Segurança
Três décadas defendendo ambiente que não pode parar, e agora a superfície nova: modelo, agente, dado que sai do perímetro e decisão tomada por software. Esta página trata das duas frentes: o que já operamos, e o que a sua empresa precisa prever antes de colocar IA em operação.
O que já operamos
Tudo nesta seção existe em contrato hoje, com gente de plantão e registro que um auditor consegue ler. É a base sobre a qual a segurança de IA se apoia: sem gestão de identidade, inventário e log, não há o que proteger na camada nova.
Monitoramento contínuo com investigação assistida por modelo no primeiro nível. O analista recebe o caso já enriquecido: indicadores cruzados, linha do tempo montada e severidade classificada.
Teste de penetração interno e externo conduzido por quem também defende. Quem sabe onde a operação dói acha o caminho mais rápido.
Mais de 14 certificações PCI-DSS conduzidas, da análise de lacuna ao InPlace. E o que importa mais: manter o controle vivo entre uma auditoria e a próxima.
Segurança que entra no desenho, não pendurada depois. Previsão, prevenção, detecção e resposta como quatro partes do mesmo projeto.
Controle dentro do pipeline que o time já usa. Governança que vive fora da esteira é abandonada no primeiro prazo apertado.
Do inventário de dado pessoal ao canal com o titular. Tratamento com base legal declarada e minimização aplicada, não prometida.
Por que a IA muda o problema
Segurança tradicional protege sistema que faz o que foi programado. Um modelo faz o que foi induzido a fazer, e a indução chega em texto, dentro do mesmo canal onde o dado legítimo trafega. O comando e o conteúdo deixaram de ser canais separados.
Um agente com ferramenta conectada não é mais um assistente: é um usuário com credencial, executando ação em ERP, em service desk e em API interna. Todo controle que existe para pessoa passa a valer para ele, e quase nenhuma empresa aplicou isso ainda.
O AI Index Report 2026, do Stanford HAI, registra 362 incidentes de IA documentados em 2025, contra 233 em 2024. No mesmo levantamento, os modelos vão bem em teste de segurança sob uso normal e perdem desempenho sob ataque deliberado. A distância entre o laboratório e a operação é exatamente onde o incidente acontece.
No modelo clássico, comando e conteúdo entram por canais diferentes. O perímetro inspeciona o comando e bloqueia o que não é autorizado.
O controle funciona porque os dois canais são distinguíveis. Você inspeciona um e deixa o outro passar.
Com um modelo no caminho, a instrução hostil viaja escondida dentro do conteúdo. Ela atravessa o perímetro porque é indistinguível do dado legítimo, e o modelo a executa por meio das ferramentas conectadas.
Só existe um canal, e ele carrega os dois. O controle sai da borda e passa a viver no escopo da ferramenta e na aprovação humana.
Mais incidente registrado em um ano do que em toda a série anterior. A pressão por evidência de controle deixou de ser hipótese.
A queda é real, e ainda deixa uma em cada nove empresas operando IA sem regra escrita. Os obstáculos declarados seguem sendo conhecimento, orçamento e incerteza regulatória.
Os oito riscos
Lista de risco sem controle do lado é diagnóstico sem receita. À esquerda o que acontece na prática; à direita o que reduz a superfície ou limita o dano.
O que acontece
Instrução hostil escondida em documento, e-mail, página, ticket ou imagem que o modelo vai ler. O ataque não precisa de credencial: basta que o conteúdo chegue ao contexto.
O que responde
O que acontece
Dado sensível entra no prompt, na base vetorial ou no log de depuração e sai por onde ninguém previu: resposta a outro usuário, telemetria de fornecedor, treino de modelo de terceiro.
O que responde
O que acontece
Agente com mais permissão do que a tarefa exige, ou com capacidade de encadear ação sem ponto de parada. O erro deixa de ser uma resposta errada e passa a ser uma transação executada.
O que responde
O que acontece
A maior parte da IA que uma empresa usa não foi construída por ela. Modelo, peso, biblioteca, extensão e servidor de ferramenta entram no ambiente com a confiança de quem os instalou.
O que responde
O que acontece
Resposta errada dita com convicção, usada como insumo de decisão. O AI Index 2026 mediu faixa de alucinação de 22% a 94% entre 26 modelos de topo em um teste de precisão.
O que responde
O que acontece
Ferramenta contratada no cartão de crédito de uma área, extensão de navegador com acesso ao e-mail, assistente ligado num sistema sem ninguém saber. É o problema mais comum e o menos discutido.
O que responde
O que acontece
Agente usando a credencial de uma pessoa, ou uma chave compartilhada entre serviços. Quando algo dá errado, não há como saber quem agiu, nem como revogar sem derrubar o resto.
O que responde
O que acontece
Política em apresentação, controle que depende de alguém lembrar de anotar. Em auditoria, intenção não conta: conta registro. É o item que mais reprova.
O que responde
Os oito riscos não se resolvem no mesmo lugar. Esta é a pilha de defesa, do perímetro ao registro, com o código de cada risco na camada que responde por ele. Nenhuma camada funciona sem a de baixo.
Segmentação, firewall, WAF e IPS. Continua necessário, e continua insuficiente sozinho.
base
Quem é quem, e o que cada um pode. Aqui o agente entra como usuário, com identidade e ciclo de vida próprios.
R7
Classificação antes da ingestão, permissão na recuperação e mascaramento na origem do log.
R2
Escopo do que o agente alcança, limite por execução, aprovação humana e procedência do que foi instalado.
R1R3R4R5
Controle embutido no fluxo, gerando evidência por consequência do trabalho. É o que a auditoria lê.
R6R8
Da camada mais externa à mais interna · os códigos apontam para os riscos acima
Como isso vira programa
Descobrir
Inventário de modelo, agente, ferramenta e integração em uso, incluindo o que subiu sem passar por ninguém. Sem inventário não há escopo, e sem escopo não há controle possível.
Classificar
Que dado alimenta cada caso de uso, com que base legal, e o que não pode sair do perímetro em nenhuma hipótese. É o que define onde cada modelo pode rodar.
Controlar
Escopo de ferramenta, aprovação humana, mascaramento, avaliação e limite por execução, implantados dentro da esteira que o time já usa.
Observar
Telemetria por execução na torre de controle: quanto custou, quanto acertou, onde precisou de humano. Sem medição não há como ampliar nem restringir autonomia com critério.
Provar
O registro que o controle gera sozinho, organizado no formato que a ISO/IEC 42001, o NIST AI RMF e a LGPD pedem. É aqui que a governança deixa de ser slide.
As réguas
A norma que transforma prática em evidência auditável. Estamos em processo de adoção e validação interna.
Ler o paperOrganiza a prática em governar, mapear, medir e gerenciar. Ajuda a fazer, enquanto a ISO permite provar.
A referência de engenharia para injeção de prompt, vazamento por contexto e excesso de autonomia.
Base legal, minimização, direito do titular e avaliação de impacto, onde o sistema de IA trata dado pessoal.
Onde a IA alcança o ambiente de dado de portador, o escopo de conformidade vem junto.
Relevante para quem opera ou vende na Europa. A 42001 monta boa parte da evidência que ele exige.
O que dizemos antes de começar
Preferimos falar isso na primeira conversa e não na terceira. Fornecedor que só diz o que você quer ouvir cobra a diferença depois.
Boa parte do risco de IA não está no modelo, e sim no acesso concedido a ele. O controle mais eficaz costuma ser reduzir permissão, e não trocar de fornecedor.
Guardrail que atrapalha demais é desligado. Se o caminho seguro for mais lento que o atalho, o time usa o atalho, e você perde a visibilidade que tinha.
Não existe segurança de IA sem base de segurança. Empresa sem gestão de identidade, sem inventário e sem log não vai resolver isso na camada de IA.
Injeção de prompt não tem solução definitiva hoje. O que existe é redução de superfície e limitação de dano, e quem promete blindagem completa está vendendo o que não tem.
As normas
Em adoção na haapit
A ISO/IEC 42001 é a primeira norma internacional certificável de sistema de gestão de inteligência artificial. Estamos em estudo, adoção e validação interna antes de conduzir cliente nela, do mesmo jeito que fizemos com PCI-DSS. Quando dissermos que conduzimos, será porque já passamos.
Da análise de lacuna ao InPlace, e depois a manutenção do controle entre uma auditoria e a próxima. Com analistas QSA, SA, CISSP, CISA no time.
PCI-DSS
v3.2
14+ conduzidas
ISO 27001
Segurança
Gap ao InPlace
SOC 2
SSAE 16
Tipo I e II
SOC 1 · 3
ISAE 3402
Relatório
ISO 9001
Qualidade
Processo
SOX
Controles
Financeiro
LGPD
Privacidade
Adequação
ITIL · Cobit
Governança
Operação
Os selos indicam as normas em que a haapit conduz e sustenta projetos de adequação, não certificações emitidas em nome da haapit. As credenciais individuais do time são QSA, SA, CISSP, CISA.
Uma avaliação sem custo: inventário do que já está em operação, por onde o dado sensível circula e quais dos oito riscos estão abertos hoje no seu ambiente.