Vivemos uma era de hipervisibilidade informacional. Cada e-mail enviado, cada login realizado, cada clique do usuário corporativo deixa um rastro que pode ser interpretado, correlacionado, modelado e, eventualmente, explorado. A segurança da informação não é mais um sistema de contenção rígida, uma muralha em torno do perímetro digital mantendo as ameaças externas do lado de fora.
A nova conjuntura de segurança da informação é uma disputa constante entre sistemas adaptativos, flexíveis e perigosamente metamórficos. Isso faz com que ameaças e defensores estejam, o tempo todo, numa dança enérgica cuja batida que dita o passo é, justamente, a velocidade de adaptação.
Nesse novo campo de batalha, em que ser o mais rápido pode determinar o vencedor, a Inteligência Artificial desponta não apenas como uma das principais armas, mas também como um dos mais perigosos vetores de risco.
Se, por um lado, a IA permite monitoramento em tempo real, resposta autônoma a incidentes, detecção de anomalias comportamentais e análises preditivas de ameaças, por outro, ela também se tornou instrumento para ataques mais sofisticados, personalizados e silenciosos. É a sentinela e o invasor, a armadura e a brecha, a guardiã e a ameaça.
Sam Altman, CEO da OpenAI, alertou em entrevista à CNN, já em julho de 2025, que é apavorante a quantidade de instituições financeiras cujos mecanismos de autenticação, inclusive de reconhecimento de voz, já são facilmente ultrapassados por tecnologias relativamente acessíveis de IA. Isso significa que não estamos mais falando de ameaças futuras, mas de um cenário real e contemporâneo, em que a IA já é capaz de burlar certos sistemas de segurança da informação sem apoio de tecnologias auxiliares.
Ferramentas de inteligência artificial já vêm alterando profundamente a dinâmica da segurança cibernética. Hoje, soluções como plataformas de SOAR (Security Orchestration, Automation and Response), UEBA (User Entity Behavior Analytics), SIEM (Security Information and Event Management) com correlação avançada de eventos, além de sistemas de detecção de malware baseados em aprendizado de máquina, tornaram-se parte do cotidiano de muitas organizações. Em comum, todas elas buscam encurtar o tempo entre a identificação de uma ameaça e a resposta, além de extrair aprendizados contínuos de cada incidente, antecipando padrões emergentes ou crescentes de ataque.
Mas há um preço embutido nesse avanço. Ao confiarmos camadas cada vez mais sensíveis de vigilância a modelos algorítmicos, corremos o risco de cultivar uma perigosa ilusão de controle. Isso porque, muitas vezes, não compreendemos como essas tecnologias operam, e tampouco conseguimos explicar os critérios que norteiam suas decisões. E é aí que esbarramos em um dos pilares centrais da Governança Algorítmica: a transparência.
Chama-se Opacidade Algorítmica o fenômeno em que os próprios operadores deixam de saber como e por que determinadas decisões são tomadas por sistemas automatizados. Seja em razão da complexidade técnica do modelo, seja pelo acúmulo de camadas de decisão interligadas, o resultado é o mesmo: perde-se a capacidade de traçar uma linha clara entre causa e consequência, entre entrada e saída, entre input e output.
E se, de um lado, a IA fortalece nossa capacidade de defesa, do outro ela também potencializa as técnicas de ataque. Modelos generativos, como os LLMs, já vêm sendo usados para redigir e-mails de phishing com precisão alarmante, gerar código malicioso sob demanda, contornar filtros de segurança, manipular usuários com mensagens emocionalmente calibradas e, não menos grave, burlar autenticações antes consideradas seguras.
Para além disso, surge um novo tipo de risco invisível, a Shadow AI. Ferramentas de IA utilizadas por colaboradores sem homologação, sem supervisão e fora das diretrizes da TI. Um parecer redigido com ajuda de um chatbot externo, um e-mail com dados sensíveis revisado em uma plataforma pública, uma análise de riscos rascunhada com apoio de um modelo que armazena prompts em servidores fora do país. A governança não alcança o que não vê.
Mais alarmante ainda, até mesmo tecnologias homologadas podem ocultar funcionalidades algorítmicas não declaradas. Um sistema de RH pode aplicar filtros de IA sem que o usuário saiba. Um CRM pode automatizar respostas com base em perfis inferidos. A IA está presente até quando não parece estar. E isso torna o mapeamento e o controle ainda mais desafiadores.
Tudo isso é de máxima importância, justamente porque já sabemos que quando dados são expostos, não apenas a confidencialidade é comprometida, a marca sofre, e cliente também. A relação entre esses três ativos é simbólica e concreta. É a percepção de segurança que sustenta a confiança.
Em um cenário em que pareceres técnicos, relatórios analíticos e posicionamentos institucionais podem ser gerados por IA, emerge um novo dilema, a erosão da autoria. Se ninguém assina, ninguém se responsabiliza. O texto pode parecer legítimo, mas é fruto de bilhões de fragmentos estatísticos, reunidos sem contexto, sem identidade, sem responsabilização rastreável.
Quando um cliente ou órgão regulador exige esclarecimentos, a organização se vê diante de um paradoxo, a informação saiu da empresa, mas não foi escrita por ela. A marca sangra em silêncio. A governança para além da retórica envolve tornar visível para poder gerir.
Enfrentar esses riscos exige maturidade institucional. Não basta proibir. Tampouco basta celebrar a inovação como valor absoluto. É preciso construir diretrizes claras sobre quais ferramentas de IA podem ser utilizadas, com quais dados, por quais funções e com quais finalidades, sob quais mecanismos de monitoramento, revisão e auditoria.
Frameworks como as ISO/IEC 27001, 42001, 24027 ou o NIST AI RMF podem e devem orientar esse processo. Mas antes de tudo, é preciso nomear o problema. Não se controla o que não se reconhece, e o nome do problema é Governança Algorítmica.
Portanto, a IA é, ao mesmo tempo, nossa mais poderosa ferramenta de proteção e nossa superfície de ataque mais insidiosa. Ela não representa o bem ou o mal, representa poder. Um poder que pode ser instrumentalizado por ambos os lados. Enfrentá-lo exige mais do que temor ou entusiasmo, exige entendimento, domínio e presença. Porque a batalha da segurança cibernética não é vencida com sorte, mas com preparo. E, como diz o ditado, não se leva uma faca para uma briga de armas.
