Segurança de dados e IA: o que sua empresa precisa entender antes de escalar

A adoção de inteligência artificial nas empresas não é mais uma tendência, e sim uma operação quase que diária. Mas há um detalhe que muita gente ainda trata como secundário: a velocidade com que a IA está sendo adotada é bem maior do que a velocidade com que as empresas estão aprendendo a governá-la.

Esse descompasso tem nome, tem números e, cada vez mais, tem consequência regulatória. Reunimos dados de relatórios recentes do tema para entender o tamanho real desse risco e o que, na prática, ajuda a evitá-lo.

O tamanho do problema, em números

O Cost of a Data Breach Report 2025, da IBM em parceria com o Ponemon Institute, é uma das pesquisas mais robustas sobre o tema. Foram analisados mais de 6 mil incidentes de segurança ao redor do mundo. Alguns achados chamam atenção:

• 13% das organizações relataram ter sofrido violações envolvendo modelos ou aplicações de IA.
• Entre as empresas que sofreram esse tipo de incidente, 97% não tinham controles de acesso adequados para seus sistemas de IA.
• 63% das organizações atingidas não possuíam nenhuma política de governança de IA.
• O uso de "shadow AI", ferramentas de IA usadas por funcionários sem aprovação da empresa, esteve presente em parte relevante dos casos e adicionou, em média, US$ 670 mil ao custo de cada violação.

Ou seja: o problema raramente é a tecnologia em si. É a ausência de regras claras sobre quem acessa o quê, com quais dados, e sob qual supervisão.

Um gap de confiança maior do que parece

Outro ponto que aparece com frequência em pesquisas do setor é a distância entre o que as empresas acham que estão fazendo e o que, de fato, está implementado. Análises da Deloitte e da Gartner, por exemplo, apontam uma diferença expressiva entre o percentual de executivos que afirma ter rastreamento completo do uso de IA na empresa e o percentual de organizações que efetivamente possui estruturas de governança em funcionamento. Um gap que, segundo essas análises, chega a ser de três vezes ou mais.

Esse tipo de excesso de confiança é perigoso justamente porque cria uma falsa sensação de controle, exatamente quando as equipes estão abrindo mais dados para os modelos de IA do que nunca.

O que isso significa no Brasil

Se no cenário internacional a preocupação já é grande, no Brasil ela ganha um componente a mais: fiscalização ativa. A Autoridade Nacional de Proteção de Dados (ANPD) incluiu sistemas de inteligência artificial entre as ferramentas prioritárias a serem fiscalizadas nos próximos dois anos 2026 - 2027, com dezenas de ações previstas, especialmente em aplicações que lidam com dados sensíveis ou decisões automatizadas.

Vale reforçar um ponto que muitas empresas ainda subestimam: a LGPD não trata um banco de dados tradicional de forma diferente de um dataset usado para treinar modelos de IA. As mesmas obrigações: base legal, finalidade, transparência, direito de revisão sobre decisões automatizadas... se aplicam integralmente. A ANPD já publicou orientações técnicas específicas sobre o tema, reforçando que governança de dados deixou de ser boa prática e passou a ser exigência formal.

Na prática, isso quer dizer que qualquer empresa usando IA para automatizar atendimento, análise de clientes, scoring ou tomada de decisão precisa conseguir responder, a qualquer momento: de onde vêm os dados, quem pode acessá-los, e como uma decisão foi gerada.

Governança não é burocracia, é o que sustenta o valor da IA

Um princípio que vem ganhando força entre especialistas do setor de dados é simples de entender, mesmo sem ser especialista técnico: em vez de transferir dados sensíveis para fora do ambiente da empresa para "alimentar" a IA, a lógica mais segura é levar a IA até onde os dados já estão, sendo assim, mantendo a propriedade e o controle sobre eles.

Essa abordagem se apoia em alguns pilares que aparecem repetidamente em relatórios do setor (incluindo uma entrevista recente publicada pelo The Rundown AI com um executivo da Cloudera sobre o tema):

• Controle de acesso granular: definir exatamente quem, ou qual sistema, pode consultar cada tipo de dado.
• Catalogação de dados: saber o que existe, onde está e qual sua sensibilidade, antes de qualquer modelo de IA acessá-lo.
• Linhagem de dados (data lineage): acompanhamento da origem das informações, do caminho que elas percorrem e de como influenciam as respostas e decisões geradas pela IA.
• Governança desde o início do projeto: e não como remendo depois que o sistema já está em produção.

Esses quatro pontos, combinados, são o que separa uma empresa que usa IA com confiança de uma empresa que está apenas torcendo para não ter problemas.

Por que isso importa para o seu negócio

Segurança de dados e compliance em IA não são assuntos para deixar para "depois que a empresa crescer”, são o que garante que ela consiga crescer com IA sem colocar em risco a confiança de clientes, parceiros e reguladores. As empresas que tratam governança como parte do projeto desde o primeiro dia tendem a serem mais estratégicas em usufruir a tecnologia, com menos exposição e mais previsibilidade. Inclusive diante de um cenário regulatório brasileiro que está, comprovadamente, mais atento do que nunca.

Fontes consultadas:

• IBM & Ponemon Institute - Cost of a Data Breach Report 2025 (ibm.com/reports/data-breach)
• The Rundown AI - Exclusive: The Enterprise AI Playbook (therundown.ai)
• Autoridade Nacional de Proteção de Dados (ANPD) - Nota Técnica nº 12/2025 e prioridades de fiscalização 2026–2027
• Análises setoriais Deloitte e Gartner sobre maturidade de governança de IA

‍