Alerta da Akamai sobre IA Sombra expõe uma lacuna no controle corporativo

A Akamai fez um alerta contundente: quase metade dos usuários corporativos acessa ferramentas de IA, e grande parte dessa atividade pode escapar dos controles corporativos estabelecidos.

A constatação surgiu em uma manchete truncada do Google News que direcionava para um comunicado da Akamai distribuído pela GlobeNewswire. A listagem omitia o complemento após “contorna”, deixando a afirmação central incompleta. A pesquisa mais ampla da Akamai, porém, identifica claramente o conflito ausente: o uso produtivo de IA ocorre cada vez mais fora de identidades gerenciadas, contas aprovadas e canais de segurança visíveis.

Não se trata apenas de mais uma pesquisa mostrando que trabalhadores gostam do ChatGPT. Ela descreve um choque entre a demanda dos funcionários e o modelo de controle que as empresas criaram para softwares convencionais. OpenAI, Google, Anthropic, Microsoft e centenas de provedores menores disponibilizaram ferramentas avançadas por meio de um navegador comum.

Por isso, a questão de segurança mudou. As empresas não precisam mais apenas decidir quais sistemas de IA aprovam. Elas precisam determinar se informações sensíveis chegam a qualquer modelo por meio de contas pessoais, textos colados, uploads, extensões ou recursos incorporados.

A inversão é desconfortável. As empresas passaram anos centralizando identidade, acesso e aquisição de software. A adoção de IA agora está descentralizando os três a partir do navegador.

A manchete aponta para um ponto cego do tamanho de um navegador

O alerta da Akamai diz respeito ao caminho que os funcionários usam para acessar IA, e não apenas ao número de pessoas que a estão experimentando.

As evidências disponíveis vêm, em parte, da LayerX, empresa de segurança de navegador adquirida pela Akamai. A LayerX coleta telemetria sobre atividades dentro de aplicações web, incluindo logins, uploads, textos colados e transições entre contas corporativas e pessoais.

Sua pesquisa publicada constatou que 45% dos usuários corporativos acessaram IA generativa a partir de endpoints corporativos. O ChatGPT representou 92% do uso de IA observado nesse conjunto de dados.

Esses números não significam que 45% de todos os funcionários do mundo usam o ChatGPT. Eles descrevem a atividade entre as organizações e os endpoints abrangidos pela telemetria do fornecedor. Essa distinção é importante ao interpretar qualquer relatório de uma empresa de segurança.

A mesma pesquisa identificou um padrão mais relevante. Quarenta por cento dos arquivos enviados a ferramentas de IA continham informações corporativas sensíveis. Vinte e dois por cento dos textos colados também continham material sensível.

Essas porcentagens medem transferências inspecionadas, não violações confirmadas. Um upload sensível pode ser autorizado, devidamente protegido e necessário para um trabalho legítimo. Ele também pode passar por uma conta pessoal que o empregador não consegue auditar.

A LayerX informou que 32% das transferências de dados entre contas corporativas e pessoais ocorreram por meio de plataformas de IA. Suas conclusões mais amplas sobre uso de IA colocam o navegador no centro dessa exposição.

Isso ajuda a explicar a linguagem truncada de “contorna” na listagem do Google News. Os controles relevantes incluem identidade corporativa, login único, regras para contas aprovadas, políticas de prevenção contra perda de dados e o processo normal de revisão de software.

O login único, comumente chamado de SSO, permite que um empregador gerencie o acesso por meio de uma única identidade corporativa. Contas pessoais de IA evitam essa camada de identidade, mesmo quando os funcionários as usam em dispositivos da empresa.

A governança tradicional de software pressupõe que a TI possa descobrir uma aplicação, aprová-la, provisionar o acesso e depois removê-lo. Ferramentas de IA para consumidores comprimem a adoção em uma visita, um login e um prompt.

Nenhuma solicitação de instalação é necessária. Um trabalhador pode abrir um chatbot, autenticar-se com um endereço de e-mail pessoal e colar um documento de cliente em poucos minutos.

A IA incorporada complica ainda mais a descoberta. Recursos generativos agora aparecem em suítes de produtividade, ferramentas de design, plataformas de reuniões, sistemas de clientes e extensões de navegador. Os funcionários podem não considerar cada recurso um serviço de IA separado.

A Akamai define IA sombra como o uso de IA sem o conhecimento, a aprovação ou a supervisão das equipes de TI, segurança ou conformidade. Isso inclui mais do que chatbots não autorizados.

Um desenvolvedor pode enviar código proprietário a um assistente pessoal de programação. Um profissional de marketing pode fazer upload de uma lista de clientes para gerar segmentos de campanha. Um gestor pode conectar um agente a documentos na nuvem sem revisar suas permissões.

Cada ação pode parecer tráfego comum de navegador. O elemento de risco é o contexto, incluindo a identidade do usuário, as informações transferidas e o tratamento contratual dado a essas informações pelo provedor.

Um firewall pode enxergar uma conexão com um domínio permitido. Ele não sabe automaticamente se o funcionário utilizou uma conta empresarial gerenciada ou uma conta privada.

Essa é a mudança central por trás do relatório. A IA empresarial tornou-se comum o suficiente para que governar o acesso apenas pelo nome da aplicação já não ofereça visibilidade adequada.

Por que os controles de IA empresarial estão perdendo a corrida da adoção

Os funcionários contornam caminhos aprovados quando a IA para consumidores oferece acesso mais rápido, recursos mais amplos ou menos obstáculos processuais.

A IA sombra frequentemente começa com uma tarefa prática, e não com intenção maliciosa. Um trabalhador precisa resumir uma reunião, revisar uma proposta, inspecionar código ou comparar vários documentos.

O assistente aprovado pode não ter o modelo preferido, aceitar menos tipos de arquivo ou continuar indisponível para aquele departamento. As análises de aquisição e segurança também podem avançar mais lentamente do que o trabalho.

Um chatbot pessoal oferece acesso imediato. O funcionário vê uma ferramenta de produtividade, enquanto a equipe de segurança vê um processador de dados não avaliado.

Essa diferença de incentivos explica por que proibições produzem resultados limitados. Bloquear um serviço pode redirecionar usuários para outro provedor, um dispositivo móvel, um perfil pessoal de navegador ou um recurso incorporado.

Uma política eficaz precisa abordar o motivo pelo qual os funcionários escolheram a rota não oficial. Caso contrário, a aplicação das regras trata o sintoma visível enquanto preserva a demanda.

A própria orientação da Akamai afirma que o uso sombra cai quando as empresas oferecem ferramentas aprovadas e capazes, com proteções contratuais, registros de auditoria e integração com SSO. A rota segura ainda precisa resolver o problema do usuário.

A comparação histórica é a TI sombra, que cresceu à medida que departamentos compravam aplicações em nuvem sem aprovação central. As equipes de segurança acabaram adotando corretores de acesso à nuvem, descoberta de aplicações e processos de aquisição mais flexíveis.

A IA eleva os riscos porque a transação frequentemente contém dados empresariais. Uma aplicação convencional não autorizada pode armazenar o cronograma de um novo projeto. Uma interação com chatbot pode transmitir imediatamente código-fonte, linguagem jurídica, registros de clientes ou uma estratégia ainda não divulgada.

Sistemas generativos também produzem resultados que os trabalhadores podem reutilizar sem documentar sua origem. Isso introduz questões sobre precisão, propriedade intelectual, viés e responsabilidade, além da exposição de dados.

O mesmo serviço de IA pode apresentar perfis de risco diferentes dependendo da conta. Um contrato empresarial pode fornecer controles de retenção, registros administrativos e restrições ao treinamento de modelos.

Uma conta pessoal pode não ter essas proteções. Portanto, as equipes de segurança precisam distinguir identidades e sessões, e não apenas reconhecer o domínio de destino.

Essa diferença pressiona diretores de informação e líderes de segurança em direções opostas. Espera-se que CIOs ampliem a adoção de IA, enquanto líderes de segurança precisam reduzir a movimentação descontrolada de dados.

Líderes de negócios acrescentam outra exigência: produtividade mensurável. Se o ambiente oficial desacelera os funcionários sem melhorar os resultados, o uso sombra se torna uma resposta previsível.

Esse conflito aparece além da base de clientes da Akamai. A Axios informou que as empresas comumente tinham 67 ferramentas de IA generativa em uso, sendo que 90% não contavam com licenciamento ou aprovação adequados. Sua reportagem sobre IA sombra descreveu fornecedores de segurança correndo para fechar a lacuna de visibilidade.

Novamente, as medições dos fornecedores variam conforme a população de clientes, o método de coleta e a definição. Uma empresa pode contar domínios, enquanto outra contabiliza aplicações, contas, usuários ou sessões individuais.

A tendência é mais confiável do que qualquer porcentagem isolada. Os funcionários têm muitas rotas para acessar IA, e os inventários empresariais consistentemente capturam apenas parte dessa atividade.

A pressão não se limita às equipes de segurança. Departamentos jurídicos precisam determinar quais provedores podem processar informações reguladas ou confidenciais.

Equipes de privacidade precisam entender para onde prompts e arquivos viajam. Equipes de compras devem avaliar uma lista crescente de recursos de IA, incluindo funções adicionadas a produtos já contratados.

Gestores também precisam de regras para resultados gerados. Uma ferramenta aprovada não torna toda resposta precisa, e um acordo empresarial não valida toda decisão tomada com base em sua saída.

O problema de controle, portanto, tem duas camadas. As empresas precisam governar as informações que entram nos sistemas de IA e as decisões que saem deles.

Bloquear contas não autorizadas aborda apenas a primeira camada. Isso não estabelece quando uma resposta gerada precisa de revisão, quais fontes o sistema utilizou ou quem continua responsável.

Essa carga mais ampla de governança explica por que a corrida da adoção parece desigual. Um trabalhador pode começar a usar IA imediatamente, enquanto uma estrutura completa de controle empresarial exige cooperação entre vários departamentos.

A verdadeira disputa é entre IA gerenciada e IA útil

O principal concorrente não é a Akamai contra outro fornecedor de segurança; é a IA gerenciada contra as ferramentas que os funcionários consideram mais úteis.

As empresas às vezes enquadram segurança e produtividade como objetivos opostos. Esse enquadramento incentiva controles rígidos, incluindo bloqueios completos, listas restritas de permissões e processos de aprovação demorados.

Os funcionários então enfrentam uma escolha simples. Podem esperar por um fluxo de trabalho aprovado ou concluir a tarefa com um serviço de consumo conhecido.

A melhor disputa diz respeito à qualidade do produto. Um assistente gerenciado precisa oferecer capacidade, contexto, velocidade e confiabilidade suficientes para se tornar a escolha padrão.

O contexto é especialmente importante. Trabalhadores do conhecimento precisam que a IA opere sobre documentos, conversas, histórico de projetos e materiais internos especializados.

Esse acesso também cria riscos. Permissões amplas podem expor informações que um trabalhador não percebia que poderia recuperar por meio de uma interface de IA.

Um ambiente de conhecimento gerenciado deve preservar os limites de acesso existentes. Ele também deve mostrar quais fontes sustentaram uma resposta e manter a recuperação dentro de materiais autorizados.

É nesse ponto que uma base de conhecimento pessoal pode reduzir cópias improvisadas entre sistemas empresariais e chatbots públicos. A captura local ou controlada não elimina as responsabilidades de governança, mas pode reduzir transferências desnecessárias.

Os controles de segurança precisam operar no momento da interação. Ferramentas de rede continuam úteis, mas podem não distinguir informações ocultas dentro de sessões criptografadas do navegador.

Controles no nível do navegador podem identificar a conta ativa, inspecionar um upload e reconhecer um texto colado antes que a informação deixe o endpoint. Em seguida, podem alertar, redigir, bloquear ou registrar a ação.

O Workforce Protector da Akamai, anteriormente LayerX, reflete essa abordagem. Segundo a Akamai, ele governa o comportamento de usuários e agentes dentro das aplicações, em vez de depender apenas do tráfego de perímetro.

A empresa tem interesse comercial em definir o navegador como o ponto crítico de aplicação de controles. Os compradores devem avaliar essa alegação em conjunto com alternativas de segurança de endpoint, rede, identidade e dados.

Nenhuma camada enxerga todos os caminhos. Uma extensão de navegador não pode governar um telefone não gerenciado que nunca acessa o ambiente corporativo.

Os controles de rede podem identificar destinos, mas podem não ter contexto detalhado da sessão. Agentes de endpoint podem inspecionar a atividade do dispositivo, mas talvez não compreendam a semântica interna de todos os aplicativos.

Os controles de identidade estabelecem quem fez login, mas não determinam automaticamente se cada prompt contém informações restritas. A classificação de dados pode reconhecer conteúdo sensível, mas depende de rótulos e cobertura precisos.

A arquitetura prática combina esses sinais. Ela conecta identidade, postura do dispositivo, destino, tipo de conta, sensibilidade do conteúdo e a ação solicitada.

Considere um funcionário resumindo um anúncio público de produto. Um chatbot pessoal apresenta risco organizacional limitado porque a entrada já é pública.

Agora considere o mesmo funcionário colando transcrições de atendimento ao cliente. O destino pode permanecer idêntico, mas os requisitos de privacidade, retenção e contratuais mudam a decisão.

A inspeção de arquivos, por si só, também deixa de captar o comportamento de copiar e colar. As medições da LayerX indicam que o texto colado constitui um canal relevante de exposição, mesmo quando os funcionários nunca enviam um documento.

Os agentes acrescentam outra dimensão. Um agente pode recuperar informações, chamar serviços externos, atualizar registros e repetir ações sem um gesto humano separado a cada vez.

Isso transforma o desenho de permissões em uma questão operacional de segurança. Um chatbot responde a uma solicitação, enquanto um agente pode provocar uma alteração.

O estudo de segurança de APIs de 2026 da Akamai entrevistou 1.840 líderes e profissionais de segurança em dez países. Ele constatou que 80% usavam firewalls de aplicações web, enquanto apenas 35% usavam ferramentas dedicadas de segurança de APIs.

As APIs são interfaces que permitem a troca de dados e comandos entre sistemas de software. Elas formam a camada de conexão entre agentes, modelos, bancos de dados e aplicações de negócios.

Uma sessão não autorizada de chatbot pode vazar informações. Um agente com privilégios excessivos também pode modificar um ticket, emitir um reembolso, enviar uma mensagem ou consultar um sistema restrito.

Portanto, a IA gerenciada deve competir em mais do que qualidade de modelo. Ela precisa de integrações úteis, permissões restritas, registros confiáveis e aprovação humana para ações consequentes.

Se essas proteções tornarem todas as tarefas dolorosas, os funcionários as evitarão. Se desaparecerem por completo, a organização não conseguirá distinguir conveniência de exposição inaceitável.

O desenho vencedor torna fáceis as ações comuns de baixo risco. Ele reserva fricção adicional para dados sensíveis, destinos incomuns, contas pessoais e comandos de alto impacto.

Esse é um desafio de produto tanto quanto de política. As empresas não podem resolver, apenas com treinamento, interfaces que recompensam consistentemente atalhos inseguros.

O Que a Manchete do Google News Não Estabelece

O risco subjacente é crível, mas a manchete truncada não prova de forma independente que quase metade de toda a atividade de IA empresarial contorna os controles.

A entrada do Google News interrompe a alegação imediatamente após “contorna”. Ela não identifica o controle, o período de medição, a amostra, a geografia ou o denominador.

Essas omissões impedem uma interpretação precisa. “Quase metade do uso de IA empresarial” pode se referir a usuários, contas, sessões, endpoints, organizações, uploads ou outra categoria medida.

Materiais da Akamai e da LayerX indexados publicamente sustentam várias conclusões correlatas. Eles não tornam intercambiáveis todas as interpretações possíveis dessa frase.

A LayerX informou que 45% dos usuários empresariais acessaram ferramentas de IA em endpoints corporativos. Separadamente, relatou conteúdo sensível em 40% dos arquivos enviados e em 22% do texto colado.

Também relatou uso extensivo de identidades pessoais em serviços de software. Sua pesquisa de identidade de 2025 constatou que 40% dos acessos a SaaS usavam credenciais pessoais e 67% contornavam o SSO.

Essas estatísticas descrevem populações e comportamentos diferentes. Combiná-las em uma única afirmação abrangente criaria um número que a pesquisa não publicou.

A primeira cautela, portanto, diz respeito à disciplina do denominador. Os leitores devem perguntar o que foi contado antes de tratar uma porcentagem como uma taxa universal de adoção.

A segunda cautela diz respeito à telemetria de fornecedores. Provedores de segurança frequentemente analisam atividades de clientes que já implantaram seus produtos.

Essas organizações podem diferir de empresas sem monitoramento comparável. Seus setores, portes, políticas e perfis de risco podem moldar os resultados medidos.

A telemetria ainda oferece valor porque observa o comportamento, em vez de depender apenas da memória. No entanto, ela não representa automaticamente todas as empresas ou funcionários.

Pesquisas têm uma limitação diferente. Os respondentes podem compreender mal as definições, subnotificar atividades proibidas ou representar organizações com programas de IA excepcionalmente maduros.

Portanto, pesquisas independentes devem comparar várias formas de evidência. Fontes úteis incluem telemetria de endpoint, registros de rede, registros de identidade, pesquisas com funcionários, relatórios de incidentes e divulgações regulatórias.

A terceira cautela diz respeito à palavra “contornar”. Um login pessoal pode contornar a gestão corporativa de identidade sem contornar todos os controles de segurança.

O endpoint ainda pode executar software de prevenção contra perda de dados. A rede ainda pode bloquear determinados destinos. O provedor ainda pode oferecer configurações de privacidade para consumidores.

Por outro lado, uma conta aprovada pode criar risco mesmo quando passa pelo SSO. Permissões excessivas, regras de retenção fracas, injeção de prompt e resultados imprecisos continuam sendo possíveis.

Essa distinção evita uma conclusão simplista. Gerenciado não significa seguro, e não gerenciado não significa uma violação confirmada.

O estudo de IA empresarial encomendado pela Akamai em 2025 ilustra a preocupação mais ampla. Entre 400 respondentes globais em nível de diretoria, 63% identificaram preocupações de segurança como um dos principais desafios das aplicações de IA.

O mesmo estudo constatou que 55% citaram lacunas de tecnologia ou plataforma, enquanto 55% citaram preocupações de conformidade e regulamentação. Quarenta e cinco por cento se preocupavam com aplicações que não funcionassem conforme o esperado.

Essas conclusões mostram que a pressão de governança vai além das contas shadow. As organizações se preocupam com desempenho, confiabilidade, conformidade e consequências para a marca, mesmo dentro de implantações formais.

A quarta cautela diz respeito à causalidade. A IA shadow é frequentemente descrita como má conduta de funcionários, mas as evidências disponíveis não sustentam um único motivo universal.

Alguns funcionários ignoram regras intencionalmente. Outros encontram políticas pouco claras, ferramentas ausentes, aprovações lentas ou recursos de IA incorporados em produtos que a TI já aprovou.

Os líderes também podem criar incentivos contraditórios. Eles exigem adoção rápida de IA enquanto avaliam as equipes pela velocidade e, depois, impõem restrições que impedem os funcionários de alcançar essas metas.

Uma análise crível deve considerar os dois lados. Os usuários continuam responsáveis pelo tratamento de informações sensíveis, enquanto as organizações continuam responsáveis por oferecer caminhos aprovados que sejam viáveis.

As previsões regulatórias também exigem cautela. A Gartner previu que 40% das empresas sofrerão um incidente de segurança ou conformidade relacionado à IA até 2030 devido ao uso não autorizado de IA shadow.

Conforme resumido na cobertura da previsão da Gartner, esse número diz respeito a incidentes projetados. Não é uma contagem atual de violações.

Previsões podem identificar exposição, mas não confirmam que uma organização específica perdeu dados. Os compradores devem resistir a transformar estimativas de risco em alegações sobre ataques concluídos.

O item incompleto do feed cria um último problema editorial. O Google News é uma camada de agregação, não a evidência subjacente.

O comunicado direto, a metodologia e o relatório completo devem determinar a redação. Até que a alegação completa e o denominador estejam visíveis, “quase metade” merece atribuição, em vez de ser apresentada como um fato universal estabelecido.

Isso não torna a história menos importante. Torna a lacuna de verificação parte da história.

Três Sinais Mostrarão se as Empresas Recuperam o Controle

A próxima fase será medida pela visibilidade das contas, pelo movimento de dados sensíveis e pelas permissões concedidas aos agentes de IA.

O primeiro sinal é a parcela da atividade de IA vinculada a identidades corporativas gerenciadas. As empresas devem acompanhar se os funcionários migram, ao longo do tempo, de contas pessoais para serviços aprovados.

Uma redução na parcela de contas pessoais fortaleceria a tese de que ferramentas empresariais úteis podem reduzir a IA shadow. Uma parcela estável ou crescente mostraria que políticas e licenças não estão mudando o comportamento.

Essa métrica deve ser segmentada por departamento e tarefa. Desenvolvedores, profissionais de marketing, analistas, equipes de suporte e executivos usam ferramentas diferentes e lidam com informações diferentes.

Uma média de toda a empresa pode ocultar exposição concentrada. Um pequeno grupo pode gerar a maior parte das transferências sensíveis porque seu trabalho envolve código, registros de clientes ou documentos jurídicos.

A medição de identidade também precisa de um denominador claro. As organizações devem informar usuários, sessões, transferências e aplicações separadamente.

O segundo sinal é a taxa de dados sensíveis que entram em serviços de IA. Isso inclui texto colado, uploads de arquivos, entradas de formulários, extensões de navegador e solicitações de API.

Uma medida útil distingue tentativas bloqueadas de transferências concluídas. Ela também separa contas empresariais aprovadas de identidades pessoais e desconhecidas.

Se as transferências concluídas de dados sensíveis diminuírem enquanto o uso legítimo de IA crescer, a governança estará melhorando. Se apenas as tentativas bloqueadas aumentarem, os funcionários podem simplesmente estar encontrando mais fricção.

As equipes de segurança também devem examinar para onde os usuários vão após um bloqueio. Um aviso que redireciona o trabalho para um assistente aprovado é mais útil do que um que encerra o fluxo de trabalho.

O objetivo subjacente não é produzir uma contagem maior de violações de política. É reduzir a exposição desnecessária enquanto se preserva o trabalho valioso.

As organizações podem apoiar esse objetivo oferecendo aos funcionários formas controladas de pesquisar, resumir e conectar seus próprios materiais. Um segundo cérebro local pode limitar cópias repetidas entre serviços não relacionados.

O terceiro sinal é o perfil de permissões atribuído aos agentes de IA. As empresas precisam de um inventário que mostre quais sistemas cada agente pode ler, escrever e acionar.

O acesso somente leitura apresenta um nível de risco. A permissão para enviar mensagens, atualizar registros financeiros, alterar código ou aprovar transações apresenta outro.

As empresas devem observar reduções no acesso padrão, períodos mais curtos de autorização, registros em nível de ação e portões de aprovação para comandos consequentes.

É aqui que a visibilidade de APIs se torna decisiva. Um agente frequentemente atua por meio de APIs mesmo quando um usuário inicia a tarefa em um navegador.

As equipes de segurança devem conectar a identidade humana, a identidade do agente, a solicitação ao modelo, a chamada de ferramenta e a ação empresarial resultante. Um registro desconectado para cada componente não consegue reconstruir a decisão completa.

O sinal fortalecerá a tese da Akamai se as empresas descobrirem grandes números de agentes desconhecidos ou permissões excessivas. Ele enfraquecerá a tese se os inventários mostrarem acesso restrito, monitorado e intencional.

Anúncios de produtos merecem menos peso do que dados operacionais. Os fornecedores continuarão lançando gateways de IA, navegadores seguros, firewalls de modelos e sistemas de controle de agentes.

A questão relevante é se esses produtos mudam o comportamento. Menor uso de contas desconhecidas e menos transferências de dados sensíveis ofereceriam evidências mais robustas do que as contagens de implantação.

Os executivos também devem acompanhar a satisfação dos funcionários com as ferramentas aprovadas. O baixo uso pode indicar controles rigorosos, mas também pode sinalizar que os funcionários deixaram de usar IA valiosa por completo.

Um programa maduro mede tanto a segurança quanto a utilidade. Entre os resultados relevantes estão a conclusão de tarefas, a adoção, as taxas de erro, o tempo de revisão, as exceções de política e os incidentes confirmados.

A decisão que as empresas enfrentam não é se os funcionários usarão IA. Esse comportamento já se disseminou por navegadores, suítes de software e ambientes de desenvolvimento.

A questão é se os sistemas oficiais se tornam úteis o suficiente para atrair essa atividade de volta a canais visíveis. As equipes de segurança não podem governar o que não conseguem ver.

O alerta da Akamai deve, portanto, motivar uma revisão direta. Quais contas de IA estão ativas, quais informações chegam até elas e quais agentes podem agir nos sistemas da empresa?

A alegação resumida do Google News ainda precisa de sua metodologia completa antes que os leitores tratem “quase metade” como uma taxa universal. As evidências ao redor já sustentam uma conclusão mais restrita.

A adoção de IA nas empresas superou os controles tradicionais de contas e aplicações. As organizações que fecharem essa lacuna tornarão o caminho aprovado mais fácil, instrumentarão o navegador e restringirão as permissões dos agentes.

Comece com uma auditoria prática neste mês. Meça as sessões de IA gerenciadas em comparação com as pessoais, identifique transferências sensíveis e liste todos os agentes com acesso de escrita. Essas três visões revelarão se a governança de IA existe nas operações ou apenas na política.