Como interromper a perda de dados confidenciais por meio de prompts e uploads

A perda de dados por uso de IA generativa raramente começa com alguém tentando roubar dados. Geralmente, começa com alguém tentando trabalhar mais rápido: um técnico colando um tíquete de suporte em um chat de inteligência artificial, um usuário de finanças carregando uma planilha para análise, um gerente de vendas pedindo à inteligência artificial para simplificar uma proposta ou um desenvolvedor solicitando ajuda com um fragmento de código.

O ganho de produtividade é real, mas o risco também é. Prompts e uploads podem conter registros de clientes finais, notas internas, preços, contratos, credenciais, dados pessoais, código-fonte ou outras informações confidenciais que não deveriam sair da empresa por meio de um fluxo de trabalho de inteligência artificial não gerenciado.

É por isso que a prevenção de perda de dados (DLP) por uso de IA generativa é importante. Ela protege um novo tipo de movimentação de dados: informações confidenciais saindo por meio de prompts, conteúdo colado, arquivos carregados e aplicativos com inteligência artificial.

O risco já é mensurável. No 2º trimestre de 2025, a Harmonic Security analisou um milhão de prompts de IA generativa e 20.000 arquivos carregados em mais de 300 aplicativos SaaS de IA generativa e com inteligência artificial. Foi constatado que 4,37% dos prompts e quase 22% dos arquivos carregados continham conteúdo confidencial.

O ponto importante é simples: a IA generativa faz com que compartilhar informações pareça trabalho normal. É por isso que a proteção deve acontecer no momento do uso, antes que os dados confidenciais sejam enviados.

Um prompt pode parecer uma simples pergunta, mas pode conter muito mais do que o usuário percebe.

Imagine um funcionário de finanças preparando um resumo mensal de fluxo de caixa. Para economizar tempo, a pessoa carrega uma planilha em uma ferramenta de IA generativa e pede que ela identifique despesas incomuns e crie um breve resumo para a gestão. A planilha includes nomes de fornecedores, detalhes bancários, faturas de clientes finais, valores da folha de pagamento, informações fiscais e notas internas sobre futuras reduções de custos. A intenção do funcionário é prática e produtiva. Mas o arquivo pode expor informações financeiras, de funcionários, de clientes e de negócios confidenciais a um serviço de inteligência artificial que nunca foi aprovado para esses dados.

Essa é a principal diferença central com a DLP por uso de IA generativa. A ação de risco nem sempre parece um arquivo sendo roubado ou um usuário enviando deliberadamente dados para fora da empresa. Pode parecer um técnico pedindo suporte, um usuário de finanças carregando uma planilha ou um gerente pedindo à inteligência artificial para resumir um contrato.

Prompts e uploads também apresentam diferentes tipos de risco. Um prompt geralmente é menor, mas pode conter dados de clientes finais copiados, logs, credenciais, notas internas ou código. Um upload pode ser muito maior e menos previsível. Uma planilha pode incluir abas ocultas. Um documento pode incluir comentários, metadados ou discussão interna copiada. Uma captura de tela pode revelar nomes de sistema, detalhes da conta ou informações de segurança ao fundo. Um usuário pode se importar apenas com um parágrafo, mas a ferramenta de inteligência artificial recebe o arquivo inteiro.

O DLP tradicional ainda é importante, mas a IA generativa muda a consequência e a reversibilidade do compartilhamento excessivo. Com e-mail, transferência de arquivo ou compartilhamento na nuvem, uma organização ainda pode conseguir rastrear o destinatário, revogar o acesso, excluir um arquivo compartilhado ou comprovar para onde os dados foram. Com ferramentas de IA generativa não gerenciadas, esse controle pode ser muito mais fraco.

Dependendo do serviço e das configurações da conta, prompts e uploads podem ser retidos, revisados ou usados para melhorar modelos, e a organização pode não conseguir recuperar ou excluir os dados com certeza. Pesquisas sobre extração de dados de treinamento também mostraram que modelos de linguagem podem memorizar e reproduzir dados de treinamento quando consultados, incluindo exemplos com nomes, endereços de e-mail, números de telefone, código e outros textos exclusivos.

É por isso que a DLP por uso de IA generativa precisa agir antes do envio. O objetivo não é apenas monitorar o uso de IA depois do fato, mas impedir que dados do cliente final, registros financeiros, credenciais, código-fonte ou conteúdo confidencial de negócios entrem em fluxos de trabalho de IA não gerenciados em primeiro lugar.

Para MSPs, a DLP por uso de IA generativa é mais do que um controle de segurança. É uma nova oportunidade de serviço gerenciado. Muitos clientes finais de pequenas e médias empresas de TI já estão experimentando IA, mas muitas vezes não têm tempo, conhecimento especializado ou processos de governança para definir por conta própria regras seguras de uso. Eles precisam de ajuda para responder a perguntas práticas: quais ferramentas de IA os funcionários estão usando? Que tipos de dados estão sendo compartilhados? Quais ferramentas devem ser permitidas? Quando os usuários devem receber um aviso? Quando os dados confidenciais devem ser bloqueados?

Isso cria um papel claro de consultoria e operação para o MSP. Em vez de simplesmente dizer aos clientes finais para evitar IA, o MSP pode ajudá-los a adotar a IA com segurança: descobrir o uso de IA generativa, avaliar o risco de exposição de dados, definir políticas de uso aceitável, habilitar o monitoramento, aplicar controles de DLP e fornecer relatórios regulares. Assim, a segurança da IA generativa se torna um modelo de serviço repetível em vez de uma discussão única sobre política.

O valor comercial também é claro. O risco da IA generativa dá aos MSPs um motivo para iniciar uma nova conversa de segurança com clientes finais existentes, criar um ponto de entrada para clientes finais que não estão prontos para um programa completo de DLP e diferenciar sua oferta de segurança gerenciada com visibilidade e aplicação específicas de inteligência artificial. Para SMDs, o valor é uma proteção prática sem a necessidade de construir uma equipe interna de governança de IA. Para MSPs, o valor é um serviço escalável que eles podem entregar em muitos ambientes de clientes finais.

A DLP por uso de IA generativa precisa ajudar as organizações a habilitar o uso de inteligência artificial com segurança, e não simplesmente bloquear ferramentas de inteligência artificial. Para ser eficaz, ele precisa de cinco capacidades práticas.

Dados confidenciais devem ser analisados antes que um prompt ou upload de arquivo chegue ao aplicativo de IA. O Acronis GenAI Protection ajuda a inspecionar interações de IA generativa para que a política possa ser aplicada antes que os dados sejam enviados.

Nem todo cliente final precisa do mesmo nível de aplicação. Alguns querem visibilidade primeiro; outros precisam de bloqueio para dados de alto risco. O Acronis GenAI Protection oferece suporte ao modo de detecção para monitoramento e ao modo de bloqueio para aplicação quando dados confidenciais são detectados.

O bloqueio é mais eficaz quando os usuários entendem por que ele aconteceu. A Acronis pode notificar o usuário final quando o envio de dados confidenciais for impedido, ajudando a transformar comportamento arriscado em comportamento mais seguro.

Os MSPs precisam de evidências, não apenas de declarações de política. Os eventos de DLP por uso de IA generativa precisam ser registrados para que os administradores possam investigar o que aconteceu, revisar padrões, ajustar políticas e relatar resultados aos clientes finais. A Acronis registra eventos de DLP por uso de IA generativa no log de eventos.

Para os MSPs, o controle precisa ser repetível. O Acronis GenAI Protection pode ser habilitado por meio de um plano de gerenciamento e atribuído a dispositivos protegidos, ajudando os parceiros a gerenciar a segurança de IA generativa como parte de um modelo mais amplo de proteção gerenciada.

Juntas, essas capacidades ajudam os MSPs a levar os clientes finais do uso não gerenciado de IA para uma adoção mais segura de IA: descobrir onde a IA é usada, inspecionar o que os usuários estão enviando, aplicar a política, notificar os usuários quando necessário e relatar os resultados.

O risco da IA generativa é difícil porque aparece dentro dos fluxos de trabalho diários de produtividade, e não como um incidente de segurança óbvio. A IA generativa está se tornando parte do trabalho diário, e a resposta certa não é bloquear a produtividade. A resposta certa é tornar o uso de IA visível, governado e mais seguro.

As organizações SMD precisam de uma maneira de entender quais ferramentas de IA estão sendo usadas, decidir quais dados devem ser protegidos, impedir que informações confidenciais sejam enviadas quando a política exigir isso e relatar os resultados. Quando instruções maliciosas são usadas para acionar a exposição de dados, a proteção contra prompt injection pode ajudar a detectar a tentativa de manipulação enquanto o DLP ajuda a impedir que dados confidenciais sejam enviados ou expostos.

Para os MSPs, isso cria um movimento claro de serviço gerenciado: descobrir, avaliar, monitorar, aplicar, relatar e ajustar. O Acronis GenAI Protection ajuda a entregar esse modelo com visibilidade do uso de IA generativa, controles de DLP para prompts e uploads, opções de detecção e bloqueio, notificação ao usuário, registro de eventos e relatórios. Isso ajuda os parceiros a transformar a adoção segura de inteligência artificial em um serviço prático e repetível para seus clientes finais.