O que é a «barreira de proteção humana» na governação da IA?
A «firewall humana» é a camada de discernimento da força de trabalho que ajuda a prevenir a utilização arriscada da IA antes que se torne um problema relacionado com dados, conformidade ou confiança. No âmbito da governação da IA, isto significa que os colaboradores compreendem o que as ferramentas de IA fazem, que informações não devem partilhar, quando os resultados precisam de ser revistos, quais os casos de utilização que apresentam maior risco e como levantar questões antes que um atalho se transforme num incidente.
A IA «sombra» surge normalmente de uma necessidade empresarial razoável. Um representante comercial quer personalizar a abordagem aos clientes mais rapidamente. Um gestor quer resumir um documento extenso antes de uma reunião. Um analista de conformidade precisa de ajuda para interpretar um texto regulamentar. As ferramentas públicas de IA são de fácil acesso, fáceis de testar e, muitas vezes, mais práticas do que os fluxos de trabalho empresariais aprovados.
Essa conveniência acarreta riscos quando os colaboradores não dispõem de orientações claras. A Microsoft e o LinkedIn revelaram que 75 % dos profissionais do conhecimento a nível mundial utilizavam IA generativa no trabalho e que 78 % dos utilizadores de IA traziam as suas próprias ferramentas de IA para o local de trabalho [*1]. Posteriormente, a IBM revelou que uma em cada cinco organizações analisadas sofreu uma violação de segurança devido à IA paralela, enquanto apenas 37% dispunham de políticas para gerir a IA ou detetar a IA paralela [*2].
A questão prática não é que os colaboradores sejam descuidados. A questão é que o trabalho avançou mais depressa do que a governança. A literacia em IA colmata essa lacuna, proporcionando às pessoas regras de decisão úteis no momento em que decidem o que partilhar, em que confiar e o que fazer a seguir.
Imagem 1. A IA «sombra» torna-se mais fácil de gerir quando as soluções alternativas ocultas são convertidas em capacitação regulamentada.
Pontos-chave
- A «Shadow AI» representa uma lacuna em termos de visibilidade e governação. Muitas vezes, surge quando os colaboradores tentam resolver problemas reais de trabalho sem um procedimento claro e aprovado.
- A literacia em IA é agora um requisito operacional e uma exigência regulamentar, nos termos do artigo 4.º da Lei da UE sobre a IA, para os fornecedores e operadores de sistemas de IA.
- A formação genérica em matéria de sensibilização não é suficiente. Os colaboradores precisam de orientações específicas para cada função no que diz respeito à partilha de dados, à verificação dos resultados, aos casos de utilização de alto risco e ao encaminhamento de casos para instâncias superiores.
- Uma sólida «firewall humana» proporciona aos colaboradores formas seguras de utilizar a IA, ao mesmo tempo que fornece aos líderes provas de que as orientações, os controlos, as aprovações e a monitorização estão a funcionar.
Por que razão a IA «sombra» constitui um problema de governação
Muitas organizações abordam inicialmente a «Shadow AI» como um problema de controlo tecnológico. Bloqueiam sítios Web, publicam uma política e alertam os colaboradores para que não insiram informações confidenciais em ferramentas públicas. Essas medidas podem ser necessárias, mas raramente resolvem o comportamento subjacente.
Quando as pessoas enfrentam pressão devido à carga de trabalho e o caminho a seguir não é claro, é moroso ou não está disponível, recorrem à improvisação. O risco torna-se então mais difícil de identificar. Instruções, ficheiros, transcrições, código-fonte, dados de clientes, termos contratuais e análises internas podem passar a ser tratados em ferramentas que as equipas de segurança, jurídica, de conformidade e de TI ainda não avaliaram.
O exemplo da Samsung continua a ser útil porque mostra a rapidez com que isto pode acontecer. A Reuters noticiou que a Samsung restringiu temporariamente a utilização de IA generativa nos dispositivos da empresa após ter descoberto que um colaborador tinha carregado código sensível no ChatGPT [*3]. A lição é simples: um comportamento bem-intencionado, visando a produtividade, pode tornar-se um risco para a empresa quando as regras não são compreendidas no momento da utilização.
As equipas de governação devem encarar a IA «sombra» como um sinal. Muitas vezes, esta revela um desfasamento entre o que os colaboradores precisam e o que a empresa tornou seguro, acessível e compreensível. Uma resposta madura reduz a utilização insegura, ao mesmo tempo que cria vias aprovadas para a experimentação, a produtividade e a adoção responsável.
A literacia em IA é agora uma obrigação operacional e legal
A Lei da IA da UE tornou a literacia em IA uma obrigação de governação efetiva. O artigo 4.º exige que os fornecedores e os responsáveis pela implementação de sistemas de IA tomem medidas para garantir um nível suficiente de literacia em IA entre o pessoal e outras pessoas que lidam com sistemas de IA em seu nome. A Comissão Europeia explica que a literacia deve ter em conta os conhecimentos técnicos, a experiência, a educação, a formação, o contexto em que a IA é utilizada e as pessoas afetadas pelo sistema [*4].
Esta obrigação entrou em vigor a 2 de fevereiro de 2025. A Comissão Europeia refere ainda que as regras de supervisão e aplicação da Lei da IA se aplicam a partir de 3 de agosto de 2026 [*4]. O calendário geral da Lei da IA continua a ser faseado, com as práticas proibidas e a literacia em IA já em vigor, as obrigações relativas aos modelos de IA de grande escala a partir de 2 de agosto de 2025 e outros requisitos a serem introduzidos gradualmente ao longo de 2026 e 2027 [*5].
As organizações devem ter cuidado com a expressão «formação». Nem sempre basta uma apresentação de slides única para cumprir o disposto no artigo 4.º. A Comissão afirma que não existe um formato único obrigatório nem um certificado obrigatório, mas as organizações podem manter registos internos da formação e de outras iniciativas de orientação [*4]. Isso significa que o ónus da governação é de natureza prática: definir o que as pessoas precisam de saber, adaptá-lo em função da função e do risco, ministrá-lo de formas que os colaboradores possam utilizar e manter provas da existência do programa.
| Implicações em termos de planeamento:a literacia em IA deve ser gerida como um controlo, com responsáveis, âmbito, registos de formação, ciclos de atualização, procedimentos de escalamento e documentação comprovativa. Não deve limitar-se a ser apenas uma atividade anual de sensibilização. |
Figura 2. A literacia em IA transforma as políticas em decisões práticas antes de os colaboradores partilharem dados ou se basearem nos resultados.
Por que razão a formação em sensibilização fica aquém do esperado
A formação tradicional em sensibilização é normalmente concebida para alertar as pessoas. A literacia em IA tem de preparar as pessoas para tomarem decisões. Essa diferença é importante porque os colaboradores não estão apenas a evitar uma ameaça. Estão a utilizar uma ferramenta poderosa no contexto do trabalho real.
As mensagens baseadas no medo podem levar à utilização clandestina da IA. Uma abordagem mais adequada explica em que áreas a IA pode ajudar, onde representa um risco e como utilizar as opções aprovadas de forma responsável. Os colaboradores precisam de compreender por que razão os dados dos clientes, o código confidencial, os registos sujeitos a regulamentação, os termos contratuais, a estratégia não pública e os dados pessoais exigem um tratamento especial. Também precisam de saber quando o resultado da IA é um rascunho, quando é uma pista e quando necessita de validação por parte de especialistas antes de ser utilizado.
O modelo de formação deve ser baseado em funções. As equipas de vendas precisam de exemplos relacionados com informações sobre clientes e alegações de contacto com os mesmos. As equipas de RH precisam de exemplos relacionados com contratação, desempenho e dados dos colaboradores. As equipas jurídicas e de conformidade precisam de exemplos relacionados com informações confidenciais, interpretação normativa e provas. As equipas de tecnologia precisam de exemplos relacionados com código-fonte, segredos, arquitetura e permissões de acesso.
Uma política sem compreensão não é aplicável em grande escala. Uma pessoa que compreenda a razão subjacente à regra tem mais probabilidades de tomar uma decisão segura quando o cenário específico não estiver contemplado na política.
A «Firewall Humana»: O que os colaboradores precisam realmente de saber
O ponto de controlo mais importante é o momento da decisão: um colaborador escolhe a ferramenta, redige a mensagem, anexa o ficheiro, aceita ou rejeita a resposta e decide se deve agir em conformidade. As quatro perguntas devem ser suficientemente simples para serem memorizadas e suficientemente específicas para alterar o comportamento.
| Questão de decisão | O que o colaborador precisa de saber |
| Que dados estou a partilhar? | Os colaboradores devem saber se a informação é pública, interna, confidencial, sujeita a regulamentação, propriedade do cliente, pessoal, privilegiada ou exclusiva. |
| Posso confiar neste resultado? | Os colaboradores devem estar cientes de que os resultados gerados pela IA podem ser incompletos, tendenciosos, inventados, desatualizados ou mal fundamentados. As regras de verificação devem ser explícitas. |
| Trata-se de um caso de utilização de alto risco? | Os colaboradores devem identificar as utilizações que possam afetar o emprego, o crédito, o acesso a serviços essenciais, a segurança, os direitos legais, as decisões em matéria de conformidade ou as ações comerciais relevantes. |
| A quem devo recorrer? | Os colaboradores precisam de uma forma simples de solicitar aprovação, comunicar comportamentos questionáveis da ferramenta ou solicitar uma funcionalidade de IA aprovada. |
Figura 3. A «firewall humana» é o ponto de decisão onde os dados, os resultados, o risco associado ao caso de utilização e a escalada se cruzam.
O que as organizações líderes fazem de diferente
Os programas mais sólidos encaram a literacia em IA como um mecanismo de controlo operacional. Evitam basear-se exclusivamente na divulgação de políticas e criam um sistema de gestão centrado na utilização aprovada, na formação baseada em funções, na experimentação segura e em dados concretos.
Tornam os limites fáceis de compreender. Os colaboradores sabem quais as ferramentas aprovadas, quais os dados que nunca devem ser introduzidos, quais os casos de utilização que necessitam de revisão e quais as ações que requerem aprovação humana. As orientações estão redigidas numa linguagem simples, sem recorrer apenas a termos jurídicos ou técnicos.
Além disso, tornam visível a experimentação segura. Quando a única resposta é «não», os colaboradores criam as suas próprias soluções alternativas. Quando a organização disponibiliza ferramentas aprovadas, canais de submissão, ambientes de teste e um processo de revisão de conformidade, a procura torna-se mais fácil de identificar e gerir.
O comportamento da liderança é importante. Os colaboradores aprendem o que é aceitável com o exemplo dado pelos líderes nas reuniões, nas ações de vendas, nas decisões sobre produtos e nas análises operacionais. Uma governação que exista apenas no papel não se mantém sob a pressão da carga de trabalho.
Por fim, a responsabilidade é multifuncional. A literacia em IA está ligada às áreas de segurança, assuntos jurídicos, conformidade, privacidade, recursos humanos, tecnologia e operações empresariais. Cada área vê uma faceta diferente do risco, e os colaboradores precisam de receber uma mensagem coerente.
Figura 4. Um programa de literacia em IA necessita de um modelo operacional prático, e não de um recurso de formação pontual.
Como criar uma «firewall humana» em 5 passos
No âmbito do planeamento para 2026, os responsáveis pela gestão de riscos e conformidade devem considerar a literacia em IA como parte integrante do ambiente de controlo da governação da IA. O objetivo é reduzir a utilização insegura da IA, promovendo simultaneamente a sua adoção responsável. Para tal, são necessárias regras claras, procedimentos aprovados, monitorização e registos que resistam a uma revisão.
Siga estes cinco passos para transformar os conhecimentos sobre IA de uma atividade de formação num mecanismo de governação efetivo:
- Faça uma auditoria ao seu conjunto de ferramentas de IA.Registe todas as ferramentas de IA que os colaboradores estão a utilizar — ferramentas públicas, funcionalidades SaaS integradas, copilotos e fluxos de trabalho autônomos — para que os controlos de governação possam ser definidos e direcionados corretamente.
- Definir os limites da partilha de dados.Estabelecer regras claras sobre o que os colaboradores podem e não podem partilhar com ferramentas de IA, recorrendo a classificações de dados que lhes permitam agir — e não apenas a categorias técnicas ou legais.
- Ministrar formação por função, risco e caso de utilização.Substituir os módulos anuais genéricos por orientações específicas para cada função. As equipas de vendas, recursos humanos, assuntos jurídicos, tecnologia e operações enfrentam riscos diferentes relacionados com a IA e necessitam de exemplos diferentes.
- Crie percursos de escalonamento com pouca burocracia.Proporcione aos colaboradores uma forma simples de solicitar aprovação, comunicar comportamentos questionáveis da IA ou aceder a percursos de experimentação aprovados. Quando o percurso regulamentado é mais complicado do que a solução alternativa, a IA paralela ganha força.
- Criar e manter registos de governação.Documentar medidas de literacia em IA, confirmações de conhecimento das políticas, aprovações, exceções, incidentes, monitorização e medidas corretivas. É isto que transforma um programa de formação num controlo capaz de resistir a uma análise regulamentar.
- Estes passos deslocam o foco da conversa da conclusão da formação para a eficácia da governação. Um curso concluído é útil. Uma força de trabalho que toma consistentemente decisões mais seguras em matéria de IA é mais valiosa.
Construir a «firewall humana» com o Archer
A Archer ajuda as organizações a transformar a governação da IA de uma simples declaração de política numa capacidade operacional estruturada. No que diz respeito à IA oculta e à literacia em IA, a prioridade é interligar pessoas, sistemas, ferramentas, riscos, controlos, evidências e responsabilização num único modelo de governação.
Isso significa manter um inventário de IA, avaliar os casos de utilização da IA, associar os riscos aos controlos e às obrigações, designar responsáveis, registar aprovações, acompanhar problemas e criar provas que demonstrem como a IA é gerida em toda a empresa. Significa também proporcionar aos líderes uma visão clara sobre onde a IA está a ser adotada, onde a exposição pode estar a aumentar e que medidas são necessárias.
Uma sólida barreira de segurança humana não atrasa a adoção responsável da IA. Proporciona aos colaboradores opções mais claras e oferece às equipas de governação uma base mais sólida para a supervisão. As organizações que irão gerir bem os riscos da IA em 2026 não se basearão apenas em ferramentas de bloqueio. Irão combinar literacia, procedimentos aprovados, evidências de controlo e governação contínua.
Saiba mais sobre o Archer AI Governance: https://www.archerirm.com/ai-governance
Saiba mais sobre as soluções GRC da Archer: https://www.archerirm.com/
Perguntas frequentes
O que é a Shadow AI?
A IA «sombra» consiste na utilização de ferramentas, modelos, funcionalidades ou agentes de IA sem a aprovação, supervisão ou monitorização da organização. Inclui ferramentas públicas de IA, funcionalidades de IA em SaaS não verificadas, contas pessoais utilizadas para fins profissionais e fluxos de trabalho de IA criados fora dos processos de governação aprovados.
Por que razão a literacia em IA é importante para reduzir a «IA na sombra»?
A literacia em IA proporciona aos colaboradores a capacidade de discernimento necessária para utilizarem a IA de forma segura, reduzindo o risco de que comportamentos bem-intencionados destinados a aumentar a produtividade se transformem num incidente de governação. Ajuda-os a compreender quais os dados que não devem ser partilhados, em que momentos os resultados necessitam de verificação, quais os casos de utilização que exigem aprovação e a quem devem recorrer em caso de preocupações.
O que exige o artigo 4.º da Lei da UE sobre a IA?
O artigo 4.º exige que os fornecedores e os responsáveis pela implementação de sistemas de IA garantam um nível suficiente de literacia em IA entre o pessoal e outras pessoas que lidam com a IA em seu nome. As medidas devem ter em conta os conhecimentos, a experiência e a formação da pessoa, o contexto de utilização da IA e as pessoas afetadas pelo sistema.
Será que a formação anual sobre a IA é suficiente?
A formação anual de sensibilização, por si só, não costuma ser suficiente. As organizações também necessitam de orientações específicas para cada função, percursos de ferramentas aprovados, exemplos práticos, procedimentos de escalonamento, ciclos de atualização e provas internas de que as medidas de literacia foram implementadas e mantidas.
O que devem os colaboradores saber antes de utilizarem a IA no trabalho?
Os colaboradores devem saber se a ferramenta está aprovada, que dados podem partilhar, se os resultados precisam de ser revistos e a quem devem recorrer em caso de dúvida. Devem também compreender que os resultados gerados pela IA podem estar errados, ser tendenciosos, incompletos ou inadequados para utilização direta.
De que forma é que o Archer pode apoiar a literacia em IA e a governação da IA oculta?
A Archer ajuda as organizações a criar uma estrutura de governação para a literacia em IA, integrando o inventário, a avaliação de riscos, os controlos, a responsabilização e as evidências num único modelo operacional. Isto inclui a gestão de fluxos de trabalho de aprovação, o acompanhamento de questões e a disponibilização aos líderes de informações sobre onde a adoção da IA está a ocorrer e onde pode estar a surgir exposição a riscos.
Fontes
[*1] Microsoft e LinkedIn, Relatório Anual do Índice de Tendências Laborais de 2024: https://news.microsoft.com/source/2024/05/08/microsoft-and-linkedin-release-the-2024-work-trend-index-on-the-state-of-ai-at-work/
[*2] Comunicado da sala de imprensa da IBM sobre violações relacionadas com a IA e a «Shadow AI»: https://newsroom.ibm.com/2025-07-30-ibm-report-13-of-organizations-reported-breaches-of-ai-models-or-applications,-97-of-which-reported-lacking-proper-ai-access-controls
[*3] Reuters, A febre do ChatGPT alasta-se aos locais de trabalho nos EUA, o que preocupa alguns: https://www.reuters.com/technology/chatgpt-fever-spreads-us-workplace-sounding-alarm-some-2023-08-11/
[*4] Comissão Europeia, Perguntas e respostas sobre literacia em IA: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
[*5] Comissão Europeia, calendário de aplicação da Lei da IA: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
[*6] Serviço de Apoio da Lei da IA da Comissão Europeia, Calendário para a implementação da Lei da IA da UE: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
