Estratégia de governança de IA: Além da fachada de conformidade

A IA está criando urgência no nível do conselho e um problema de definição no mercado. Em junho de 2026, a Gartner publicou seu inaugural Magic Quadrant for AI Governance Platforms, oferecendo uma estrutura para avaliar as plataformas que as organizações podem usar para supervisionar seus patrimônios de IA: catalogar casos de uso de IA, gerenciar riscos de modelos, aplicar políticas de IA responsável e demonstrar conformidade com regulamentações emergentes como o EU AI Act. Mas qualquer estratégia de governança construída inteiramente em torno da supervisão do modelo está perdendo a base. Antes de você poder governar sistemas de IA, você precisa governar o que esses sistemas podem tocar.

Em conversas com CIOs e CISOs, uma preocupação diferente continua surgindo. Eles precisam governar os dados sensíveis que a IA ingere e reutiliza, e as identidades agentivas que proliferam em seus ambientes. Esses problemas distintos, mas urgentes, não são o foco do relatório da Gartner.

O risco é real: o 2026 Data & Identity Security Report da Netwrix, que pesquisou 2.317 líderes de segurança e TI em todo o mundo, encontrou uma taxa de violação de 43% em organizações onde a IA aumentou significativamente a pegada de identidade nos últimos 12 meses. Isso é quase quatro vezes a taxa de 11% em organizações onde não aconteceu. Apenas um framework de conformidade não fechará essa lacuna.

As organizações estão escalando IA com controles insuficientes de dados e identidade

A governança de IA tem duas dimensões, e a maioria dos frameworks aborda apenas uma

A definição da Gartner é precisa, mas incompleta.

Seguindo a definição da Gartner, as plataformas de governança de IA são projetadas para governar o próprio sistema de IA: quais modelos estão em uso, como eles se comportam, se cumprem a política e se a organização pode demonstrar responsabilidade aos reguladores. Essa é uma dimensão da governança de IA.

Para a maioria das organizações, as preocupações mais urgentes a serem tratadas primeiro são (1) colocar seus dados em ordem e (2) reforçar seus controles de identidade. Em um contexto de IA, isso inclui governar quais dados a IA pode acessar e as identidades que a IA assume em seus ambientes. Toda iniciativa de IA, desde uma implantação simples do Copilot até um fluxo de trabalho agente complexo, opera sobre dados. Se esses dados estiverem superexpostos, mal classificados ou acessíveis a identidades com permissões excessivas, nenhuma quantidade de documentação de model-card ou testes de viés evitará uma violação. E à medida que os agentes de IA recebem seus próprios direitos de acesso, incluindo contas de serviço, tokens e permissões persistentes, eles mesmos se tornam identidades, com toda a superfície de ataque que isso implica.

Identidades não humanas: A lacuna de governança que os atacantes encontrarão primeiro

Uma pergunta merece atenção especial: quão bem você está governando identidades não humanas? Agentes de IA não são mais uma preocupação futura. Eles estão sendo implantados hoje e estão adquirindo direitos de acesso a dados, sistemas e APIs em um ritmo que a maioria dos programas de governança de identidade não foi projetada para acompanhar. Um agente de IA com acesso permanente e estabelecido a dados sensíveis é um risco de identidade tão real quanto qualquer usuário humano privilegiado e, em muitos ambientes, é muito menos fiscalizado. Se seu programa de governança de identidade não cobre explicitamente identidades não humanas e agentes de IA, há uma lacuna que os invasores encontrarão antes dos seus auditores.

Os dados da nossa pesquisa destacam a urgência: 74% das organizações não possuem uma visão única e unificada dos dados sensíveis e das identidades que podem acessar esses dados. Organizações que correm para implantar IA sobre essa base podem estar acelerando seus negócios, mas também ampliando seus riscos.

Segurança de dados e identidade: O pré-requisito para a estratégia de governança de IA

Embora o relatório da Gartner se concentre na governança do uso da IA, é imperativo que CIOs, CISOs e oficiais de conformidade que iniciam um programa de governança de IA priorizem a segurança e governança de dados, bem como a segurança e governança de identidade. Todo líder de TI e segurança deve começar hoje com uma avaliação de sua própria prontidão para IA, começando com uma revisão de sua postura de dados e identidade.

Para ajudar neste esforço, a Netwrix compilou uma lista de verificação de perguntas para fazer às suas equipes:

Lista de verificação de governança de IA: prontidão para segurança de dados e segurança de identidade

• Descobrimos e classificamos todos os nossos dados?
• Temos um inventário completo de onde os dados sensíveis residem em nosso ambiente?
• Temos uma visão única e unificada de onde estão nossos dados sensíveis e quais identidades (humanas, contas de serviço, agentes de IA, etc.) podem acessá-los?
• Quão rapidamente podemos determinar quais identidades têm acesso a um dado sensível específico?
• Podemos identificar permissões de acesso a dados excessivas ou desnecessárias?
• Nossos direitos de acesso a dados são tão restritos quanto poderiam ser (por exemplo, estamos aplicando o princípio do menor privilégio ou temos alguma superprovisão)?
• Com que rapidez identidades não humanas podem acessar dados sensíveis em nosso ambiente?
• Quão bem podemos descobrir, rastrear e monitorar identidades com direitos de acesso a dados?
• Quão maduros somos na governança de identidades não humanas?
• Nossos controles de acesso a dados para identidades não humanas (incluindo agentes de IA) são gerenciados tão rigorosamente quanto os de nossas identidades humanas?
• Podemos revogar imediatamente o acesso a dados sensíveis quando não forem mais necessários?
  • Para humanos? Para agentes de IA?
• Podemos executar a descoberta contínua dos dados e das identidades que podem acessá-los, ou ainda estamos realizando revisões periódicas que deixam possíveis lacunas de exposição?
• Podemos detectar combinações de acesso arriscadas ou tóxicas (por exemplo, aprovar + modificar + excluir)?
• Quando um acesso excessivo ou arriscado é identificado, quão rapidamente podemos remediá-lo?
• Com que frequência as contas privilegiadas recebem acesso permanente e sempre ativo a sistemas ou dados sensíveis?
• Estamos confiantes de que nosso ambiente de diretório (por exemplo, Active Directory, Entra ID, etc.) está livre de configurações incorretas que possam permitir a escalada de privilégios?
• Podemos bloquear dados sensíveis e código-fonte de serem enviados para LLMs não autorizados em nossos endpoints?
  • E quanto além do Windows (por exemplo, para dispositivos Mac ou Linux)?
• Temos visibilidade sobre quais dados o Copilot pode acessar, e os dados são gerenciados adequadamente para que dados sensíveis não sejam inadvertidamente expostos aos funcionários via Copilot?
• Temos visibilidade e controle sobre o uso de tokens e credenciais em texto simples em nossos ambientes de codificação de IA (uma prática comum explorável por atacantes)?
• Quão confiantes estamos de que podemos demonstrar conformidade com as regulamentações emergentes de IA (por exemplo, o EU AI Act, ou outras regulamentações nacionais/locais/setoriais)?
• Quem é responsável pelos riscos relacionados à IA em nossa organização?
  • Eles estão equipados com visibilidade e controle suficientes para responder às perguntas do conselho ou do auditor?

Respostas a perguntas como essas fornecem uma noção de onde estão suas lacunas e áreas para priorizar para garantir a prontidão para IA.

As equipes de TI e segurança estão no limite

Na pesquisa da Netwrix, descobrimos que 60% das organizações apontam como maior barreira para melhorar a segurança de identidade e dados atualmente as restrições orçamentárias ou a falta de habilidades e pessoal. Mesmo com a IA criando uma nova urgência, as equipes de TI e segurança com recursos limitados ainda têm opções para simplificar a governança e a segurança de identidade e dados.

Um desafio urgente para equipes pequenas e grandes é a fragmentação das ferramentas: 20% dos entrevistados na pesquisa citaram isso como a principal barreira para melhorar a segurança de identidade e dados, posicionando-a logo atrás das restrições orçamentárias e das lacunas de habilidades e pessoal.

Reduzir a proliferação de ferramentas para fortalecer sua estratégia de governança de IA

A Netwrix está facilitando o sucesso das equipes sobrecarregadas ao reduzir a proliferação de ferramentas com Netwrix 1Secure™, que unifica capacidades críticas de segurança e conformidade de dados e identidade em um único ambiente SaaS. O 1Secure pode gerar relatórios em apenas 20 minutos para destacar riscos de exposição e fornecer orientações para remediação.

Você também pode comparar a maturidade da sua segurança em relação a organizações semelhantes usando a ferramenta gratuita Security Maturity Assessment. Para ver como a Netwrix aborda a governança de IA para Copilot e a proteção de dados LLM, visite a página da plataforma AI Governance.

Governança de IA sem segurança de dados e identidade é uma fachada de conformidade

Um programa de governança de IA que governa apenas os sistemas de IA, sem governar os dados aos quais a IA pode acessar e as identidades que a IA assume, é uma estratégia incompleta. As organizações que estão à frente disso não esperam que uma plataforma de governança lhes diga como seus modelos estão se comportando. Elas começam hoje entendendo sua postura de dados, apertando seus controles de identidade e tratando os agentes de IA como as identidades que são. Esse é o trabalho que faz a diferença entre um programa de governança que marca as caixas de um auditor e um que realmente reduz o risco.