Cada vez mais empresas põem limites à IA na nuvem
Segundo o Data Privacy Benchmark 2024 da Cisco, feito com mais de 2600 profissionais de segurança e privacidade em 12 países, 27 % das organizações tinham proibido a IA generativa, pelo menos temporariamente, devido aos riscos de privacidade e segurança. 63 % limitavam os dados que podem ser introduzidos e 61 % as ferramentas que os funcionários podem usar.
Não é que desconfiem da IA: não conseguem controlar onde acabam os dados que lhe dão.
Mesmo com regras, os dados saem
No mesmo estudo da Cisco, quase metade dos inquiridos admitiu ter introduzido informação não pública da empresa em ferramentas de IA generativa. E uma análise da Harmonic Security aos prompts e ficheiros que os funcionários enviaram a ferramentas de IA em 2025 encontrou informação sensível em mais de 4 % dos prompts e cerca de 22 % dos ficheiros: código, credenciais, dados de clientes e funcionários ou informação financeira.
O que exige a ISO 27001
A ISO/IEC 27001 não proíbe o ChatGPT, o Gemini nem o Copilot. Exige que cada ferramenta que trata informação da empresa seja identificada, avaliada e controlada dentro do sistema de gestão. Na prática, afeta sobretudo estes controlos da versão de 2022:
- 5.10 Utilização aceitável: que ferramentas podem ser usadas e com que informação.
- 5.12 Classificação: que nível de confidencialidade cada ferramenta pode tratar.
- 5.19 a 5.23 Fornecedores e serviços na nuvem: cada IA externa é um fornecedor a avaliar, contratar e monitorizar.
- 8.12 Prevenção de fugas de dados: medidas para que a informação confidencial não saia.
O resultado habitual é que a IA na nuvem é permitida com informação pública ou interna e restringida, ou proibida, com informação confidencial. Para gerir a própria IA existe ainda uma norma dedicada, a ISO/IEC 42001, já certificada em Espanha por entidades como a AENOR, a SGS ou a Bureau Veritas.
O setor público e os seus fornecedores: o ENS
Os organismos públicos espanhóis e as empresas que os servem seguem o Esquema Nacional de Segurança (ENS, Real Decreto 311/2022). O Centro Criptológico Nacional publicou guias específicos para configurar os serviços de IA na nuvem segundo os requisitos da sua categoria ALTA. Ou seja: a IA na nuvem pode ser usada aí, mas só com configuração e controlos específicos.
O exemplo da autoridade espanhola de proteção de dados
A autoridade espanhola de proteção de dados (AEPD) publicou em novembro de 2025 a sua própria política de utilização de IA generativa. Distingue entre sistemas externos, como o ChatGPT ou o Microsoft 365 Copilot, e os implementados na sua própria infraestrutura com modelos de pesos abertos como Llama, Qwen, Gemma ou Mistral.
Entre os riscos dos sistemas externos, enumera a divulgação de informação confidencial a terceiros, a falta de controlo sobre os fluxos de dados e as alterações unilaterais dos termos de utilização. Para as plataformas que não controla, prevê a proibição expressa de introduzir informação pessoal, confidencial ou não publicada. Os sistemas na sua própria infraestrutura, pelo contrário, podem ser auditados e permitem controlar por onde viaja a informação.
A saída: IA dentro do seu perímetro
A IA privada é exatamente esse segundo modelo: o servidor está na sua empresa, os modelos são abertos e os documentos nunca saem da sua rede. Para o seu sistema de gestão é mais um ativo interno, não um fornecedor de IA na nuvem a avaliar, e não há transferências internacionais de dados.
- Os documentos e as perguntas são processados no seu servidor, que pode funcionar sem internet.
- Cada pessoa tem a sua própria conta e só vê as coleções de documentos que lhe atribuir.
- Os acessos ficam registados, e qualquer acesso remoto passa por um canal encriptado que é você a ativar.
- Entregamos-lhe uma descrição da arquitetura e dos fluxos de dados para incluir no seu sistema de gestão.
| IA na nuvem | IA privada | |
|---|---|---|
| Onde os dados são tratados | Nos servidores do fornecedor | No seu servidor |
| Fornecedor de IA a avaliar (5.19 a 5.23) | Sim | Não |
| Transferências internacionais | Possíveis, consoante o fornecedor | Não |
| Registos de acesso | Consoante o plano | No seu servidor |
| Alterações dos termos | Decididas pelo fornecedor | Decididas por si |
A IA privada não substitui o seu sistema de gestão: é incluída nele como qualquer outro servidor, com o seu inventário, controlo de acessos e cópias de segurança. O que resolve é o problema de fundo: os dados confidenciais deixam de sair da empresa. A IA privada da ACD&CO é instalada e configurada por 770 €, sem mensalidades: paga o equipamento (em Espanha, também em renting) e a instalação uma única vez.
Fontes: Cisco Data Privacy Benchmark 2024 · Harmonic Security (SC Media) · Política de IA generativa da AEPD (27-11-2025) · CCN-CERT, guia CCN-STIC 884D.
Equipamento e guias relacionados
Perguntas frequentes
A ISO 27001 proíbe o ChatGPT?
Não. Exige que cada ferramenta que trata informação da empresa seja identificada, avaliada e controlada. Na prática, muitas empresas certificadas só o permitem com informação não confidencial.
A IA privada dá-nos a certificação?
Não: a certificação aplica-se ao seu sistema de gestão. A IA privada torna-a mais simples, porque os dados confidenciais nunca saem da sua rede e não há fornecedor de IA externo a avaliar.
E o ChatGPT Enterprise ou o Microsoft 365 Copilot?
Oferecem contratos e compromissos de privacidade e podem servir para muita informação. Continuam a ser serviços externos a avaliar como fornecedores; para a informação mais sensível, muitas empresas preferem que nunca saia.
A sua empresa trabalha com ISO 27001 ou ENS?
Diga-nos que normas aplica e com que documentos trabalha. Propomos-lhe uma IA privada à medida.