Menos de uma em cada dez organizações consegue travar os riscos da IA antes que seja demasiado tarde

Atualmente, os agentes de IA gerem identidades, alteram registos e implementam código de forma humana. No entanto, esta integração não foi acompanhada por um nível de proteção equivalente. A maioria das arquiteturas de segurança atuais continua assente num paradigma concebido para processos previsíveis e intervenientes humanos, criando uma lacuna crítica: estamos a governar a IA com base em alicerces pré-IA que não estão preparados para a autonomia das máquinas.

Esta urgência reflete-se no Relatório de Risco e Preparação para a IA 2026, da Netskope. Os dados revelam uma contradição preocupante: embora 73% das organizações já utilizem IA nos seus ambientes de produção, apenas 7% dispõem de uma governação madura, com controlos técnicos em tempo real. Este "défice estrutural" levou 39% das empresas a admitir que já sofreram incidentes graves de fuga de dados sensíveis. Um dos riscos mais significativos é a Shadow AI (IA na sombra), em que as equipas adotam serviços por iniciativa própria, concedendo permissões alargadas sem protocolos claros sobre a localização dos dados ou a delegação de decisões.

Perante este cenário, a resposta passou pelo aumento do investimento: nove em cada dez organizações reforçaram os seus orçamentos específicos para a segurança da IA. No entanto, mais investimento não significa necessariamente maior tranquilidade. O problema não reside na falta de recursos, mas sim na ausência de uma abordagem estratégica. Grande parte do investimento continua a reforçar mecanismos de defesa tradicionais, concebidos para monitorizar fluxos lineares de dados, enquanto a IA atua de forma semântica. As ferramentas que apenas detetam padrões sintáticos tornam-se ineficazes perante modelos capazes de resumir documentos confidenciais, preservando o seu significado, mas alterando completamente a formulação.

A visibilidade continua a ser um dos maiores pontos fracos. As equipas de segurança admitem não conseguir distinguir, com precisão, a utilização de contas corporativas e pessoais nas mesmas plataformas. Nesta falta de transparência, as políticas de auditoria e de proteção de dados perdem eficácia. Os sistemas tradicionais de Data Loss Prevention (DLP) raramente conseguem detetar uma fuga de informação quando uma IA transforma o conteúdo, mantendo intacto o seu significado confidencial. A isto junta-se o crescimento dos agentes autónomos com permissões de escrita sobre caixas de correio eletrónico e repositórios. Estes agentes podem criar contas de serviço ou abrir automaticamente portas de acesso externo. Apesar deste nível de autonomia, os modelos Zero Trust continuam centrados no utilizador humano, ignorando as identidades não humanas (Non-Human Identities – NHI).

Hoje, a segurança da IA continua a depender de um verdadeiro "sistema de honra": políticas documentadas e verificações realizadas apenas após a ocorrência dos factos. Os controlos no momento da ação continuam a ser uma minoria e, na maioria dos casos, limitam-se a bloqueios genéricos. Para colmatar esta lacuna, é essencial seguir quatro passos:

1. Recuperar a visibilidade total: Diferenciar as contas pessoais das corpo- rativas, monitorizando toda a atividade da IA para aplicar políticas consistentes.

2. Implementar proteção semântica: Compreender o significado e o con- texto da informação transformada, evitando fugas de dados através de paráfra- ses ou resumos.

3. Alargar o Zero Trust às máquinas: Integrar os agentes autónomos e as chaves de API (NHI – Non-Human Identities) no mesmo modelo de controlo aplicado aos utilizadores humanos.

4. Ativar controlos preventivos em tempo real: Implementar mecanismos de aprovação que interceptem ações de risco imediatamente antes da sua execução.​

As capacidades técnicas necessárias já existem. O verdadeiro desafio estratégico passa por reconhecer que a IA deixou de ser uma experiência para se tornar uma nova categoria de agente autónomo, obrigando as organizações a repensar a segurança desde os seus alicerces.

Conteúdo co-produzido pela MediaNext e pela Netskope