Formação sobre IA para os colaboradores: segurança da IA, conformidade com a IA e IA paralela

Resumindo: a formação em sensibilização para a IA ensina os colaboradores a reconhecer ataques que usam IA, como o phishing criado por IA e a clonagem de voz (sensibilização para a segurança da IA), e a usar ferramentas de IA no trabalho sem vazar dados nem infringir regras (conformidade com a IA). Desde 2 de fevereiro de 2025, o artigo 4.º da Lei da UE sobre a IA exige que as organizações que usam sistemas de IA tomem medidas para promover a literacia em IA dos seus colaboradores. Um bom programa abrange ambos os aspetos, baseia-se numa política clara sobre IA e mantém registos de quem recebeu formação.

A IA traz tantas oportunidades quanto riscos. Os atacantes usam-na para criar campanhas de phishing mais eficazes e falsificar vozes, enquanto os funcionários colam dados de clientes em chatbots públicos só para poupar dez minutos.

Comparação entre formação sobre sensibilização para a IA, sensibilização para a segurança na IA e conformidade com a IA

Muitas organizações começam pela segurança, porque essa ameaça é direta. A conformidade é igualmente urgente: muitos incidentes relacionados com a IA não começam com um hacker, mas sim com um colaborador bem-intencionado.

Como a IA muda o panorama das ameaças

Mensagens de phishing e engenharia social escritas por IA

O phishing costumava revelar-se por causa de uma linguagem desajeitada e saudações genéricas. A IA generativa elimina ambas as coisas: um modelo consegue ler o perfil de alguém no LinkedIn e escrever um e-mail no tom de um colega, em holandês ou alemão impecável, em qualquer escala. A Microsoft avaliou o impacto no seu Relatório de Defesa Digital 2025: o phishing automatizado por IA atingiu uma taxa de cliques de 54 por cento, 4,5 vezes superior à do phishing tradicional. Procurar erros ortográficos já não adianta. O que importa é avaliar o próprio pedido: é inesperado, urgente, sobre dinheiro ou dados de login? O nosso guia «O que é o phishing?» aborda o essencial.

Investigação sobre malware e vulnerabilidades com chatbots

Antigamente, criar malware ou investigar vulnerabilidades exigia hackers experientes. Em outubro de 2024, a OpenAI confirmou que tinha desmantelado mais de 20 operações maliciosas que abusavam do ChatGPT, entre outras coisas, para depurar malware e preparar ataques de spear phishing. Isso não deu novos recursos aos atacantes, mas tornou-os mais rápidos. O resultado para os funcionários: mais ataques na caixa de entrada, inclusive por parte de criminosos menos experientes.

Deepfakes e clonagem de voz

Um deepfake é um vídeo ou gravação de áudio falsa, mas realista, de uma pessoa real. Em 2024, um funcionário da Arup em Hong Kong transferiu cerca de 25,6 milhões de dólares americanos após uma videochamada em que o diretor financeiro e outros colegas eram todos deepfakes, segundo noticiou a CNN. Nesse mesmo ano, uns criminosos tentaram fazer-se passar pelo diretor executivo da WPP, Mark Read, com um clone de voz numa reunião do Teams, mas a tentativa falhou porque a equipa se manteve atenta. Em fevereiro de 2025, uma voz clonada do ministro da Defesa italiano, Guido Crosetto, convenceu o empresário Massimo Moratti a transferir quase um milhão de euros. O dinheiro foi rastreado até uma conta bancária holandesa e congelado. Tens mais casos reunidos nos nossos exemplos de deepfakes.

O mesmo truque é usado com pessoas comuns: uma chamada em que ouves a voz em pânico da tua filha a pedir dinheiro. Vais hesitar? A maioria das pessoas não hesitaria. Duvidar de uma voz familiar é exatamente o reflexo que a formação tem de desenvolver.

Shadow AI: o risco que começa por dentro

A «Shadow AI» é a utilização de ferramentas de IA que a organização não aprovou ou não consegue monitorizar: um chatbot gratuito numa conta pessoal, uma extensão do navegador que resume e-mails, uma aplicação de IA para tomar notas nas reuniões. O risco está no que entra. As versões gratuitas podem guardar o que escreves e usá-lo para treino, e um ficheiro de cliente que colaste já não dá para apagar.

No Relatório da IBM sobre o Custo de uma Violação de Dados de 2025, uma em cada cinco organizações analisadas relatou uma violação que envolveu IA paralela. Para as organizações com muita IA paralela, o custo de uma violação foi, em média, 670 000 dólares a mais do que para as organizações com pouca ou nenhuma. Apenas 37% das organizações tinham políticas para gerir a IA ou detetar a IA paralela.

A Autoridade Holandesa de Proteção de Dados recebeu dezenas de denúncias em 2024 e 2025 sobre a partilha de informações sensíveis através de chatbots. Na Câmara Municipal de Eindhoven, uma amostra interna revelou que os funcionários tinham introduzido documentos confidenciais em chatbots públicos ao longo de trinta dias, incluindo processos relativos à assistência a jovens, segundo noticiou o Accountant.nl em dezembro de 2025. Desde então, a Câmara Municipal bloqueou os sites públicos de IA.

O bloqueio por si só raramente resolve o problema, porque a IA poupa tempo às pessoas. A solução duradoura passa por uma política clara, uma alternativa aprovada e formação que explique por que razão as regras existem.

Por que é que a formação clássica em sensibilização para a segurança não chega

Muitos programas ainda ensinam as pessoas a identificar erros ortográficos em e-mails que já nem sequer contêm erros ortográficos, e não dizem nada sobre o que pode ser escrito num chatbot. A formação em sensibilização para a segurança da IA centra-se nas ameaças relacionadas com a IA, para que os colaboradores as reconheçam e as comuniquem. Isso é importante porque a maioria de nós sobrestima a nossa capacidade de identificar ameaças, até que o gestor de TI faça uma simulação de phishing e nós introduzamos as nossas credenciais.

Formação sobre conformidade em IA e a Lei da UE sobre IA

O principal marco legal na Europa é a Lei da IA da UE, o Regulamento (UE) n.º 2024/1689. No que diz respeito à formação, o artigo 4.º é o que importa. A partir de 2 de fevereiro de 2025, este artigo exige que os fornecedores e os utilizadores de sistemas de IA tomem medidas para promover a literacia em IA dos colaboradores que trabalham com IA em seu nome. Uma organização cujos colaboradores usem ferramentas como o ChatGPT ou o Copilot no trabalho é, geralmente, considerada um utilizador. O Pacote Digital sobre IA, em vigor desde julho de 2026, manteve a obrigação, mas eliminou a exigência de atingir um nível «suficiente», segundo a Comissão Europeia. As autoridades nacionais começam a aplicar a lei a partir de 2 de agosto de 2026. Não é preciso nenhum certificado: basta ter registos internos da formação. O que significa, na prática, ter conhecimentos de IA está explicado na nossa página sobre formação em conhecimentos de IA.

As multas previstas na Lei da IA podem ir até 35 milhões de euros ou 7% do volume de negócios mundial, mas esse limite máximo aplica-se apenas a práticas proibidas. O artigo 99.º não inclui o artigo 4.º entre as obrigações passíveis de multa. O verdadeiro risco: depois de um incidente, uma organização que não consiga provar que formou o seu pessoal vai ter muito que explicar.

A formação sobre conformidade em IA permite que os colaboradores e a direção se familiarizem com temas como:

• Categorias de risco: perceber se um sistema de IA é proibido, de alto risco ou nenhuma das duas coisas
• Transparência: informar as pessoas quando estão a lidar com IA ou com conteúdos gerados por IA
• Privacidade: o que o RGPD significa para os dados pessoais nas instruções, nos ficheiros enviados e nos resultados da IA
• Supervisão humana: verificar os resultados da IA antes de serem utilizados na tomada de decisões e manter um registo de auditoria

Uma política de utilização aceitável da IA: o que deve incluir

A formação sem uma política deixa os colaboradores na incerteza, e uma política sem formação acaba por ficar numa gaveta. Uma política de utilização aceitável da IA define as regras numa linguagem simples. Uma política prática cabe em duas páginas e abrange, pelo menos:

• Ferramentas aprovadas: quais as ferramentas de IA que podem ser utilizadas, com que conta e como solicitar uma nova
• Regras relativas aos dados: que dados nunca podem ser introduzidos (dados pessoais, ficheiros de clientes, código-fonte, contratos, palavras-passe) e o que pode ser introduzido nas ferramentas aprovadas
• Verificação do texto: o texto gerado pela IA é um rascunho, e a responsabilidade pelos factos, números e tom continua a ser da pessoa
• Utilizações proibidas: por exemplo, tomar decisões sobre pessoas sem supervisão humana, ou usar IA para tomar notas em reuniões confidenciais
• Comunicação de erros: onde comunicar um erro, como dados colados na ferramenta errada, sem medo de ser culpado
• Responsabilidade e revisão: quem é o responsável pela política e com que frequência é atualizada

A formação ajuda a consolidar a política, transformando regras em situações concretas. «Não introduzas dados pessoais» é algo abstrato. Um colega que cola uma reclamação de um cliente, incluindo a morada, num chatbot gratuito, já não é. Repete esses cenários e a política torna-se um hábito. É esse o cerne de uma cultura de sensibilização para a segurança.

O que abrange um programa de formação sobre a IA

Como implementar a formação em IA para os colaboradores

1. Mapeia a utilização da IA. Descobre quais são as ferramentas que são realmente utilizadas, por quem e para quê. Um pequeno inquérito anónimo revela, muitas vezes, mais do que os registos de rede.
2. Escreve ou atualiza a política de IA e apresenta uma alternativa aprovada para os casos de utilização mais comuns.
3. Estabelece uma referência. Faz uma simulação de phishing e um pequeno teste de conhecimentos antes do início da formação.
4. Treina constantemente em sessões curtas. Uma formação online anual esbate-se rapidamente, enquanto o microaprendizado, curto e regular, mantém os conhecimentos atualizados.
5. Adaptado a cada função: pedidos de pagamento falsos (deepfake) na área financeira, candidatos falsos nos RH, segredos nas ferramentas de IA para programadores, governação para a gestão.
6. Regista tudo: quem recebeu formação, quando e sobre o quê, além da versão da política. Essas são as tuas provas ao abrigo da Lei da IA e nas auditorias NIS2 e ISO 27001.

Certifica-te de que o programa que escolheres inclui um módulo de IA. O Guardey tem um: em desafios semanais curtos, com cerca de três minutos, os colaboradores aprendem sobre as mais recentes ameaças de IA, como os deepfakes. Estão incluídas simulações de phishing, as equipas competem em tabelas de classificação e os auditores aceitam os relatórios para a NIS2, a ISO 27001 e mais de 40 outras normas.

Como avaliar se a formação sobre a IA funciona

As taxas de conclusão mostram cliques, não o comportamento. Em vez disso, mede o comportamento:

• Resultados da simulação de phishing: a taxa de cliques e, mais importante ainda, a taxa de denúncias, acompanhadas ao longo do tempo
• Sinais da IA oculta: tráfego para ferramentas de IA não aprovadas e alertas de prevenção de perda de dados, antes e depois do treino
• Erros relatados pelos próprios: o facto de haver mais relatos costuma ser um bom sinal, porque as pessoas se atrevem a falar
• Participação ao longo do tempo: uma participação semanal constante diz mais do que um pico após uma sessão obrigatória

Analisa os números todos os trimestres, juntamente com as novas ferramentas de IA que estão a ser utilizadas e as novas técnicas de ataque. Um programa que não seja atualizado várias vezes por ano fica para trás em relação aos atacantes que se destina a impedir.

Perguntas mais frequentes

O que é a formação sobre a IA?

Formação que ensina aos colaboradores como os criminosos usam a IA em ataques como os deepfakes e como utilizar ferramentas de IA no trabalho de forma segura e dentro das regras. Normalmente, são módulos curtos e recorrentes.

Qual é a diferença entre a formação em sensibilização para a segurança em IA e a formação em conformidade com a IA?

A formação em sensibilização para a segurança na IA tem a ver com a defesa contra ataques que usam IA, como o phishing, os deepfakes e a clonagem de voz. A formação em conformidade com a IA tem a ver com a forma como usas a IA: ferramentas aprovadas, proteção de dados, a Lei da IA da UE e a política da empresa em matéria de IA. A maioria das organizações precisa das duas.

A formação em IA para os colaboradores é obrigatória ao abrigo da Lei da UE sobre a IA?

Desde 2 de fevereiro de 2025, o artigo 4.º exige que as organizações que utilizam sistemas de IA promovam a literacia em IA dos seus colaboradores. A lei não exige nenhum curso ou certificação específica, mas a formação com registo é a forma habitual de cumprir esta exigência.

O que é a IA «sombra»?

A «Shadow AI» é a utilização de ferramentas de IA que a organização não aprovou, muitas vezes chatbots gratuitos em contas pessoais. O principal risco é que dados confidenciais ou pessoais acabem por ficar em ferramentas que a organização não controla.

A formação em sensibilização para a segurança com recurso à IA é a mesma coisa que a formação em sensibilização para a IA?

Não. Na formação baseada em IA, a própria plataforma usa IA, por exemplo, para personalizar conteúdos. A formação sobre sensibilização para a IA centra-se na IA enquanto tema. Uma plataforma pode fazer as duas coisas.