A rápida adoção de IA generativa (como modelos de grande linguagem tipo ChatGPT) trouxe benefícios de produtividade, mas também novas ameaças cibernéticas que preocupam líderes de segurança. Ataques tradicionais estão se tornando mais sofisticados e escaláveis com auxílio de IA.
Por exemplo, phishing e fraudes ganharam realismo: criminosos usam IA para redigir e-mails impecáveis e altamente contextuais, simulando comunicação de executivos ou parceiros. O resultado? Um aumento acentuado de golpes de Business Email Compromise (BEC); o relatório Verizon 2023 indicou quase o dobro de incidentes de BEC, representando mais da metade de todos os ataques de engenharia social.
Além disso, deepfakes – vídeos ou áudios sintéticos – tornaram-se ferramentas de fraude corporativa. Incidentes de deepfake vêm explodindo globalmente: apenas em 2024 registrou-se crescimento de 303% nos EUA, ilustrando a facilidade de criar conteúdos falsos convincentes com ferramentas acessíveis.
Outro risco é a automação de ataques em escala. Modelos generativos permitem que agentes de ameaça analisem grandes volumes de dados públicos ou vazados para identificar alvos e vulnerabilidades com rapidez sem precedentes.
Esse poder de reconhecimento automatizado torna os ataques mais precisos e personalizados. Da mesma forma, a geração de malware e exploits está se beneficiando da IA: modelos de linguagem podem ajudar a codificar malwares ou encontrar brechas, mesmo para criminosos com pouca habilidade técnica. Já existem anúncios em fóruns clandestinos oferecendo “serviços de LLM” para contornar restrições e produzir código malicioso sob encomenda.
Vulnerabilidades no código: desenvolvedores, IA e backdoors
No âmbito interno, a adoção de assistentes de codificação por IA traz riscos de vulnerabilidades no software corporativo. Desenvolvedores usando ferramentas como GitHub Copilot, ChatGPT ou similares podem, sem perceber, gerar código inseguro ou até com portas dos fundos (backdoors) embutidas.
Pesquisas recentes revelam que os modelos de IA tendem a produzir código com falhas de segurança por padrão se não forem orientados de forma explícita. Em testes com diversos modelos (incluindo GPT-4, Claude e Gemini), verificou-se que com um prompt simples os LLMs geravam código vulnerável a pelo menos 4 dos 10 tipos mais comuns de falhas (CWEs). Mesmo modelos avançados do GPT apresentaram baixo desempenho sem diretrizes de segurança, expondo vulnerabilidades em 8 de 10 categorias de falhas conhecidas.
Ao ocultar instruções maliciosas em arquivos de configuração (usando caracteres invisíveis Unicode, por exemplo), um criminoso pode induzir o assistente de IA a inserir trechos de backdoor em cada código gerado, sem que o desenvolvedor perceba. Testes provaram que tanto o GitHub Copilot quanto a ferramenta Cursor obedeceram a comandos ocultos inserindo um script externo nos projetos – e sem mencionar nada ao usuário sobre isso.
Essa tática evidencia um novo risco na cadeia de suprimentos de software: configurações compartilhadas ou templates de projetos podem estar envenenados para contaminar código-fonte via IA. Considerando que 97% dos desenvolvedores já utilizam IA generativa em seu fluxo de trabalho – dentro ou fora da empresa, o potencial impacto é amplo.
Para mitigar esses perigos, as lideranças de TI devem assegurar práticas rigorosas de revisão e teste de código, independentemente da origem (humana ou de IA). Ferramentas automatizadas de análise de segurança e políticas de code review se tornam ainda mais cruciais. Também é recomendável controlar quais fontes de IA os times utilizam e verificar arquivos de configuração ou prompts compartilhados em projetos abertos, conforme sugerido pelos pesquisadores.
A mensagem central é que a produtividade proporcionada pela IA não exime as equipes de engenharia de seguir os princípios de desenvolvimento seguro. Ignorar essa diligência pode abrir brechas para ataques e falhas deliberadamente plantadas, minando a segurança dos sistemas corporativos de dentro para fora.
Consequências regulatórias e de compliance (LGPD, AI Act e OCDE)
O uso de IA generativa nas empresas não traz apenas desafios técnicos – acarreta também implicações sérias de privacidade, conformidade legal e ética. No contexto brasileiro, a Lei Geral de Proteção de Dados (LGPD) impõe obrigações claras quanto ao tratamento de dados pessoais, e a IA generativa toca em vários pontos sensíveis dessa legislação.
A Autoridade Nacional de Proteção de Dados (ANPD) alertou que modelos generativos, treinados com enormes volumes de informações, enfrentam dificuldades em cumprir princípios de transparência e minimização de dados da LGPD. Um estudo do órgão destacou riscos como a coleta de dados sem consentimento explícito – por exemplo, via web scraping de fontes online públicas – e o uso desses dados para treinar modelos, frequentemente sem que os titulares tenham ciência ou concordância.
Isso pode significar que dados pessoais sejam incorporados em modelos de IA sem base legal adequada, configurando infrações à LGPD. Outro ponto é a geração de conteúdo sintético contendo dados pessoais: sistemas de IA podem inadvertidamente produzir textos que incluam informações reais de indivíduos (extraídas dos dados de treinamento), violando privacidade e potencialmente prejudicando reputações.
Soma-se a isso o problema das “alucinações” da IA – respostas imprecisas ou fabricadas – que podem difundir informações falsas sobre pessoas, com consequências legais e de imagem. Diante desses riscos, os reguladores têm agido. Em 2024, a ANPD tomou uma medida pioneira ao ordenar a suspensão do uso de dados pessoais de usuários brasileiros pela Meta para treinar modelos de IA generativa.
Essa ação preventiva, motivada por mudança na política de privacidade do Facebook que passaria a usar informações “publicamente disponíveis” dos usuários em IA, sinaliza que a autoridade brasileira não hesitará em intervir contra tratamentos de dados considerados ilícitos ou excessivos.
Empresas que utilizam IA precisam, portanto, assegurar que bases legais adequadas amparam qualquer dado pessoal empregado em algoritmos e que práticas de anonimização e consentimento estejam em dia para evitar sanções.
No cenário internacional, destacam-se iniciativas regulatórias de grande impacto como o AI Act da União Europeia. Trata-se do primeiro marco legal abrangente sobre IA em uma grande economia, aprovado em 2024 e com vigência plena a partir de 2026.
O AI Act adota uma abordagem de gestão de risco, classificando sistemas de IA por níveis (desde risco mínimo até inaceitável) e impondo requisitos proporcionais. Modelos de Propósito Geral (GPAI), como as IAs generativas, ganham um capítulo especial: o regulamento estabelece a necessidade de governança, testes e salvaguardas robustas ao longo de todo o ciclo de vida desses sistemas.
Foram incluídas normas específicas para modelos de fundação que apresentem risco sistêmico, exigindo padrões elevados de segurança, transparência e controle.
Em suma, empresas que desenvolvem ou integram IA na UE terão que implementar medidas de compliance ativa, desde documentação e avaliação de impactos até mecanismos de supervisão humana, sob pena de multas severas (que podem chegar a dezenas de milhões de euros, similarmente ao GDPR).
Mesmo empresas fora da Europa podem ser afetadas – se oferecem produtos/serviços na UE envolvendo IA –, o que torna o AI Act uma referência obrigatória para qualquer C-level com atuação global. Paralelamente, organismos multilaterais como a OCDE vêm promovendo diretrizes para uma IA responsável.
Os Princípios de IA da OCDE, adotados inclusive pelo Brasil, foram atualizados em 2024 para acompanhar a evolução tecnológica. Esses princípios servem de base para políticas públicas e recomendam que desenvolvedores e usuários de IA assegurem transparência, robustez, segurança e responsabilidade nos sistemas de IA.
Iniciativas da OCDE buscam harmonizar conceitos e fomentar uma interoperabilidade regulatória entre países, de forma que termos e padrões comuns permitam cooperação internacional na gestão dos riscos da IA.
Governança e estratégias de segurança para IA generativa nas empresas
Diante desse cenário complexo, como a alta liderança deve responder? É papel de CEOs e CISOs desenvolver uma estrutura de governança e controle que permita colher os benefícios da IA generativa com riscos mitigados. Em 2024, pela primeira vez, IA (tradicional e generativa) entrou no top 5 de prioridades dos CISOs globais, refletindo a urgência de equilibrar inovação e segurança.
A seguir, destacamos estratégias-chave para orientar essa jornada de forma segura e em conformidade:
Política corporativa de uso de IA: Se a sua organização ainda não possui, é fundamental elaborar uma política de uso aceitável para IA generativa. Um estudo da Splunk mostrou que, embora 91% das equipes de segurança já utilizem ferramentas de IA públicas, 34% das empresas não estabeleceram diretrizes de uso. Essa lacuna é perigosa.
A política deve definir claramente quais dados os funcionários podem ou não submeter a modelos externos, prevenindo vazamento de informações confidenciais. Deve também cobrir orientações para desenvolvedores (por exemplo, exigindo revisão de código gerado por IA e proibindo confiar cegamente em sugestões de código).
Critérios de escolha de ferramentas (whitelists de IAs aprovadas, de preferência aquelas com recursos corporativos de privacidade) também são recomendados.
Envolver todas as partes interessadas na criação da política – não só segurança, mas jurídico, compliance, RH, entre outras áreas – garante uma visão multidisciplinar e aumenta a adesão.
Treinamento e conscientização: Assim como se treina funcionários contra phishing, deve-se capacitar o time para os novos riscos da era da IA. Promova workshops e materiais educativos sobre deepfakes e engenharia social avançada, ensinando como verificar a autenticidade de comunicações (por exemplo, adotando verificações adicionais para ordens sensíveis recebidas por áudio/vídeo).
Sensibilize desenvolvedores para os riscos de segurança ao usar assistentes de código: eles devem entender que a IA pode sugerir soluções elegantes, porém inseguras, e que é sua responsabilidade aplicar princípios de segurança no desenvolvimento. A cultura organizacional deve enfatizar que segurança é responsabilidade de todos, inclusive na adoção de novas ferramentas de IA.
Monitoramento ativo e ferramentas de detecção: Considere investir em soluções que ajudem a detectar conteúdo malicioso gerado por IA e atividades suspeitas.
Por exemplo, há ferramentas emergentes para identificar deepfakes em vídeos/áudios, verificar imagens sintéticas ou monitorar padrões anômalos de comunicação (detecção de linguagem ou estilo diferente em e-mails que possam indicar autoria por IA).
Na esfera de TI, implemente controles de DLP (Prevenção de Perda de Dados) ajustados para flagrar envios de informações sensíveis a serviços de IA na nuvem. Algumas empresas têm bloqueado ou filtrado transações com ferramentas genAI.
Adicionalmente, utilize scanners de código e análises de composição de software (SCA) para inspecionar bibliotecas ou trechos possivelmente gerados por IA, identificando vulnerabilidades conhecidas ou comportamento inesperado (como chamadas escondidas a endpoints externos). O uso de soluções de segurança alimentadas por IA também pode ser um trunfo defensivo – e muitas empresas estão apostando nisso: pesquisas no Brasil apontam que 97% dos profissionais já veem ferramentas de segurança habilitadas por IA como essenciais para defender a empresa, e 87% esperam que metade ou mais de suas soluções de cibersegurança incorporem IA nos próximos anos.
Governança e comitê de IA: Estabelecer uma estrutura de governança específica para IA auxilia no controle estratégico. Muitas organizações estão criando comitês ou grupos de trabalho interdisciplinares para supervisionar iniciativas de IA – envolvendo liderança de TI/Segurança, Data Science, Jurídico, Compliance e até representantes do conselho.
Esse comitê deve manter um inventário dos projetos de IA em andamento na empresa, avaliar riscos de cada um (inclusive realizando avaliações de impacto algorítmico e de proteção de dados), acompanhar a conformidade com legislações (LGPD, AI Act etc.) e definir padrões éticos para uso da tecnologia alinhados aos valores da organização.
Também deve planejar respostas para cenários de crise envolvendo IA, como um incidente de deepfake afetando a empresa ou vazamento de propriedade intelectual via modelos.
Planos de resposta e resiliência: Atualize os planos de resposta a incidentes e de continuidade dos negócios para contemplar ameaças vinculadas à IA. Simule, por exemplo, como sua equipe reagiria se um atacante usando IA sequestrar identidades digitais de executivos (deepfake) para ordenar transferências financeiras – os procedimentos de verificação em dois fatores ou callbacks de confirmação estão estabelecidos?
E se um código crítico em produção apresentar uma falha introduzida por IA, há processos ágeis de correção e rollback? Assim como se faz para ataques convencionais, inclua cenários envolvendo IA generativa.
Por fim, mantenha-se atualizado sobre inteligência de ameaças relacionadas à IA: novas técnicas de ataque e ferramentas surgem rapidamente, e a comunidade de segurança (incluindo CERTs, fóruns e publicações especializadas) é sua aliada para antecipar tendências. A flexibilidade e proatividade na resposta serão diferenciais para resiliência organizacional em um ambiente onde ameaças evoluem na velocidade da IA.
Panorama atual: dados que guiam a estratégia
Para respaldar a formulação dessas estratégias, é importante que os líderes considerem alguns dados recentes que dimensionam o impacto da IA generativa na segurança:
Adoção corporativa global: Em uma pesquisa da KPMG, mais de 70% dos executivos sêniores globais afirmaram que planejavam implementar alguma solução de IA generativa nos próximos anos. Ou seja, a maioria das organizações já está explorando ou usando IA – muitas vezes antes de existir uma estrutura clara de segurança para tal.
Prioridade para CISOs: Nos EUA, 96% dos CISOs declararam estar envolvidos ativamente na elaboração de políticas de segurança para IA generativa.
Esses números demonstram consenso de que gerenciar os riscos de IA não é opcional, mas parte central do mandato de segurança cibernética atual.
Crescimento de ameaças: Globalmente, projeções apontam que até o final de 2025 a maioria dos agentes de ameaça deve incorporar alguma forma de automação por IA em suas técnicas de ataque. Isso pressiona as defesas tradicionais e exige atualização constante das equipes e ferramentas.
Compliance e políticas: A maturidade em políticas de IA também tem aumentado. No Brasil, a ANPD vem intensificando orientações sobre IA e pode-se esperar regulamentações setoriais futuras alinhadas com padrões internacionais (OCDE, G7). Essa evolução mostra que governança de IA está se tornando padrão de boa prática corporativa.
Um novo mundo à frente
Para CEOs e CISOs, a mensagem é clara: é necessário engajamento direto e estratégico nesse tema. Significa compreender as capacidades e limitações dessas tecnologias, fomentar sua adoção responsável e antecipar riscos – seja ajustando a postura de cibersegurança, seja reforçando a cultura de compliance e ética digital.
Em termos práticos, isso se traduz em ações proativas: criar políticas robustas de IA, treinar pessoas, atualizar ferramentas e processos, e dialogar com o conselho e alta administração sobre apetite de risco tecnológico.
Como em qualquer revolução tecnológica, vencerão aqueles que se adaptarem com agilidade e responsabilidade, mantendo a visão estratégica de longo prazo sem negligenciar a proteção no presente. Em um mundo onde algoritmos escrevem códigos e forjam realidades, a governança diligente e a segurança por design nunca foram tão necessárias.