O Risco Que Aprovou Não É o Risco Que Corre

A maioria dos conselhos de administração continua a imaginar o risco de IA como uma decisão que tomam: que modelo licenciar, em que fornecedor confiar, que contrato assinar. Essa imagem está agora errada. A exposição que mais importa é aquela que ninguém aprovou. O Relatório de Investigação de Violações de Dados de 2026 da Verizon concluiu que o uso regular de IA em equipamentos da empresa triplicou em doze meses, de 15 para 45 por cento dos colaboradores, e que dois terços dessas pessoas acedem às ferramentas através de contas pessoais que estão inteiramente fora do controlo empresarial.

Isto é a IA Sombra: software capaz adotado mais depressa do que qualquer política consegue acompanhar. É agora a terceira ação de insider não maliciosa mais comum que os sistemas de prevenção de perda de dados sinalizam, um aumento de quatro vezes num único ano. As pessoas que o fazem não são descuidadas. São colaboradores produtivos a resolver problemas reais com a melhor ferramenta à sua frente. É exatamente por isso que um memorando não o vai travar.

O Seu Código-Fonte É a Primeira Coisa a Sair

Quando o mesmo relatório classificou aquilo que os colaboradores realmente colam em ferramentas públicas de IA, o código-fonte liderou todas as outras categorias por larga margem, à frente das imagens e dos dados estruturados. A forma direta de ler essa conclusão é esta: código-fonte num modelo público é propriedade intelectual no pipeline de treino de outra pessoa. Para uma empresa cuja vantagem vive no seu código, na sua lógica de preços ou nos seus registos de clientes, isso não é uma hipótese. É uma transferência diária e invisível dos ativos que é pago para proteger.

O dano não se anuncia. Não há notificação de violação, não há pedido de resgate, não há interrupção dramática. Um modelo simplesmente fica um pouco melhor a reproduzir aquilo que julgava ser seu, e um dia o prompt de um concorrente devolve algo que parece familiar. A essa altura, a questão já não é como recuperar os dados. É se consegue sequer provar que saíram.

O Regulador Já Lhe Disse o Que Fazer

Em 15 de junho de 2026, a Autoridade Europeia para a Proteção de Dados reformulou a IA Sombra como um problema de conformidade, e não de suporte técnico. Os dados introduzidos em ferramentas não aprovadas caem num ponto cego regulatório: nenhum acordo sobre a base legal para o tratamento, nenhuma clareza sobre a retenção, nenhuma salvaguarda para a transferência internacional, nenhuma transparência sobre se treinam um modelo. Ao abrigo do RGPD, um ponto cego não é uma defesa. É uma constatação em aberto à espera de um auditor.

O que a EDPS não recomendou foi uma proibição. Disse que a resposta é a gestão ativa: definir que uso de IA está autorizado, classificar os dados que nunca podem sair, aplicar controlos técnicos e dar às pessoas uma ferramenta aprovada boa o suficiente para que deixem de procurar a não aprovada. A proibição falha porque não altera o incentivo. Apenas move o mesmo comportamento para um sítio onde já não o consegue ver.

Leia a seguir: O seu agente de IA já pode gastar o seu dinheiro. A parte difícil é tudo o que acontece depois.  ·  Um Tribunal Acabou de Decidir Que as Respostas da Sua IA São as Suas Palavras. A Responsabilidade é Agora Sua.