A IA tem riscos. Mas o vazamento de dados foi culpa sua

Existe uma frase que todo executivo deveria ouvir antes de aprovar o próximo projeto de IA da empresa. Ela foi dita por Tim Beamer, CIO da solutions4networks, no palco do XChange Security 2026, em Frisco, no Texas, segundo reportagem da CRN:

"Você tem que tratar a IA como uma criança pequena com a experiência de um estagiário." Tim Beamer, CIO da solutions4networks

A imagem é engraçada, mas o recado é sério. A IA tem riscos inerentes: alucinação, viés, imprevisibilidade. Só que, segundo Beamer, os incidentes mais graves que as empresas estão vivendo não vêm daí. Vêm de algo muito menos glamouroso e muito mais evitável: falhas básicas de governança de dados. E essas, nas palavras dele, são culpa sua.

O incidente que resume tudo

Beamer contou, durante sua sessão no XChange Security 2026, um caso real que ilustra o problema com precisão cirúrgica.

Uma organização conectou o SharePoint a um agente de IA usando uma conta de serviço com permissões amplas de acesso. A premissa era razoável na cabeça de quem configurou: "as permissões do SharePoint já protegem os documentos, então está tudo bem".

Não estava.

Um funcionário do faturamento fez uma pergunta banal ao assistente: qual era a política de folgas da empresa. O agente de IA, vasculhando tudo a que tinha acesso, retornou na resposta trechos de um documento confidencial de remuneração de executivos.

Ninguém invadiu nada. Não houve ataque, não houve malware, não houve hacker. A IA fez exatamente o que foi projetada para fazer:

"Ela não olha necessariamente quem está perguntando. A lógica é: eu tenho acesso a essa informação? Se eu tenho acesso, eu entrego." Tim Beamer

E se alguém questionasse o agente depois, a resposta dele seria a mesma de qualquer estagiário assustado: "eu só fiz o que me mandaram fazer".

Acesso não é autorização: a IA não sabe a diferença

Esse caso, relatado por Beamer à CRN, expõe uma confusão que quase toda empresa carrega sem perceber: a diferença entre acesso e autorização.

Por anos, permissões mal configuradas em servidores de arquivos e intranets foram um risco teórico. O documento confidencial estava tecnicamente acessível, mas quem ia achá-lo no meio de milhares de arquivos? A obscuridade funcionava como uma camada informal de proteção.

A IA elimina essa camada da noite para o dia. Um agente conectado ao repositório da empresa não se cansa, não desiste na terceira página de resultados e não sente constrangimento em abrir a pasta "RH_Diretoria_2024_FINAL". Ele indexa tudo, encontra tudo e entrega tudo para quem perguntar.

Em outras palavras: a IA transforma cada erro antigo de permissão em um incidente à espera de acontecer. O problema não nasceu com a IA. Ele só ficou impossível de esconder.

"Limpe a sua podridão"

A recomendação de Beamer para quem quer conectar ferramentas como o Copilot ao SharePoint começa antes de qualquer configuração de IA:

"Limpe toda a sua podridão (clean up all your rot)." Tim Beamer

"Podridão", aqui, é o acúmulo de anos de dados que ninguém governa: documentos obsoletos, planilhas duplicadas, versões antigas de contratos, arquivos de ex-funcionários, pastas inteiras que ninguém sabe por que existem. Tudo isso vira matéria-prima para as respostas do agente de IA, com o mesmo peso de um documento oficial e atualizado.

E a segunda recomendação é ainda mais direta:

"Toda organização do planeta deveria ter uma política de retenção de dados. Ela deveria ser seguida. Ela deveria ser aplicada." Tim Beamer

Política de retenção define quanto tempo cada tipo de dado vive e quando ele deve ser eliminado. Parece burocracia, até o dia em que um dado que deveria ter sido descartado anos atrás aparece numa resposta de IA ou numa intimação judicial. Mark Wiener, fundador e CEO da BizCom Global, reforçou no mesmo evento que já existe histórico de empresas e municípios processados por falhas exatamente nesse ponto.

O obstáculo real: ninguém quer desacelerar

Se a solução é conhecida (limpar dados, definir retenção, revisar acessos antes de ligar a IA), por que tão poucas empresas fazem?

Wiener, também segundo a cobertura da CRN sobre o evento, deu a resposta que qualquer consultor de dados reconhece na hora:

"Muitos deles não têm nenhum interesse em desacelerar. Eles não querem ter essa conversa." Mark Wiener, CEO da BizCom Global

A pressão por adotar IA é enorme. Board pedindo, concorrente anunciando, fornecedor prometendo. Nesse cenário, a governança soa como freio de mão, quando na verdade ela é o cinto de segurança. A diferença é que o freio te impede de andar; o cinto só aparece como essencial no dia do acidente.

O checklist mínimo antes de conectar uma IA aos seus dados

Traduzindo o recado do XChange Security 2026 em passos práticos, este é o mínimo que qualquer organização deveria fazer antes de dar a um agente de IA acesso aos seus repositórios:

1. Inventarie o que existe. Você não governa o que não conhece. Mapeie os repositórios que a IA vai acessar e o que vive dentro deles.

2. Elimine o lixo. Dados obsoletos, duplicados e sem dono devem sair antes da IA entrar. Cada arquivo podre é uma resposta errada em potencial.

3. Defina e aplique retenção. Quanto tempo cada categoria de dado vive? Quem elimina? Com que frequência? Política escrita, seguida e auditada.

4. Revise permissões com olhos de IA. A pergunta não é mais "quem consegue achar esse arquivo?", e sim "o que acontece se um assistente entregar esse arquivo para qualquer pessoa com acesso ao chat?".

5. Nunca use contas de serviço com acesso amplo. O agente deve respeitar as permissões do usuário que pergunta, não as permissões da conta que o conecta ao repositório. Esse único erro causou o vazamento de remuneração do caso relatado à CRN.

6. Monitore o que a IA acessa. Padrões anormais de consulta a dados sensíveis precisam gerar alerta antes do dano, não depois.

A conclusão incômoda

O título da matéria da CRN resume o espírito do recado: a IA tem riscos inerentes, mas as falhas de governança de dados são culpa sua.

É incômodo porque tira o conforto de culpar a tecnologia. Alucinação de modelo é um problema do fornecedor. Dado podre, permissão errada e ausência de política de retenção são problemas seus, e estavam aí muito antes da IA chegar. A IA só acendeu a luz do porão.

A boa notícia é que, ao contrário dos riscos inerentes da IA, esses problemas têm solução conhecida, madura e documentada. Chama-se governança de dados. E ela nunca foi tão urgente.

---

Fonte original: AI Has Inherent Risks, But Data Governance Failures Are Your Fault: CIO. CRN, cobertura do XChange Security 2026, Frisco, Texas.

Citados na matéria:

• Tim Beamer, CIO da solutions4networks (Pittsburgh, EUA)
• Mark Wiener, fundador e CEO da BizCom Global (Raleigh, EUA)

---

Se a sua organização está prestes a conectar IA aos dados internos e você quer arrumar a casa antes (inventário, donos de dados, políticas de retenção e acesso), o guia que escrevi cobre o framework completo com exemplos práticos e um checklist para começar hoje.

Dados Sem Dono, Empresa Sem Rumo →