Estudo identifica vulnerabilidades associadas à IA entre os cinco principais riscos de cibersegurança nas organizações da União Europeia.Uso não supervisionado de ferramentas como ChatGPT e DeepSeek aumenta a preocupação com a exposição de dados confidenciais, enquanto as empresas aceleram a integração da tecnologia nos seus processos
A inteligência artificial (IA) está a consolidar-se como uma das principais preocupações de cibersegurança das empresas europeias. A crescente utilização destas ferramentas no ambiente profissional está a criar novas oportunidades para aumentar a produtividade, mas também abre espaço para vulnerabilidades relacionadas com a protecção de dados, a utilização indevida de informação e a falta de controlo sobre os sistemas adoptados pelos trabalhadores.
Um estudo do Kaspersky Internal Research Center coloca os riscos associados à inteligência artificial entre as cinco principais ameaças identificadas pelas organizações na União Europeia. De acordo com os resultados, 14% dos responsáveis pelas áreas de tecnologias de informação e segurança consideram a IA uma ameaça prioritária para as suas empresas.
A percentagem coloca os riscos associados à inteligência artificial numa posição próxima de ameaças informáticas mais tradicionais. Os ataques de phishing lideram a lista, com 22% das respostas, seguidos pelas campanhas massivas de malware, com 19%, pelos ataques de ransomware, com 16%, e pela exploração de vulnerabilidades de software, com 15%.
Os resultados demonstram que, embora a IA seja cada vez mais utilizada como ferramenta de trabalho, as organizações começam também a encarar os riscos relacionados com esta tecnologia como uma questão central das suas estratégias de segurança digital.
Shadow AI: o risco que nasce dentro das empresas
Uma das principais preocupações identificadas no estudo é a chamada Shadow AI, expressão utilizada para descrever a utilização de ferramentas de inteligência artificial sem autorização, supervisão ou controlo adequado por parte da organização.
O fenómeno ocorre quando os trabalhadores recorrem a plataformas externas de IA para realizar tarefas profissionais sem que os departamentos responsáveis pela segurança e pelas tecnologias de informação tenham conhecimento dessa utilização ou consigam controlar os dados partilhados.
Ferramentas como o ChatGPT e o DeepSeek podem ser utilizadas para resumir documentos, analisar informação, produzir relatórios, escrever código ou acelerar tarefas administrativas. No entanto, quando os trabalhadores introduzem informações empresariais nessas plataformas sem conhecer as condições de tratamento dos dados, podem expor conteúdos confidenciais a riscos desnecessários.
Segundo o estudo, 36% dos inquiridos identificam a utilização não supervisionada de ferramentas de IA como um risco frequente de fuga de informação confidencial. Este resultado coloca a Shadow AI entre as principais preocupações relacionadas com o comportamento dos próprios trabalhadores.
O problema não depende necessariamente da existência de um ataque informático tradicional. Uma fuga de informação pode ocorrer simplesmente quando um funcionário copia dados internos, informações financeiras, documentos de clientes ou código proprietário para uma ferramenta externa sem autorização.
A partir desse momento, a organização pode perder parte do controlo sobre a forma como os dados são processados, armazenados ou utilizados, dependendo das condições e das configurações do serviço. A gravidade do risco varia consoante a plataforma, o tipo de informação partilhada e as medidas de protecção existentes.
Por esse motivo, a adopção de ferramentas de IA exige regras claras sobre os conteúdos que podem ser introduzidos nos sistemas, bem como mecanismos que permitam às empresas identificar e prevenir utilizações inadequadas.
Palavras-passe e dispositivos pessoais continuam a ser vulnerabilidades
Apesar da atenção dedicada à inteligência artificial, o estudo mostra que outros comportamentos internos continuam a representar riscos significativos para as organizações.
A gestão irresponsável de palavras-passe foi identificada por 35% dos participantes como uma preocupação, enquanto 31% apontaram a utilização de dispositivos pessoais para actividades profissionais e armazenamento de dados empresariais.
A utilização de palavras-passe fracas, repetidas em diferentes serviços ou partilhadas de forma insegura pode facilitar o acesso não autorizado a contas e sistemas corporativos. Da mesma forma, os dispositivos pessoais podem representar um ponto vulnerável quando não dispõem de actualizações de segurança, encriptação ou mecanismos adequados de controlo.
Estes riscos tornam-se mais complexos quando se combinam com ferramentas de inteligência artificial. Um trabalhador pode, por exemplo, utilizar um dispositivo pessoal para aceder a documentos internos e, posteriormente, recorrer a uma plataforma externa para os analisar. Sem políticas adequadas, a organização poderá ter dificuldades em acompanhar o percurso da informação e determinar se ocorreu uma exposição indevida.
O estudo evidencia, assim, que a segurança empresarial não depende exclusivamente da tecnologia instalada nos sistemas. O comportamento dos trabalhadores, a gestão dos acessos e a aplicação consistente das regras internas continuam a desempenhar um papel determinante na prevenção de incidentes.
Empresas autorizam a IA, mas procuram impor limites
Apesar das preocupações, as organizações europeias não estão a abandonar a inteligência artificial. Pelo contrário, muitas procuram estabelecer condições para permitir a utilização da tecnologia sem comprometer a segurança dos seus dados.
De acordo com os resultados apresentados, 70% das empresas europeias permitem a utilização de ferramentas externas de IA, mas aplicam restrições técnicas e proíbem a partilha de determinados documentos internos.
Esta abordagem procura equilibrar os benefícios da tecnologia com a necessidade de proteger informações estratégicas, dados pessoais e outros conteúdos sensíveis. Em vez de bloquear todas as ferramentas, as empresas procuram definir quais os serviços autorizados, que tipos de informação podem ser utilizados e quais as actividades que exigem supervisão adicional.
O estudo indica, contudo, que 21% das organizações permitem o uso de ferramentas externas sem limites técnicos, confiando essencialmente nas políticas internas para orientar os trabalhadores. Outros 8% optam pela proibição total destas ferramentas.
A diferença entre estas abordagens revela que as empresas ainda estão a encontrar um modelo de governação adequado à rápida evolução da IA. A proibição pode reduzir determinados riscos, mas também limitar oportunidades de inovação e incentivar a utilização informal de ferramentas não autorizadas. Por outro lado, permitir o acesso sem controlos técnicos pode deixar a organização dependente da capacidade dos trabalhadores para reconhecer situações potencialmente perigosas.
Uma política eficaz exige, por isso, mais do que autorizar ou proibir ferramentas. É necessário estabelecer orientações compreensíveis, disponibilizar alternativas aprovadas, formar os trabalhadores e aplicar medidas técnicas que reduzam a possibilidade de exposição de dados.
A adopção da inteligência artificial continua a crescer
A identificação de novos riscos não está a travar a integração da IA nas empresas europeias. Segundo o estudo, 83% das organizações estão a avaliar, desenvolver ou implementar ferramentas internas baseadas em grandes modelos de linguagem, conhecidos pela sigla inglesa LLM (Large Language Models).
Estes sistemas conseguem processar e produzir texto, resumir documentos, responder a perguntas e apoiar diferentes tarefas profissionais. Quando integrados nos sistemas empresariais, podem ajudar a automatizar processos, facilitar o acesso à informação e reduzir o tempo necessário para executar determinadas actividades.
Entre as organizações abrangidas pelo estudo, 14% afirmam já ter soluções de IA integradas nos seus negócios. As aplicações procuram melhorar a eficiência operacional, reforçar o atendimento ao cliente e reduzir falhas humanas em determinadas tarefas.
A diferença entre as empresas que ainda estão a avaliar ou desenvolver soluções e aquelas que já as integraram demonstra que a adopção não ocorre ao mesmo ritmo em todas as organizações. A implementação exige investimento, preparação técnica, definição de objectivos e avaliação dos riscos associados aos sistemas utilizados.
A criação de soluções internas pode permitir um maior controlo sobre os acessos e os dados utilizados, embora não elimine todos os riscos. Os sistemas empresariais continuam a necessitar de protecção contra acessos indevidos, erros de configuração, utilização abusiva e respostas incorrectas produzidas pelos modelos.
À medida que a IA passa da fase experimental para actividades centrais das empresas, a segurança deixa de ser uma preocupação limitada aos departamentos informáticos e passa a fazer parte das decisões de gestão, investimento e organização do trabalho.
Inteligência artificial também pode reforçar a defesa digital
Para Vladislav Tushkanov, responsável pelo Kaspersky AI Technology Research Center, uma protecção eficaz exige uma abordagem abrangente, incluindo a utilização da própria inteligência artificial para reforçar as defesas contra ameaças informáticas.
A tecnologia pode ajudar a analisar grandes volumes de dados, identificar comportamentos suspeitos e detectar padrões que seriam difíceis de reconhecer manualmente. Quando integrada em sistemas de segurança, pode apoiar a identificação de actividades anormais e acelerar a resposta a incidentes.
Entre as recomendações apresentadas estão os sistemas de detecção e resposta em tempo real, complementados por plataformas de inteligência de ameaças capazes de processar informação de forma automatizada. Estas ferramentas podem ajudar as equipas de segurança a compreender o contexto de um ataque, priorizar alertas e tomar decisões com maior rapidez.
Ainda assim, a utilização da IA na defesa digital não dispensa a supervisão humana. Os sistemas automatizados podem produzir falsos alertas, não identificar determinadas ameaças ou interpretar incorrectamente alguns acontecimentos. A eficácia depende da qualidade dos dados, da configuração das ferramentas e da capacidade dos profissionais para avaliar os resultados.
As organizações precisam também de garantir que os sistemas de segurança utilizados para proteger os seus dados não introduzem novas vulnerabilidades. A integração de diferentes ferramentas deve ser acompanhada por regras de acesso, actualizações regulares, auditorias e procedimentos para responder a falhas.
O desafio de conciliar inovação e segurança
Os resultados do estudo mostram que a inteligência artificial está a transformar simultaneamente as oportunidades de negócio e o panorama das ameaças digitais na Europa. A mesma tecnologia que pode aumentar a produtividade e simplificar operações também pode criar novas vias de exposição de informação quando é utilizada sem controlos adequados.
Para as empresas, o desafio consiste em evitar que a velocidade de adopção ultrapasse a capacidade de gerir os riscos. Isso implica definir políticas claras para o uso da IA, formar os trabalhadores, limitar a partilha de informação sensível e garantir que as ferramentas autorizadas cumprem os requisitos de segurança da organização.
A preparação também exige uma avaliação contínua dos sistemas utilizados, uma vez que as capacidades das ferramentas e as técnicas de ataque evoluem rapidamente. As regras estabelecidas hoje podem precisar de ser revistas à medida que surgem novos serviços, funcionalidades e formas de exploração.
A inteligência artificial deverá continuar a ganhar espaço nos processos empresariais, mas a sua integração sustentável dependerá da capacidade das organizações para combinar inovação, controlo e responsabilidade. Os dados apresentados pelo Kaspersky Internal Research Center indicam que a segurança da IA já não pode ser tratada como uma questão secundária: tornou-se parte essencial da gestão do risco digital nas empresas europeias.
