O uso do ChatGPT nas empresas cresce rapidamente, mas a falta de cuidado com o que se digita pode expor dados sensíveis. Entenda os riscos e como mitigá-los com uma abordagem executiva.
Em um cenário empresarial cada vez mais orientado por dados, a adoção de ferramentas de inteligência artificial generativa, como o ChatGPT, tornou-se uma via de mão dupla. De um lado, a promessa de produtividade e inovação; de outro, riscos significativos à segurança da informação. A notícia publicada pelo TechTudo, intitulada "10 coisas que você nunca deve digitar no ChatGPT para proteger sua segurança", traz à tona um alerta crucial: o que os usuários corporativos digitam nessas plataformas pode se tornar uma vulnerabilidade crítica.
Este artigo da WSVP Executive News analisa a fundo as implicações dessa orientação para empresas, oferecendo uma leitura executiva e recomendações práticas para que líderes de TI, segurança e governança possam navegar com segurança nesse novo paradigma.
O que aconteceu
O TechTudo publicou um guia prático listando dez categorias de informações que não devem ser inseridas no ChatGPT. Entre elas, destacam-se dados pessoais sensíveis, credenciais de acesso, informações financeiras, segredos comerciais, código-fonte proprietário, documentos internos confidenciais, informações de saúde, dados de clientes, números de documentos oficiais e até mesmo conversas que possam revelar vulnerabilidades de infraestrutura. A matéria ressalta que, embora a OpenAI tenha políticas de privacidade, os dados inseridos podem ser usados para treinamento de modelos, a menos que o usuário opte por desativar esse recurso, e que há riscos de vazamento em caso de violação de segurança ou de uso indevido por terceiros.
Essa orientação não é apenas um conselho para usuários individuais; ela ecoa diretamente nas práticas corporativas. Muitas empresas, na corrida para adotar IA, negligenciam a criação de políticas claras sobre o uso de ferramentas generativas, expondo-se a riscos legais, financeiros e reputacionais.
Por que isso importa para empresas
Para as organizações, o ChatGPT e outras IAs generativas representam uma dualidade: são ferramentas poderosas para automação, análise de dados e suporte à decisão, mas também são vetores potenciais de vazamento de informações. Quando um funcionário cola um trecho de código-fonte proprietário ou uma planilha com dados de clientes no ChatGPT, esses dados podem ser processados em servidores externos, muitas vezes fora do controle da empresa. Isso viola princípios básicos de confidencialidade e pode colidir com regulamentações como a LGPD, no Brasil, e o GDPR, na Europa.
Além disso, a informação inserida pode ser incorporada ao modelo e, potencialmente, ser reproduzida em respostas a outros usuários, criando um risco de exposição indireta. Um estudo da Cyberhaven, citado em análises de segurança, mostrou que cerca de 4% dos funcionários colaram dados confidenciais no ChatGPT, e que 11% desses dados eram informações sensíveis. Esse número, embora pareça pequeno, representa uma ameaça real quando se considera o volume de dados corporativos.
O impacto vai além da segurança: há questões de propriedade intelectual, conformidade e confiança do cliente. Uma empresa que não protege seus dados pode perder contratos, sofrer ações judiciais e ter sua reputação arruinada.
Impacto para cibersegurança, governança, IA ou continuidade
No âmbito da cibersegurança, o uso indiscriminado do ChatGPT amplia a superfície de ataque. Os dados inseridos podem ser interceptados durante a transmissão, se não houver criptografia adequada, ou podem ser alvo de ataques de engenharia social, onde um funcionário é induzido a compartilhar informações confidenciais com o modelo, sem perceber que está violando políticas.
Em termos de governança, a falta de políticas claras sobre o uso de IA generativa é um vácuo perigoso. As empresas precisam estabelecer diretrizes que definam o que pode ou não ser inserido, quem tem autorização para usar essas ferramentas e como os dados devem ser tratados. Isso inclui a implementação de controles técnicos, como DLP (Data Loss Prevention), e a realização de treinamentos regulares de conscientização.
Para a continuidade dos negócios, um vazamento de dados pode interromper operações, gerar multas e causar danos irreparáveis. A confiança dos stakeholders é um ativo intangível que, uma vez perdido, é difícil de recuperar.
Leitura executiva da WSVP
A WSVP enxerga essa situação como um chamado para a alta liderança. Não se trata de proibir o uso de IA, mas de governá-lo. As empresas que adotarem uma postura proativa, criando políticas robustas e investindo em soluções de segurança específicas para IA, estarão à frente da concorrência. A IA generativa é uma ferramenta estratégica, mas seu uso deve ser tão cuidadoso quanto o manuseio de qualquer outro ativo corporativo.
Recomendamos que os executivos vejam o guia do TechTudo não como uma lista de proibições, mas como um ponto de partida para uma discussão mais ampla sobre segurança da informação na era da IA. A pergunta não é "devemos usar?", mas sim "como usar com segurança?".
Recomendações práticas
- Estabeleça uma política de uso de IA: Crie um documento formal que defina o que é permitido e o que é proibido, incluindo exemplos claros de informações sensíveis.
- Implemente controles técnicos: Utilize soluções de DLP que possam identificar e bloquear o envio de dados confidenciais para ferramentas externas.
- Treine seus funcionários: Realize workshops e campanhas de conscientização sobre os riscos do uso inadequado de IA, usando exemplos reais.
- Configure as opções de privacidade: No caso do ChatGPT, desative o uso de dados para treinamento e utilize as versões empresariais que oferecem maior controle.
- Monitore e audite: Mantenha logs de uso e realize auditorias periódicas para identificar comportamentos de risco.
- Adote uma abordagem de confiança zero: Trate toda interação com IA como potencialmente sensível, aplicando o princípio do menor privilégio.
- Consulte especialistas: Envolva o time de segurança e jurídico na definição das políticas, garantindo conformidade com a LGPD e outras leis.
Fontes consultadas
- TechTudo - 10 coisas que você nunca deve digitar no ChatGPT
- Cyberhaven - 4.2% of workers have pasted confidential data into ChatGPT
- OpenAI Privacy Policy
Disclaimer: Este rascunho foi produzido com apoio de inteligência artificial e ainda requer revisão humana antes da publicação.