A adoção de ferramentas de inteligência artificial pelas empresas está acontecendo de forma descentralizada. Funcionários recorrem a diferentes plataformas, contas pessoais, extensões de navegador e recursos integrados a outras aplicações para realizar tarefas do dia a dia. Segundo a Akamai, esse cenário cria lacunas de visibilidade para as organizações, especialmente quando informações corporativas passam a circular por meio de prompts, uploads, códigos e outras interações com sistemas de IA.
O novo relatório State of the Internet (SOTI): The Enterprise AI Usage Risk Report 2026, da Akamai Technologies, mostra que o avanço da inteligência artificial está ocorrendo mais rapidamente do que os mecanismos tradicionais de governança. Entre os pontos de atenção estão o uso de identidades pessoais, extensões de navegador, ferramentas de IA e agentes autônomos.
Quase metade das conversas usa contas pessoais
De acordo com o levantamento, 47,11% das conversas corporativas com IA acontecem por identidades pessoais, em vez de contas gerenciadas pelas empresas. O cenário representa uma lacuna de visibilidade e governança para as organizações.
Outro dado mostra que 14,4% das conversas de IA associadas a e-mails corporativos são realizadas por meio de assinaturas pessoais ou com acesso gratuito. Essas modalidades não estão submetidas aos mesmos controles de conformidade das licenças empresariais.
O uso das ferramentas também está concentrado em diferentes frequências. Quase 20% dos funcionários utilizam IA semanalmente, mais de 30% fazem uso mensal e pouco mais de 40% recorrem às ferramentas trimestralmente.
Extensões de IA exigem atenção
As extensões de navegador aparecem como outro ponto de preocupação no estudo. Quase 75% das extensões de navegador com IA solicitam permissões altas ou críticas, incluindo acesso a dados e atividades realizadas no navegador.
Além disso, 16,31% dessas extensões possuem CVEs conhecidas, contra 10,8% entre as extensões em geral.
O relatório também aponta que extensões de IA são quase três vezes mais propensas a solicitar acesso a cookies do que extensões comuns. Em relação aos scripts, 41,91% das extensões de IA pedem esse tipo de acesso, ante 15,4% das demais extensões.
O que é compartilhado com a IA também importa
O uso de inteligência artificial cria novos caminhos para a circulação de dados corporativos. Informações podem ser inseridas em prompts, códigos, uploads, capturas de tela e outras interações.
Esse cenário também está relacionado ao chamado shadow AI, quando funcionários utilizam ferramentas ou contas pessoais sem a supervisão das equipes de TI e segurança. Para a Akamai, isso dificulta a visibilidade sobre quais aplicações estão em uso e quais informações são compartilhadas.
Agentes autônomos criam uma nova frente de governança
O relatório também chama atenção para a expansão de agentes autônomos e navegadores com IA, que passam a atuar diretamente sobre sistemas e fluxos de trabalho corporativos.
Segundo a Akamai, à medida que esses agentes ganham autonomia, eles devem ser tratados como uma nova classe de identidade corporativa, com controles próprios de acesso, monitoramento e governança.
A expansão da IA também introduz novos vetores de ataque, como Vibe Hacking, CursorJacking e CometJacking, que exploram ambientes de desenvolvimento, extensões de navegador e agentes de IA.
Como reduzir os riscos do uso de IA
Para a Akamai, o desafio não é simplesmente restringir o uso de inteligência artificial, mas criar visibilidade e governança sobre sua utilização. Entre as recomendações estão:
- Identificar os usuários mais intensivos de IA, priorizando aqueles com maior exposição a dados e fluxos críticos;
- Eliminar o shadow AI, identificando as ferramentas utilizadas na organização e controlando o uso de contas pessoais;
- Monitorar interações com IA em tempo real, incluindo prompts, uploads, downloads e ações de copiar e colar, com aplicação de controles de proteção de dados;
- Revisar extensões de navegador e ferramentas de IA, avaliando permissões, vulnerabilidades e comportamento;
- Estabelecer controles para agentes autônomos, com acesso baseado no princípio do menor privilégio, monitoramento e visibilidade sobre os sistemas e dados acessados.
