IA na empresa: o que ela pode acessar e fazer sozinha?

A autorização não pode estar dentro da mensagem

Um pedido chega acompanhado de afirmações: quem está pedindo, que a diretoria já aprovou, que é urgente. Nenhuma delas é uma autorização. São informações a conferir, e só podem ser conferidas por um caminho que quem enviou o pedido não controla.

A segurança da informação trata esse cuidado há décadas como segregação de funções: quem faz um pedido não pode ser também quem o autoriza, e nenhuma ação sensível deve depender de uma única confirmação. Em 1975, os pesquisadores Jerome Saltzer e Michael Schroeder já chamavam a ideia de separação de privilégio: um mecanismo que exige duas chaves é mais robusto do que um que exige uma só.

O FBI recomenda exatamente isso para pedidos de mudança de dados bancários: confirmar por um segundo canal. A recomendação não é nova, e o golpe também não. Em 2025, o centro do FBI que recebe denúncias de crimes digitais registrou 24.768 queixas de fraude por e-mail corporativo nos Estados Unidos, o golpe em que alguém se passa por fornecedor, diretor ou parceiro para desviar um pagamento. As perdas declaradas somaram cerca de 3 bilhões de dólares, o segundo maior prejuízo entre todas as modalidades, atrás apenas das fraudes de investimento.

Um detalhe do mesmo relatório muda a leitura: dessas perdas, mais de 30 milhões de dólares envolveram IA. Cerca de 1% do total. O golpe tradicional já custa bilhões sem ela.

A novidade está do outro lado: a IA que a própria empresa coloca para ler esse mesmo e-mail antes de qualquer pessoa.

Quando a IA lê o e-mail primeiro

Uma situação ilustrativa: uma distribuidora de médio porte recebe, numa terça-feira pela manhã, um e-mail do fornecedor de embalagens com quem trabalha há anos. Mesma assinatura, mesmo tom de sempre. A mensagem pede que os próximos pagamentos sejam feitos em uma nova conta e informa que a mudança já foi conferida com a diretoria. Um assistente de IA conectado à caixa de entrada lê o pedido, reconhece do que se trata e o encaminha ao financeiro.

Até aqui, a empresa economizou tempo, e o assistente cumpriu sua função. A pergunta seguinte é natural: o que mais esse assistente consegue fazer? E se ele tiver acesso ao cadastro de fornecedores? Pode alterar a conta? Pode liberar o pagamento? Pode responder ao e-mail com informações da empresa?

No Brasil, o uso de IA está avançando entre as pequenas empresas. Na pesquisa TIC Empresas, do Cetic.br, a proporção das que têm de 10 a 49 pessoas empregadas e declararam usar a tecnologia ficou entre 10% e 11% nas edições de 2021, 2023 e 2024, e chegou a 15% em 2025. Na União Europeia, o percentual para o mesmo porte foi de 17% em 2025, segundo o Eurostat. Medições mais recentes, ainda sem equivalente brasileiro, mostram a curva subindo: no Reino Unido, o instituto oficial de estatística registrou que, em setembro de 2026, 38% das empresas com dez ou mais funcionários usavam ao menos uma tecnologia de IA, ante 12% em setembro de 2023.

As pesquisas do Cetic.br e do Eurostat consideram IA em sentido amplo, incluindo sistemas que analisam dados, reconhecem imagens ou automatizam processos. Por isso a série brasileira começa antes da chegada do ChatGPT. O uso mais próximo dos assistentes atuais também cresceu: entre as empresas brasileiras que usam IA, a parcela que gera textos ou falas dobrou, de 15% em 2021 para 30% em 2025. Essa é a categoria que mais se aproxima dos modelos de linguagem, a tecnologia por trás de assistentes como o ChatGPT e o Copilot, e é deles que trata a maior parte deste texto.

Ainda há muitas empresas por começar, e isso é uma vantagem: definir o que a IA pode acessar e fazer antes de conectá-la aos processos é muito mais simples do que retirar acessos depois.

Quatro ideias costumam orientar essas decisões. Todas parecem sensatas, e nenhuma se sustenta sozinha.

“Ela acerta quase sempre”

Suponha uma IA que acerta 99% das classificações. É um resultado excelente, e para muitas tarefas é suficiente. Agora multiplique pelo volume: uma empresa que recebe duzentas mensagens por dia convive com dois erros diários, cerca de quarenta por mês, considerando vinte dias úteis. A conta é ilustrativa, mas o raciocínio vale para qualquer taxa: com volume, o erro raro se torna rotina.

Há um problema maior do que a média. Os erros do dia a dia costumam vir de mensagens ambíguas ou de assuntos incomuns. O golpista não envia a mensagem média. Ele envia, e ajusta até funcionar, exatamente a mensagem que engana.

Em outubro de 2026, pesquisadores do Datadog testaram o Jev. Ele não é um modelo de linguagem: é um modelo de decisão, que em vez de escrever textos escolhe entre respostas definidas, como “contém instruções escondidas” ou “não contém”. Usado como filtro, identificou em condições normais 82,9% dos textos com instruções escondidas. Bastou colocar antes do conteúdo um aviso falso de “política interna” para a taxa cair a 3,9%. Foi um teste do filtro, não de uma empresa real, mas mostra a distância entre o acerto médio e o acerto diante de quem prepara o ataque.

Responder dentro de opções fechadas também não protege da informação falsa que entra. Semanas antes, a Check Point havia alimentado o mesmo modelo com documentos contendo evidências falsas, numa análise de investimento simulada, e resumiu o resultado assim: o modelo “fez seu trabalho corretamente, sobre evidência falsa”.

O programador Simon Willison, autor de textos de referência sobre o tema, resumiu o ponto em 2023: em segurança, filtrar 99% “é nota de reprovação”. A Anthropic, que desenvolve modelos de linguagem, publicou em novembro de 2025 o resultado de suas defesas mais recentes contra esse tipo de manipulação, num teste em que o seu modelo navega por páginas da internet: 1,4% dos ataques ainda funcionaram. A defesa barrou mais de 98% das tentativas, e mesmo assim a empresa escreveu que o problema está “longe de ser resolvido”.

A taxa de acerto é um bom critério para escolher uma ferramenta. Não é um critério para decidir o que ela pode fazer sozinha.

“Basta instruir a IA a nunca alterar pagamentos”

A reação natural é escrever a regra nas instruções da IA: nunca altere dados bancários, nunca libere pagamentos sem aprovação. Parece uma trava. É um aviso.

Um modelo de linguagem recebe as suas instruções e o conteúdo que precisa ler, o e-mail, o anexo, a página, da mesma forma: como texto. Dave Chismon, do centro nacional de segurança digital do Reino Unido, o NCSC, explicou em dezembro de 2025 que, internamente, esses modelos não fazem distinção entre dados e instruções. Se o conteúdo trouxer instruções escondidas, preparadas para o modelo, elas disputam espaço com as suas, e nem sempre as suas vencem. Por isso o NCSC considera bem possível que esse tipo de ataque nunca seja eliminado por completo, e recomenda desenhar os sistemas supondo que o atacante conseguirá enganar o modelo.

A OWASP, fundação de referência em segurança de aplicações, é direta: a autorização deve ser verificada nos sistemas que executam a ação, em vez de depender do modelo para decidir se ela é permitida.

A diferença é a mesma que existe entre uma placa de “proibida a entrada” e uma porta trancada. Se o sistema de pagamentos não aceita alteração de conta vinda da IA, nenhuma instrução escondida muda isso. Se aceita, a segurança da empresa depende de a IA nunca ser convencida do contrário.

“Ela só lê, então não há risco”

Um assistente que apenas lê e resume parece inofensivo. Ele não altera cadastros, não paga, não apaga nada.

Em junho de 2025, a Microsoft publicou a correção de uma falha no Microsoft 365 Copilot, o assistente que lê e-mails e documentos da empresa, e a classificou como crítica. Pesquisadores mostraram que um e-mail enviado de fora, com instruções escondidas, podia levar o assistente a embutir informações internas num endereço da internet acessado automaticamente pelo computador, levando os dados para fora. Ninguém precisava clicar em nada. Ao divulgar a falha, a Microsoft informou que ela já estava totalmente corrigida, sem nenhuma ação necessária por parte dos clientes, e declarou não haver registro de exploração.

O caso ilustra o que Simon Willison chamou, no mesmo mês, de combinação letal. Três capacidades, inofensivas isoladamente, tornam-se perigosas quando reunidas:

1. acesso a dados privados da empresa;
2. contato com conteúdo vindo de fora, que qualquer pessoa pode escrever;
3. algum meio de enviar informação para fora.

Um assistente que lê a caixa de entrada reúne as duas primeiras por definição. A terceira pode estar onde ninguém procura: um link num resumo, uma imagem carregada de outro endereço, uma resposta automática. Nenhuma das três envolve alterar dados. O dano, nesse caso, é o vazamento.

“Então uma pessoa aprova tudo”

Se a IA pode ser enganada, a solução parece óbvia: colocar uma pessoa para aprovar cada ação. É a ideia mais difícil de contestar e, por isso, a que mais merece exame.

A Anthropic informou em março de 2026 que, na sua ferramenta de programação, os usuários aprovam 93% dos pedidos de permissão feitos pelo assistente. A própria empresa deu nome ao fenômeno: fadiga de aprovação, o ponto em que as pessoas deixam de prestar atenção ao que aprovam. O número vem do fornecedor e de um público de programadores, mas o mecanismo é conhecido muito além da tecnologia.

Em setembro de 2022, a Uber teve sistemas internos invadidos por um atacante que já tinha a senha de um prestador de serviço, mas esbarrava na confirmação em duas etapas. Ele tentou entrar repetidas vezes, e a cada tentativa o prestador recebia um pedido de aprovação. Segundo o comunicado da empresa, ele acabou aceitando um deles. A última barreira era justamente a aprovação, e a insistência a venceu.

Na saúde, o fenômeno vizinho de confiar demais no sistema também foi medido. Uma revisão de estudos publicada em 2012 no periódico da associação americana de informática médica concluiu que, na média, o apoio do sistema ajudou os profissionais. Mas, quando o sistema errava, o risco de uma decisão errada subia 26% em relação a quem decidia sem ele.

A aprovação humana continua necessária, mas é um recurso que se desgasta. Cristine Hoepers, gerente do CERT.br, orientou os usuários de IA em setembro de 2026: “O ser humano precisa estar no comando em etapas decisivas.” A palavra que importa é decisivas. Pedir aprovação para tudo ensina a aprovar sem ler. Pedir para poucas ações, bem escolhidas e com as informações certas na tela, é o que dá sentido à presença da pessoa no processo.

O que recomendamos

Cada uma dessas ideias ajuda, mas nenhuma basta, porque todas dependem de que a IA, ou a pessoa que a supervisiona, acerte sempre. A Anthropic admite que o problema está longe de ser resolvido, e o NCSC avalia que talvez nunca seja eliminado. A proteção que se sustenta é outra: limitar o que um erro consegue causar.

Nossa recomendação, para qualquer processo:

1. A IA lê, organiza e sugere. O sistema define o que pode ser executado. As permissões ficam no sistema que efetiva a operação, e não nas instruções dadas à IA.
2. Dados de pagamento não mudam sem confirmação fora da mensagem, por um contato já cadastrado, nunca pelo telefone ou link que veio no próprio pedido.
3. Aprovação humana nas etapas decisivas, com o que realmente importa visível para quem aprova: destinatário, valor e dado alterado.
4. Atenção à combinação letal. Se a IA lê dados internos e conteúdo de fora, controle o que ela consegue enviar para fora.

Para levar isso ao dia a dia, escolha uma tarefa e preencha uma tabela como a abaixo. Os exemplos são ilustrativos; as permissões precisam refletir o processo da sua empresa.