Como decido sobre ferramentas de segurança para IA no meu time

Quando li sobre o acordo da Akamai para comprar a LayerX, foquei logo no que isso muda no navegador dos times que usam ChatGPT e Copilot todo dia. Na UNODATA já passamos por duas avaliações de ferramentas de segurança para IA nos últimos doze meses. O que mais pesou não foi o nome do vendor, mas como a solução lidaria com prompts que saem do controle da empresa.

Eu mesma conduzi a análise técnica. Pedi para a equipe de segurança registrar todos os acessos a ferramentas generativas durante uma semana. Vimos que 68% dos prompts continham dados internos. Isso mudou o rumo da decisão.

O que mais me incomoda em momentos como esse é que vendors ainda tratam a compra como conversa de homem para homem. Eu preciso insistir duas ou três vezes para que o pre-sales explique a arquitetura de logs antes de falar de ROI.

O que muda no dia a dia quando o navegador vira ponto de controle

A maioria dos nossos analistas abre o navegador às oito da manhã e só fecha às seis. É ali que eles colam trechos de código, exportam relatórios e testam modelos. Adicionar uma camada que intercepta esses fluxos exige conversa clara com a equipe.

Expliquei para o time que o objetivo não era vigiar, mas evitar vazamento acidental. Mostrei os logs de uma ferramenta que já havíamos testado e que marcava prompts com dados de clientes. Depois dessa conversa, a resistência caiu.

A implementação também trouxe uma mudança prática. Agora exigimos que toda nova ferramenta de IA passe por um checklist de segurança antes de ser liberada. Isso reduziu em 40% o número de aplicações não autorizadas em três meses.

Critérios que uso para avaliar aquisições como essa

Toda vez que surge uma notícia de compra de segurança, aplico o mesmo filtro. Não sigo moda. Olho para o que já temos em casa e para o que a equipe realmente usa.

1. Integração com o que já existe: a solução conversa com nosso provedor de identidade ou exige nova console?
2. Visibilidade de prompts: conseguimos ver o que está sendo enviado sem quebrar privacidade?
3. Custo de fricção: quanto tempo o time perde por dia com alertas falsos?
4. Retenção de logs: por quanto tempo os dados ficam guardados e quem acessa?

Esses quatro pontos já eliminaram duas propostas no último ciclo. Uma delas prometia proteção total, mas não exportava logs para o nosso SIEM.

Quando o vendor foca só em proteção e esquece de explicar como o time continua trabalhando, eu paro a conversa.

Viés de gênero nas mesas de negociação

Já passei por reuniões em que o pre-sales dirigia todas as perguntas técnicas para o único homem presente. Eu esperava ele responder. Depois de dois minutos de silêncio, eu respondia. O clima mudava.

Para evitar isso, agora levo sempre uma engenheira da equipe para as demos técnicas. Ela faz as perguntas difíceis sobre arquitetura. Eu cuido do lado de processo e custo. A dinâmica muda quando o vendor percebe que não tem plateia fácil.

Outra prática que adotei é registrar por escrito toda promessa feita em reunião. Depois envio resumo por e-mail. Isso tira margem para interpretações depois que o contrato está assinado.

Como preparo a equipe para adotar a nova camada

Não adianta comprar a ferramenta se o time não entende o porquê. Antes de liberar para todos, rodamos um piloto com dez pessoas. Cada uma recebeu um guia de uma página explicando o que muda no fluxo diário.

Depois do piloto, coletamos feedback em uma reunião de trinta minutos. As principais queixas foram sobre alertas em sites internos legítimos. Ajustamos as políticas e só então expandimos.

O resultado foi que a adoção subiu sem reclamações formais. O time passou a reportar quando via algo estranho, em vez de contornar a ferramenta.

Perguntas frequentes

Como decidir entre comprar agora ou esperar a integração da Akamai

Avalio primeiro se o problema atual é urgente. Se já temos vazamentos de prompts em ferramentas não controladas, vale testar uma solução existente e migrar depois.

O que muda na rotina da equipe depois que o navegador passa a interceptar prompts

O impacto costuma ser pequeno se a política for bem ajustada. O time continua usando as ferramentas, só recebe alerta quando tenta colar dados sensíveis.

Como evitar que o vendor fale só com os homens da reunião

Levo sempre uma técnica para as chamadas e registro tudo por escrito. Isso força o pre-sales a tratar todo mundo como parte da decisão.

Qual o maior erro que já cometi em compra de segurança para IA

Assinar sem ver retenção de logs. Depois descobri que o vendor guardava prompts por noventa dias e não conseguíamos exportar. Tive que renegociar o contrato.