O CERT.br (mantido pelo NIC.br) publicou em 24 de setembro de 2026 um novo fascículo da Cartilha de Segurança para Internet dedicado ao uso de Inteligência Artificial, sob o lema "IA é assistente. O responsável é você!". O material traz recomendações práticas para quem usa assistentes de IA (como chatbots, copilotos e agentes automatizados) no dia a dia, pessoal ou profissional.

As três orientações centrais do fascículo são: primeiro, remover informações sensíveis antes de digitá-las em prompts de ferramentas de IA, já que não há garantia sobre onde esses dados são armazenados ou como são usados; segundo, sempre verificar as respostas geradas por IA antes de utilizá-las ou compartilhá-las, pois esses sistemas podem produzir informações erradas com aparência de certeza; e terceiro, definir limites claros para o que agentes autônomos de IA podem fazer, restringindo o alcance das ações que eles têm permissão para executar.

Por que isso importa para uma PME brasileira: ferramentas de IA generativa já fazem parte da rotina de muitas pequenas e médias empresas no Brasil, usadas para atendimento ao cliente, redação de textos, análise de planilhas e até automações que acessam e-mail, agenda ou sistemas internos — geralmente sem qualquer política formal de uso. Um funcionário que cola dados de clientes, contratos, senhas ou informações financeiras em um chatbot público está, na prática, compartilhando esses dados com um terceiro fora do controle da empresa. Quando esses dados incluem informação pessoal de clientes, colaboradores ou fornecedores, esse compartilhamento sem controle pode caracterizar tratamento inadequado de dados pessoais à luz da LGPD, com responsabilidade recaindo sobre a empresa — não sobre o funcionário isoladamente. Agentes de IA com acesso automatizado a sistemas reais (e-mail, CRM, financeiro) que atuam sem supervisão também podem executar ações indevidas, como enviar informações erradas a um cliente ou tomar decisões que a empresa não autorizou.

O que fazer agora: estabeleça uma regra simples e comunique a toda a equipe: dados de clientes, senhas, contratos e informações financeiras nunca devem ser inseridos em ferramentas de IA públicas sem passar antes por um canal de tratamento de dados aprovado pela empresa. Revise o conteúdo gerado por IA antes de enviá-lo a clientes ou publicá-lo, tanto pela precisão das informações quanto por questões legais. Se a empresa usa agentes de IA conectados a sistemas de produção, limite as permissões desses agentes ao mínimo necessário e revise periodicamente os registros das ações que eles realizaram. O fascículo completo do CERT.br pode ser usado como material de treinamento rápido para toda a equipe.

Fonte primária: fascículo sobre Inteligência Artificial da Cartilha de Segurança para Internet, CERT.br/NIC.br (publicado em 24/09/2026).