Como controlar o uso de IA nos computadores da empresa

Em muitas empresas, a pergunta "quem aqui usa IA?" tem uma resposta que a TI não sabe: todo mundo, e sem avisar. Alguém cola um contrato em um chat para resumir. Um desenvolvedor instala uma extensão de código com acesso ao repositório. Um funcionário baixa um modelo para rodar no próprio computador. Isso é o que se chama de shadow AI.

Por que o inventário de programas não resolve

Segundo a Bitdefender, a lista de programas instalados não enxerga esses casos:

o assistente acessado pelo navegador não instala nada;
a extensão de IA no editor de código não aparece como programa;
modelos locais e conectores (os chamados servidores MCP) entram por um arquivo de configuração, sem instalador.

Quando a empresa tenta controlar, costuma bloquear alguns sites conhecidos, sem saber o que de fato roda nas máquinas.

O que é o AI Visibility and Control

O GravityZone AI Visibility and Control (AIVC) é um recurso da Bitdefender, apresentado em setembro de 2026, para responder a três perguntas: que software de IA está nos endpoints Windows, quem o usa e qual o risco de cada um. Segundo o fabricante:

a descoberta ocorre durante a varredura de risco do agente já instalado, e é ativada em uma política, sem projeto de implantação;
cada ferramenta recebe uma pontuação de risco e entra em uma de 17 categorias (chat, código, produtividade, agentes e outras);
a base reconhece mais de 50 agentes e mais de 70 mil "skills";
o console mostra duas visões: AI Services (o que existe) e AI Findings (o que olhar primeiro), com as máquinas onde cada item aparece;
há coleta mínima: não lê prompts, histórico de conversa, credenciais nem o conteúdo completo de arquivos.

Os números acima são divulgados pela Bitdefender, e não foram verificados por teste independente.

O que ele não faz

Isto importa na hora de comprar:

Não bloqueia nada sozinho. Pontuação alta não é ordem de remoção, e pontuação zero não é aprovação.
O bloqueio fica nos recursos existentes: filtro de conteúdo web (sites de IA), regras de detecção personalizadas (matar o processo de uma ferramenta) e políticas de hardening.
Não define a política de uso de IA da empresa. Quais ferramentas são aprovadas e para que tipo de dado é uma decisão de gestão, com o jurídico quando houver dados pessoais.

Por que isso importa para a LGPD

Dados pessoais de clientes e funcionários colados em um serviço de IA não avaliado são um risco de segurança. A LGPD (art. 46) exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, para proteger os dados pessoais. Saber quais ferramentas existem é um primeiro passo documentável, mas o recurso, por si só, não garante conformidade.

Checklist antes de contratar

A empresa tem Windows nos computadores que importam? A cobertura descrita é de endpoints Windows.
Já usa (ou vai usar) o GravityZone? O recurso roda sobre o agente do Bitdefender.
Há política de IA escrita, ou o inventário vai servir para escrevê-la?
Quem vai agir nos achados: TI interna ou o parceiro?
Peça na cotação a disponibilidade e o licenciamento do AIVC no seu plano. Não assuma que está incluso.

Próximo passo

O diagnóstico gratuito da Codlinx levanta o parque de máquinas, a solução atual e o nível de risco, e a proposta indica a versão do GravityZone adequada, com retorno em até 24 horas úteis.

Perguntas frequentes

O que é shadow AI?

É o uso de ferramentas de IA, como assistentes de chat, extensões de código e modelos locais, sem conhecimento ou aprovação da TI. O risco principal é dado da empresa sendo colado em serviços que ninguém avaliou.

Bloquear os sites de IA resolve?

Só em parte. O bloqueio por domínio cobre os serviços acessados pelo navegador, mas não vê extensões de editor, modelos rodando na máquina nem conectores configurados em arquivos. Por isso o primeiro passo é saber o que existe.

O Bitdefender lê o que os funcionários digitam nas IAs?

Segundo a Bitdefender, não. O AIVC registra que software de IA está presente e como está configurado; não inspeciona prompts, histórico de conversas, credenciais nem o conteúdo completo de arquivos.

O AIVC bloqueia as ferramentas de IA?

Não. Ele faz descoberta e pontuação de risco. O bloqueio é feito pelos recursos que já existem no console, como o filtro de conteúdo web e as regras de detecção personalizadas, e a decisão do que é permitido continua com a empresa.

Preciso instalar algo novo nos computadores?

Segundo a Bitdefender, o AIVC usa o agente Bitdefender Endpoint Security Tools já instalado e é habilitado em uma política. A cobertura descrita é de endpoints Windows. Confirme na cotação a disponibilidade e o licenciamento para o seu plano.

Como a Codlinx ajuda?

A Codlinx é parceira Bitdefender: avalia o seu ambiente no diagnóstico gratuito, indica a versão do GravityZone e configura as políticas. A definição das regras de uso de IA da empresa, porém, é decisão da diretoria e do jurídico.