Usar inteligência artificial no trabalho envolve mais do que escolher um modelo. A empresa também precisa decidir quais dados podem entrar no fluxo, quem pode acessá-los, onde as chaves ficam e como uma falha será identificada.

Segurança não deve ser uma etapa posterior. Ela faz parte do desenho da operação AI-first.

Separe chaves, dados e instruções

Três tipos de informação costumam ser misturados:

  • chaves e credenciais: permitem acessar serviços;
  • dados de trabalho: documentos, mensagens e informações de clientes;
  • contexto e instruções: regras, critérios e procedimentos.

Cada tipo exige um controle diferente. Uma chave não deve ficar em um prompt, documento compartilhado ou repositório de código. Dados de clientes não devem ser tratados como contexto público. Instruções também podem revelar processos internos.

Nunca coloque credenciais no conteúdo

Chaves de API e senhas não devem ser armazenadas em:

  • arquivos MDX;
  • prompts compartilhados;
  • planilhas;
  • mensagens;
  • repositórios;
  • screenshots;
  • documentos de briefing.

Use um gerenciador de segredos ou o mecanismo seguro definido para o ambiente. Limite permissões e prefira credenciais específicas para cada integração.

Classifique os dados antes do uso

Uma classificação simples ajuda a decidir o que pode entrar em cada ferramenta:

  • público;
  • interno;
  • confidencial;
  • restrito por cliente;
  • segredo operacional.

A classificação não precisa resolver todos os casos, mas deve impedir que dados sensíveis sejam enviados por hábito.

Defina o mínimo necessário

Uma tarefa raramente precisa de todos os dados disponíveis. Remova informações que não alteram a decisão ou a saída.

Antes de enviar um conteúdo, pergunte:

  • essa informação é necessária;
  • pode ser anonimizada;
  • existe uma fonte autorizada;
  • o fornecedor pode processá-la;
  • há retenção ou compartilhamento envolvidos;
  • quem terá acesso ao resultado.

Minimização reduz exposição e também melhora a qualidade do contexto.

Crie pontos de aprovação

Exija revisão humana quando o fluxo envolver:

  • dados pessoais;
  • contratos;
  • preço e escopo;
  • recomendações sensíveis;
  • decisões sobre pessoas;
  • comunicação externa;
  • ações irreversíveis.

A aprovação precisa ocorrer antes da ação crítica, não depois que o sistema já enviou ou alterou algo.

Registre o que acontece

Para investigar problemas, a empresa precisa saber qual fonte foi usada, qual instrução orientou a tarefa, qual versão foi produzida e quem aprovou.

O registro deve respeitar privacidade e necessidade de acesso. O objetivo não é vigiar cada interação, mas permitir aprendizado e responsabilização quando o risco justificar.

Checklist mínimo

  • chaves fora do conteúdo e do código;
  • permissões limitadas;
  • dados classificados;
  • informações desnecessárias removidas;
  • fornecedores avaliados;
  • revisão humana em pontos críticos;
  • procedimento para revogar credenciais;
  • registro de falhas e correções;
  • responsável pela manutenção do fluxo.

Conclusão

Segurança em uma operação com IA é uma combinação de arquitetura, comportamento e processo. Não basta confiar no fornecedor ou criar uma política que ninguém consegue aplicar.

A proteção precisa estar incorporada ao fluxo cotidiano: separar credenciais, limitar dados, controlar acesso e definir aprovação.

Próximo passo

Escolha uma aplicação atual de IA e desenhe o caminho dos dados, das credenciais e das aprovações. Corrija primeiro o ponto mais exposto.