Treinamento de conscientização sobre IA para funcionários: segurança em IA, conformidade com IA e IA oculta

Em resumo: o treinamento de conscientização sobre IA ensina os funcionários a reconhecer ataques que utilizam IA, como mensagens de phishing criadas por IA e clonagem de voz (conscientização sobre segurança em IA), e a utilizar ferramentas de IA no trabalho sem vazar dados ou infringir regras (conformidade com a IA). Desde 2 de fevereiro de 2025, o artigo 4º da Lei de IA da UE exige que as organizações que utilizam sistemas de IA tomem medidas para promover a alfabetização em IA de seus funcionários. Um bom programa abrange ambos os aspectos, baseia-se em uma política clara de IA e mantém registros de quem recebeu o treinamento.

A IA traz tantas oportunidades quanto riscos. Os invasores a utilizam para criar campanhas de phishing mais sofisticadas e falsificar vozes, enquanto os funcionários colam dados de clientes em chatbots públicos para economizar dez minutos.

Comparação entre treinamentos sobre conscientização em IA, segurança em IA e conformidade em IA

Muitas organizações começam pela segurança, pois essa ameaça é direta. A conformidade é igualmente urgente: muitos incidentes envolvendo IA não começam com um hacker, mas com um funcionário bem-intencionado.

Como a IA transforma o panorama das ameaças

Mensagens de phishing e engenharia social criadas por IA

O phishing costumava se revelar por meio de uma linguagem desajeitada e saudações genéricas. A IA generativa elimina ambos: um modelo pode ler o perfil de alguém no LinkedIn e escrever um e-mail no tom de um colega, em holandês ou alemão impecável, em qualquer escala. A Microsoft avaliou o efeito em seu Relatório de Defesa Digital 2025: o phishing automatizado por IA atingiu uma taxa de cliques de 54%, 4,5 vezes maior do que o phishing tradicional. Procurar erros ortográficos não funciona mais. O que funciona é avaliar a própria solicitação: ela é inesperada, urgente, sobre dinheiro ou dados de login? Nosso guia “O que é phishing” aborda os conceitos básicos.

Pesquisa sobre malware e vulnerabilidades com chatbots

Antigamente, criar malware ou pesquisar vulnerabilidades exigia hackers experientes. Em outubro de 2024, a OpenAI confirmou ter interrompido mais de 20 operações maliciosas que faziam uso indevido do ChatGPT, entre outras coisas, para depurar malware e preparar ataques de spear phishing. Isso não proporcionou novos recursos aos invasores, mas os tornou mais rápidos. O resultado para os funcionários: mais ataques em suas caixas de entrada, inclusive por parte de criminosos menos experientes.

Deepfakes e clonagem de voz

Um deepfake é uma gravação de vídeo ou áudio falsa, mas realista, de uma pessoa real. Em 2024, um funcionário da Arup em Hong Kong transferiu cerca de US$ 25,6 milhões após uma videochamada na qual o diretor financeiro e outros colegas eram todos deepfakes, segundo reportagem da CNN. Naquele mesmo ano, criminosos tentaram se passar pelo diretor executivo da WPP, Mark Read, usando um clone de voz em uma reunião no Teams, o que fracassou porque a equipe permaneceu alerta. Em fevereiro de 2025, uma voz clonada do ministro da Defesa italiano, Guido Crosetto, convenceu o empresário Massimo Moratti a transferir quase um milhão de euros. O dinheiro foi rastreado até uma conta bancária na Holanda e congelado. Mais casos estão reunidos em nossos exemplos de deepfakes.

O mesmo truque é usado com pessoas comuns: uma ligação em que você ouve a voz apavorada da sua filha pedindo dinheiro. Você hesitaria? A maioria das pessoas não hesitaria. Duvidar de uma voz conhecida é exatamente o reflexo que o treinamento precisa desenvolver.

Shadow AI: o risco que começa por dentro

A “IA na sombra” é o uso de ferramentas de IA que a organização não aprovou ou não tem como monitorar: um chatbot gratuito em uma conta pessoal, uma extensão de navegador que resume e-mails, um aplicativo de IA para anotações em reuniões. O risco está no que é inserido. Versões gratuitas podem armazenar o que você digita e usar essas informações para treinamento, e um arquivo de cliente colado não pode ser recuperado.

No Relatório da IBM sobre o Custo de uma Violação de Dados de 2025, uma em cada cinco organizações pesquisadas relatou uma violação envolvendo IA oculta. Para organizações com grande quantidade de IA oculta, o custo de uma violação foi, em média, US$ 670.000 a mais do que para organizações com pouca ou nenhuma IA oculta. Apenas 37% das organizações possuíam políticas para gerenciar a IA ou detectar a IA oculta.

A Autoridade Holandesa de Proteção de Dados recebeu dezenas de denúncias em 2024 e 2025 sobre o compartilhamento de informações confidenciais por meio de chatbots. Na prefeitura de Eindhoven, uma amostragem interna revelou que funcionários haviam enviado documentos confidenciais para chatbots públicos ao longo de trinta dias, incluindo arquivos relacionados à assistência a jovens, conforme noticiado pelo site Accountant.nl em dezembro de 2025. Desde então, a prefeitura bloqueou sites públicos de IA.

O simples bloqueio raramente resolve o problema, pois a IA economiza tempo para as pessoas. A solução duradoura é uma política clara, uma alternativa aprovada e um treinamento que explique por que as regras existem.

Por que o treinamento clássico de conscientização sobre segurança não é suficiente

Muitos programas ainda ensinam as pessoas a identificar erros ortográficos em e-mails que já não contêm erros ortográficos, e não dizem nada sobre o que pode ser digitado em um chatbot. O treinamento de conscientização sobre segurança em IA enfoca as ameaças relacionadas à IA, para que os funcionários as reconheçam e as denunciem. Isso é importante porque a maioria de nós superestima nossa capacidade de identificar ameaças, até que o gerente de TI realize uma simulação de phishing e a gente digite nossas credenciais.

Treinamento em conformidade com a IA e a Lei da UE sobre IA

O principal marco legal na Europa é a Lei da IA da UE, Regulamento (UE) 2024/1689. No que diz respeito ao treinamento, o artigo 4º é o que prevalece. A partir de 2 de fevereiro de 2025, ele exige que os provedores e implantadores de sistemas de IA tomem medidas para promover a alfabetização em IA dos funcionários que trabalham com IA em seu nome. Uma organização cujos funcionários utilizam ferramentas como o ChatGPT ou o Copilot para o trabalho geralmente é considerada um implantador. O Pacote Digital sobre IA, em vigor desde julho de 2026, manteve a obrigação, mas eliminou a exigência de atingir um nível “suficiente”, de acordo com a Comissão Europeia. As autoridades nacionais passam a fiscalizar a partir de 2 de agosto de 2026. Não é necessário nenhum certificado: os registros internos de treinamento são suficientes. O que significa, na prática, “conhecimento sobre IA” é explicado em nossa página sobre treinamento em conhecimento sobre IA.

As multas previstas na Lei de IA podem chegar a € 35 milhões ou 7% do faturamento mundial, mas esse teto se aplica apenas a práticas proibidas. O artigo 99 não inclui o artigo 4 entre as obrigações passíveis de multa. O verdadeiro risco: após um incidente, uma organização que não consiga comprovar que treinou seus funcionários terá muito o que explicar.

O treinamento em conformidade com IA familiariza os funcionários e a gerência com temas como:

• Categorias de risco: identificar se um sistema de IA é proibido, de alto risco ou nenhum dos dois
• Transparência: informar às pessoas quando estão lidando com IA ou com conteúdo gerado por IA
• Privacidade: o que o GDPR significa para os dados pessoais em prompts, uploads e resultados gerados pela IA
• Supervisão humana: verificar os resultados da IA antes de serem utilizados na tomada de decisões e manter um registro de auditoria

Uma política de uso aceitável de IA: o que ela deve conter

O treinamento sem uma política deixa os funcionários na dúvida, e uma política sem treinamento acaba guardada em uma gaveta. Uma política de uso aceitável de IA estabelece as regras em linguagem simples. Uma política viável cabe em duas páginas e abrange, no mínimo:

• Ferramentas aprovadas: quais ferramentas de IA podem ser utilizadas, com qual conta e como solicitar uma nova
• Regras sobre dados: quais dados nunca devem ser inseridos (dados pessoais, arquivos de clientes, código-fonte, contratos, senhas) e quais podem ser inseridos nas ferramentas aprovadas
• Verificação do conteúdo: o texto gerado pela IA é um rascunho, e uma pessoa continua sendo responsável pelos fatos, números e tom do texto
• Usos proibidos: por exemplo, decisões sobre pessoas sem supervisão humana ou o uso de sistemas de IA para tomar notas em reuniões confidenciais
• Notificação: onde relatar um erro, como dados colados na ferramenta errada, sem medo de ser culpado
• Responsabilidade e revisão: quem é o responsável pela política e com que frequência ela é atualizada

O treinamento garante que a política seja cumprida, transformando regras em situações concretas. “Não insira dados pessoais” é uma orientação abstrata. Um colega que cola uma reclamação de cliente, incluindo o endereço, em um chatbot gratuito, por outro lado, não é. Repita esses cenários e a política se tornará um hábito. Esse é o cerne de uma cultura de conscientização sobre segurança.

O que abrange um programa de treinamento sobre conscientização em IA

Como implementar um treinamento em IA para os funcionários

1. Mapeie o uso da IA. Descubra quais ferramentas são realmente utilizadas, por quem e para quê. Uma breve pesquisa anônima costuma revelar mais do que os registros de rede.
2. Elaborar ou atualizar a política de IA e propor uma alternativa aprovada para os casos de uso mais comuns.
3. Estabeleça uma linha de base. Realize uma simulação de phishing e uma breve avaliação de conhecimentos antes do início do treinamento.
4. Treine continuamente em sessões curtas. Um curso de e-learning anual é esquecido rapidamente, enquanto o microaprendizado, curto e regular, mantém o conhecimento atualizado.
5. Adaptado a cada função: solicitações de pagamento falsas (deepfake) na área financeira, candidatos falsos no RH, segredos nas ferramentas de IA para desenvolvedores e governança para a gerência.
6. Documente tudo: quem recebeu treinamento, quando e sobre o quê, além da versão da política. Essas são suas evidências nos termos da Lei de IA e nas auditorias da NIS2 e da ISO 27001.

Certifique-se de que o programa escolhido inclua um módulo de IA. O Guardey possui um: por meio de desafios semanais curtos, com duração de cerca de três minutos, os funcionários aprendem sobre as mais recentes ameaças de IA, como os deepfakes. Simulações de phishing estão incluídas, as equipes competem em tabelas de classificação e os auditores aceitam os relatórios para NIS2, ISO 27001 e mais de 40 outras normas.

Como avaliar se o treinamento de conscientização sobre IA é eficaz

As taxas de conclusão mostram cliques, não o comportamento. Em vez disso, avalie o comportamento:

• Resultados da simulação de phishing: a taxa de cliques e, mais importante, a taxa de denúncias, acompanhadas ao longo do tempo
• Sinais do Shadow AI: tráfego para ferramentas de IA não aprovadas e alertas de prevenção contra perda de dados, antes e depois do treinamento
• Erros relatados pelos próprios envolvidos: um número maior de relatos costuma ser um bom sinal, pois as pessoas se sentem à vontade para se manifestar
• Participação ao longo do tempo: uma participação semanal constante diz mais do que um pico após uma sessão obrigatória

Analise os números a cada trimestre, levando em conta as novas ferramentas de IA em uso e as novas técnicas de ataque. Um programa que não seja atualizado várias vezes por ano fica para trás em relação aos invasores que deveria impedir.

Perguntas frequentes

O que é o treinamento de conscientização sobre IA?

Treinamento que ensina aos funcionários como os criminosos utilizam a IA em ataques, como os deepfakes, e como usar ferramentas de IA no trabalho com segurança e dentro das regras. Geralmente, trata-se de módulos curtos e recorrentes.

Qual é a diferença entre o treinamento de conscientização sobre segurança em IA e o treinamento de conformidade em IA?

O treinamento de conscientização sobre segurança em IA trata da defesa contra ataques que utilizam IA, como phishing, deepfakes e clonagem de voz. O treinamento de conformidade em IA aborda o uso que você faz da IA: ferramentas aprovadas, proteção de dados, a Lei de IA da UE e a política de IA da empresa. A maioria das organizações precisa de ambos.

A capacitação em IA para funcionários é obrigatória nos termos da Lei da IA da UE?

Desde 2 de fevereiro de 2025, o artigo 4º exige que as organizações que utilizam sistemas de IA promovam a alfabetização em IA de seus funcionários. A lei não determina nenhum curso ou certificado específico, mas o treinamento com comprovação é a forma usual de cumprir essa exigência.

O que é a IA oculta?

A “IA na sombra” consiste no uso de ferramentas de IA não aprovadas pela organização, geralmente chatbots gratuitos em contas pessoais. O principal risco é que dados confidenciais ou pessoais acabem sendo acessíveis por ferramentas que a organização não controla.

O treinamento de conscientização em segurança baseado em IA é o mesmo que o treinamento de conscientização sobre IA?

Não. No treinamento baseado em IA, a própria plataforma utiliza IA, por exemplo, para personalizar o conteúdo. O treinamento de conscientização sobre IA trata da IA como tema. Uma plataforma pode oferecer ambas as opções.