada.
Construir uma carta de uso em vez de empilhar proibições
Uma carta de uso das ferramentas digitais e da IA, co-construída com as equipes, tem mais chances de ser respeitada do que um memorando descendente. Nela, especificamos as ferramentas autorizadas, os tipos de dados que nunca devem sair do sistema de informação interno e o que fazer em caso de dúvida.
Essa carta não substitui as medidas técnicas (criptografia, segmentação, autenticação multifatorial). Ela as torna operacionais ao dar a cada colaborador um quadro claro para suas decisões diárias.
A proteção de dados sensíveis não se resume mais a um antivírus atualizado e uma senha complexa. A chegada da IA generativa nos usos cotidianos, as obrigações do regulamento europeu sobre IA e a ampliação do perímetro da NIS 2 deslocam o foco para a governança, a formação documentada e o controle dos fluxos de saída. Um inventário atualizado dos locais de armazenamento e dos direitos de acesso continua sendo o ponto de partida de qualquer abordagem estruturada.
