Vazamento de dados em IA generativa: o incidente que acontece sem invasor

O incidente que não aciona alarme nenhum

Sou auditor de sistemas críticos, e a pergunta que mais ouço de quem responde por risco numa empresa grande é sobre invasão: firewall, antivírus, controle de acesso. Vazamento de dados em IA generativa não entra em nenhuma dessas categorias clássicas e continua sendo o ponto mais frágil do momento. Ele acontece quando alguém autorizado, usando o próprio computador da empresa, cola um contrato, um prontuário ou uma planilha de clientes numa ferramenta como ChatGPT, Gemini ou Copilot para resolver uma tarefa rápida. Nenhuma invasão, nenhuma falha técnica, nenhum alarme.

Por que a segurança tradicional não vê isso

A segurança da informação clássica foi desenhada contra um adversário externo. Alguém que invade, rouba credencial, explora falha. O vazamento de dados em IA generativa costuma vir de dentro, de gente que não quer causar dano nenhum. É esse formato que faz o incidente passar meses sem ser percebido: nenhum firewall dispara, porque não existe nada para bloquear num funcionário digitando um texto numa caixa de chat que o navegador acessa normalmente, como acessaria qualquer site de trabalho.

O que a LGPD já cobra, antes do incidente acontecer

A LGPD não pergunta quem errou primeiro. Pergunta quem controla a finalidade do tratamento daquele dado, e quem decide isso é a empresa, não o funcionário que escolheu o canal. A lei obriga os agentes de tratamento a adotar medidas de segurança técnicas e administrativas capazes de proteger o dado contra acesso não autorizado, desde a concepção do processo. A responsabilidade nasce exatamente aí: a lei cobra prevenção antes do fato, não desculpa depois dele.
Um número ajuda a medir o tamanho real do risco. Segundo a Netskope, 64% das violações de política de dados ligadas a IA generativa no Brasil envolvem informação sensível ou regulada. Não veio de ataque sofisticado. Veio de uso comum, repetido, dentro do horário de trabalho, pela ferramenta que o navegador abriu numa aba sem ninguém pedir permissão.
A fiscalização desse ponto deixou de ser hipotética. A ANPD publicou um mapa de temas prioritários para o biênio 2026-2027 em que IA e tecnologias emergentes ocupam um eixo próprio. Das 75 fiscalizações planejadas, 20 são dedicadas a esse tema, concentradas em 2027.

O que funciona, e o que é teatro

Eu desconfio de qualquer plano de prevenção que termine no treinamento e na assinatura de um termo de uso. Nenhum dos dois funciona no momento em que a pessoa está sob prazo, tentando entregar algo rápido, às onze da noite. Política escrita não impede ninguém de colar um dado numa ferramenta de IA generativa quando o prazo aperta.
O que funciona é controle técnico combinado com processo, nunca um substituindo o outro. A ISO 42001 trata isso dentro do controle de proteção de dados de IA, que cobra controle de acesso, criptografia, versionamento e prevenção de vazamento de dado memorizado pelo modelo. Na prática, isso se traduz em poucos itens concretos: lista de ferramentas aprovadas e revisada, não uma memória informal de "pode usar isso"; bloqueio por categoria de dado, configurado para impedir colar CPF, prontuário ou contrato em domínio não aprovado; conta corporativa obrigatória, sem login pessoal acessando ferramenta de IA generativa com dado da empresa; e revisão trimestral da lista de ferramentas usadas de fato, levantada por tráfego de rede, não por autodeclaração.
Vale nomear o custo de cada um desses controles antes de implantar. Bloqueio por categoria de dado erra para os dois lados: deixa passar um CPF escrito num formato que o filtro não reconhece, e bloqueia texto legítimo que só parece dado sensível. Alguém precisa revisar esse alerta todos os dias, senão a ferramenta de bloqueio se transforma em caixa ignorada. E a lista de ferramentas aprovadas de janeiro já não cobre o que circula em julho, porque toda semana nasce uma ferramenta nova embutida num produto que a empresa já usa.

O cenário que se repete

Um analista jurídico recebe um contrato de 40 páginas para resumir até o fim do dia. Cola o texto inteiro numa ferramenta de IA generativa gratuita para ganhar tempo, sem notar que o contrato cita dado pessoal de terceiro numa cláusula de garantia. O resumo sai certo, ninguém percebe nada de errado, porque a tarefa foi cumprida. O vazamento já aconteceu nesse momento, mesmo sem consequência visível no dia seguinte.
Um bloqueio por categoria de dado teria interrompido o envio no instante em que o CPF da cláusula de garantia aparecesse no texto colado, antes do resumo sair. É a diferença entre depender da atenção de alguém sob prazo e depender de um controle que funciona exatamente quando essa atenção falha, que é a hora em que ela mais falha.

Quando o episódio já aconteceu

O primeiro passo depois de um episódio desses é descobrir a extensão real do que foi enviado, sem tom de punição. Punir quem relatou ensina a empresa inteira a parar de relatar, não a parar de usar a ferramenta. Eu prefiro tratar o primeiro relato como informação valiosa. A exceção é reincidência depois que a política já foi comunicada com clareza: aí o problema deixou de ser desconhecimento.
Documentar cada fase da resposta, mesmo quando a conclusão é que o incidente não exige aviso à ANPD, importa tanto quanto o aviso em si. Decisão sem registro parece, depois do fato, igual a negligência.

Conclusão

Vazamento de dados em IA generativa não espera uma falha de segurança para acontecer. Ele já está rodando, hoje, em qualquer empresa que não sabe responder quantas vezes um dado de cliente foi digitado numa ferramenta de IA generativa este mês.
Este texto é uma versão condensada de uma análise mais longa que publiquei em https://iso42001.com.br/artigos/vazamento-de-dados-em-ia-generativa/