O trabalho remoto consolidou um modelo que não tem volta. E junto com ele, uma superfície de exposição que a maioria das empresas ainda não mapeou completamente.
Quando um colaborador acessa sistemas corporativos de casa, de um café ou de outro país, ele não está só usando uma rede diferente. Está tomando decisões sobre dados da empresa em um ambiente onde os controles são diferentes, as distrações são maiores e as ferramentas que ele usa podem não ter sido aprovadas pelo time de segurança.
A chegada das ferramentas de IA generativa acrescentou uma camada nova nesse problema. Colaboradores que usam ChatGPT, Copilot, Gemini ou qualquer outro assistente para otimizar o trabalho frequentemente colam trechos de documentos, dados de clientes ou informações estratégicas nessas ferramentas sem perceber o risco que isso representa.
Neste artigo você vai entender por que a segurança no acesso remoto ficou mais complexa com o uso de IA, quais são os principais vetores de exposição e o que sua empresa precisa ter estruturado para controlar esse ambiente. Boa leitura.
O que mudou na segurança do acesso remoto
Por muito tempo, proteger o acesso remoto significava basicamente garantir que a conexão fosse criptografada. Uma VPN corporativa resolvia a maior parte do problema: o dado trafegava com segurança entre o dispositivo do colaborador e os servidores da empresa.
Esse modelo ainda é necessário, mas já não é suficiente.
O problema é que hoje os dados não saem da empresa apenas pela rede. Saem pelo comportamento dos colaboradores, pelas ferramentas que eles escolhem usar e pelas decisões que tomam fora do alcance de qualquer monitoramento corporativo. Um colaborador em home office que cola um contrato numa ferramenta de IA para “resumir antes da reunião” acabou de enviar esse documento para um servidor externo, possivelmente em outro país, sem que ninguém na empresa tenha sido notificado.
O risco específico das ferramentas de IA no trabalho remoto
As ferramentas de IA generativa se tornaram parte do fluxo de trabalho de muitos colaboradores, e isso aconteceu mais rápido do que as políticas de segurança conseguiram acompanhar. O resultado é um gap entre o que os colaboradores fazem no dia a dia e o que a empresa sabe que está sendo feito com seus dados.
Esse gap tem consequências concretas.
Dados que saem pelo prompt
Quando um colaborador usa uma ferramenta de IA pública para analisar um documento, processar uma planilha ou redigir uma comunicação com base em dados internos, esses dados são enviados para o servidor da ferramenta. Dependendo dos termos de uso e das configurações da conta, esse conteúdo pode ser usado para treinar modelos futuros ou ficar retido em logs acessíveis ao provedor.
Para dados pessoais de clientes, isso representa uma violação da LGPD. Para dados estratégicos, representa uma exposição que nenhum contrato com a ferramenta vai corrigir depois que o dado saiu.
Ferramentas não aprovadas em dispositivos pessoais
Colaboradores em home office frequentemente alternam entre dispositivos pessoais e corporativos, ou usam extensões e aplicativos que não passaram por nenhuma avaliação do time de TI. Uma extensão de IA instalada no navegador pessoal pode ter acesso a tudo que o colaborador digita, inclusive credenciais e dados de sistemas internos acessados naquele mesmo navegador.
Esse tipo de exposição não aparece em nenhum log corporativo porque acontece fora do perímetro da empresa.
Contas pessoais em ferramentas corporativas de IA
Mesmo ferramentas aprovadas pela empresa podem se tornar um problema quando o colaborador usa a conta pessoal em vez da conta corporativa. A conta pessoal pode ter configurações de privacidade diferentes, pode não estar sujeita às políticas de retenção da empresa e pode continuar existindo depois que o colaborador se desligar, com dados corporativos armazenados nela.
Os controles que precisam existir
A segurança no acesso remoto em ambientes com uso de IA não se resolve com uma ferramenta única. Exige uma combinação de controles técnicos, políticas claras e treinamento que funcione em conjunto.
Política de uso de IA com dados corporativos
O ponto de partida é definir o que os colaboradores podem e não podem fazer com ferramentas de IA quando o trabalho envolve dados da empresa. Quais ferramentas são permitidas, em quais condições, com qual tipo de dado e em qual conta.
Sem essa política documentada e comunicada, cada colaborador toma a decisão que parece razoável para ele. E razoável para quem está tentando ser produtivo é muito diferente de razoável para quem está gerenciando o risco de dados. Uma política de segurança da informação que não contempla o uso de IA generativa está desatualizada em relação ao ambiente real de trabalho da maioria das equipes.
Controle de acesso baseado em contexto
O modelo tradicional de controle de acesso verifica se o colaborador tem permissão para acessar determinado sistema. O modelo mais atual verifica também o contexto: de qual dispositivo, de qual rede, em qual horário e com qual comportamento típico.
Um acesso feito de um dispositivo desconhecido, numa localização incomum, fora do horário habitual, deve gerar alerta independentemente de a credencial estar correta. Esse é o princípio do zero trust aplicado ao acesso remoto: nenhum acesso é confiável por padrão, independentemente de origem.
Monitoramento de movimentação de dados
Saber que os colaboradores têm acesso aos sistemas não é suficiente. A empresa precisa saber o que está sendo feito com os dados nesses acessos. Um colaborador que baixa em 20 minutos um volume de arquivos muito acima do seu padrão histórico é um sinal que precisa ser investigado, seja porque está prestes a se desligar, seja porque sua conta foi comprometida.
Soluções de prevenção de vazamento de dados que monitoram a movimentação de arquivos para fora do ambiente corporativo são especialmente relevantes em modelos remotos, onde o colaborador tem mais autonomia e menos supervisão direta do que num escritório.
Autenticação multifator em todos os acessos críticos
Credenciais comprometidas são o vetor de entrada mais comum em incidentes que envolvem acesso remoto. Uma senha forte não é suficiente quando o colaborador reutiliza senhas em múltiplos serviços, quando usa redes sem segurança adequada ou quando é alvo de um ataque de engenharia social bem construído.
A autenticação multifator não elimina o risco, mas eleva significativamente o custo de exploração de uma credencial comprometida. Para sistemas com dados sensíveis, é o mínimo que precisa estar ativo.
O que a LGPD exige nesse cenário
Trabalho remoto e uso de IA não criam uma exceção às obrigações da LGPD. A empresa continua sendo responsável pelos dados pessoais que trata, independentemente de onde o colaborador que os acessa estiver trabalhando e de quais ferramentas está usando para processar esse trabalho.
Se um colaborador em home office usa uma ferramenta de IA pública para processar dados pessoais de clientes sem que isso esteja previsto no mapeamento de dados da empresa e sem base legal adequada, a responsabilidade pela exposição é da empresa, não do colaborador.
Isso significa que o mapeamento de dados precisa incluir os fluxos remotos e as ferramentas de IA que os colaboradores usam. E que o protocolo de notificação de incidentes à ANPD precisa contemplar cenários onde o vazamento aconteceu por fora do ambiente técnico controlado da empresa.
Como começar a estruturar esse controle
O primeiro passo é entender o que está acontecendo de verdade. Quais ferramentas de IA os colaboradores usam no trabalho, em quais contas, com qual tipo de dado. Essa informação raramente está documentada e frequentemente surpreende os gestores quando é levantada.
A partir desse mapeamento, é possível definir quais ferramentas serão aprovadas com contas corporativas, quais serão bloqueadas e quais exigem controles adicionais. E estruturar os controles técnicos de acesso remoto com base no que o ambiente real de trabalho da equipe realmente demanda, não no que estava previsto quando o home office era uma exceção.
A STWBrasil apoia empresas na estruturação de controles de segurança para ambientes remotos, incluindo política de uso de IA, monitoramento de acesso e prevenção de vazamento de dados. Se sua empresa ainda não mapeou como os colaboradores remotos estão usando dados corporativos, esse é o ponto de partida.
