O uso de IA nas empresas está crescendo mais rápido do que as equipes de segurança conseguem acompanhar. O relatório AI Security Report 2026 da Zscaler, que se baseou em cerca de 9.000 organizações, constatou que as transações aumentaram 83% e que as transferências de dados para aplicações de IA dispararam 93% em 2025. Uma parcela crescente desse uso acontece fora da aprovação formal, por meio de IA paralela (shadow AI), recursos embutidos e agentes.

As empresas estão incorporando ferramentas de inteligência artificial mais rápido do que suas equipes de segurança conseguem rastreá-las, e uma fatia crescente dessa atividade ocorre fora dos canais formais de aprovação. Um novo relatório da empresa de segurança em nuvem Zscaler traz números que dimensionam o problema.

Qual é a velocidade de crescimento do uso de IA nas empresas?

O relatório ThreatLabz 2026 AI Security Report, da Zscaler, reúne quase um trilhão de transações de IA e aprendizado de máquina geradas por cerca de 9.000 organizações ao longo de 2025. As transações na plataforma cresceram 83% em relação ao ano anterior. O número de aplicações que geram esse tráfego quase quadruplicou, ultrapassando 3.400.

O lado dos dados está crescendo ainda mais rápido. A Zscaler constatou que as transferências de dados para aplicações de IA e aprendizado de máquina dispararam 93% em 2025. A empresa também contabilizou 410 milhões de violações de políticas de prevenção contra perda de dados relacionadas somente ao ChatGPT. Essas violações incluíram tentativas de compartilhar números de Seguridade Social, código-fonte e prontuários médicos.

A IA está aparecendo em ferramentas que os funcionários já utilizam e confiam

A visão tradicional da IA corporativa é a de uma plataforma aprovada ou de um copiloto fornecido pela empresa, para o qual a equipe recebeu treinamento. Essa visão está incompleta. A IA também chega por meio de recursos incorporados a softwares que a empresa já aprovou, por interfaces de programação de aplicações que conectam serviços de IA a sistemas internos e por agentes autônomos que executam tarefas por conta própria.

O Agentic Enterprise Index, da Salesforce, oferece uma medida dessa mudança. Entre fevereiro de 2025 e abril de 2026, os clientes da Salesforce com agentes em produção mais que dobraram sua força de trabalho de IA agêntica.

A IA paralela acrescenta outra camada. Um funcionário pode instalar uma ferramenta não autorizada para agilizar uma tarefa, muitas vezes sem entender como ela trata os dados. Em outros casos, uma aplicação aprovada lança um recurso de IA, e a equipe passa a usá-lo sem tratá-lo como um novo sistema que precisa de análise. Uma pesquisa da Gartner com 302 líderes de cibersegurança constatou que 69% afirmaram que suas organizações suspeitam ou têm evidências de que funcionários estão usando IA generativa pública proibida.

Por que a IA paralela é difícil de rastrear para as equipes de segurança?

Esse é um problema para o monitoramento convencional. Os inventários de aplicações são construídos com base em softwares formalmente instalados ou adquiridos. Uma extensão de navegador ou um recurso que é ativado dentro de uma aplicação existente pode escapar totalmente dessa lista.

A visibilidade precisa alcançar os dados e as permissões

Saber quais ferramentas de IA existem é apenas parte do trabalho. As equipes de segurança também precisam saber quais informações entram nessas ferramentas e a que elas podem ter acesso após serem conectadas. Os prompts podem conter códigos proprietários ou dados de clientes. O envio de um único arquivo pode expor um documento inteiro que o funcionário nunca pretendeu compartilhar.

Os agentes de IA elevam os riscos. Seu alcance frequentemente se estende a quaisquer aplicações e permissões por trás deles. Saber que uma ferramenta usa IA diz pouco sobre se ela pode extrair dados de um banco de dados de clientes, gravar em um drive compartilhado ou repassar dados a outros serviços.

O que as equipes de segurança devem monitorar além das ferramentas de IA?

A Zscaler argumenta que a descoberta eficaz exige o rastreamento dos fluxos de dados e das permissões, além das próprias ferramentas. Segundo a visão do relatório, o risco real está no que a IA pode acessar e movimentar, e não apenas em sua presença.

O relatório também faz ressalvas contra restrições generalizadas. Bloquear a IA tende a empurrar o uso para a clandestinidade, em vez de reduzi-lo. Uma equipe de marketing que usa um assistente de escrita aprovado para conteúdo público representa um risco diferente de um agente com acesso a registros financeiros, e as regras devem refletir essa diferença. A Zscaler afirma que os controles devem depender do usuário, da aplicação, da sensibilidade dos dados, do nível de permissão e do caso de uso.

Essa abordagem se conecta aos princípios de Zero Trust que muitos programas de segurança já seguem: verificar continuamente, conceder acesso com base no contexto e nunca confiar por padrão. A empresa afirma que a descoberta de IA precisa ser um processo contínuo, e não uma auditoria pontual, porque novas capacidades continuam surgindo em softwares existentes e os agentes assumem papéis cada vez mais autônomos.

Para os líderes de segurança, a mensagem é que as políticas de governança só são tão fortes quanto a visibilidade que as sustenta. Sem uma visão atualizada de quais ferramentas, aplicações e agentes operam em toda a empresa, a aplicação dessas políticas se torna um exercício de adivinhação.

Este artigo foi escrito com a assistência de IA.
News Factory APP - notícias agênticas para impulsionar seu SEO e AEO.