IA na empresa tem dono? Os novos controles corporativos e o que ensinam

Em agosto de 2026 a Anthropic liberou, para clientes do plano Enterprise, dois recursos que dizem menos sobre inteligência artificial e mais sobre gestão: uma Admin API em beta para administrar membros, papéis e grupos dentro da organização, e uma varredura de segurança para skills e plugins de terceiros, pensada para pegar conteúdo malicioso antes que ele entre no ambiente corporativo. Some a isso o fato de o Claude in Chrome, no plano Enterprise, vir desligado por padrão, com o administrador decidindo se liga e para quais domínios.

Nenhum desses três recursos é sobre o modelo ficar mais esperto. É sobre a empresa que usa o modelo saber, com precisão, quem tem acesso a quê, o que cada integração pode fazer e quem aprovou isso. É controle de acesso, trilha de auditoria e gestão de terceiros, os mesmos três pilares que qualquer auditoria ISO 27001 ou LGPD cobra há anos, agora aplicados à camada de IA generativa.

O problema que isso resolve não é exclusivo de big tech

Uma pesquisa recente já mostrou que a maioria das empresas roda algum tipo de agente ou automação de IA sem saber ao certo quantos existem, quem criou e com que dado eles conversam. O que os novos controles da Anthropic escancaram é a segunda metade desse problema, mais sutil: mesmo quando a empresa sabe que usa IA, raramente sabe o que cada integração instalada tem permissão de fazer. Um plugin conectado ao chat corporativo pode ler planilha financeira. Uma skill instalada por um analista pode ter acesso a e-mail. Sem varredura e sem trilha, ninguém percebe até dar problema.

Para uma clínica, um laboratório ou uma indústria média que já usa IA no atendimento, na triagem de documentos ou na geração de relatório, essa lacuna é ainda mais sensível, porque o dado em jogo costuma ser dado de saúde ou dado sob sigilo contratual. E é exatamente aí que entra outro número relevante desta safra: estudos de automação de compliance no Brasil mostraram redução média de 15% em custo operacional e aumento de 20% na efetividade de detecção de risco quando a empresa formaliza controle e monitoramento contínuo, com casos de ciclo de auditoria regulatória caindo de cerca de 120 para 60 dias depois que evidência e trilha de acesso passaram a ser coletadas automaticamente em vez de reunidas manualmente na véspera da auditoria.

Governança de IA não é sobre proibir, é sobre saber

O erro mais comum em empresa média é reagir ao risco de IA com proibição total: bloquear ChatGPT, bloquear Claude, bloquear qualquer ferramenta nova, na esperança de que isso resolva o problema de segurança. Não resolve. Resolve só o problema de aparência. Na prática, o time continua usando essas ferramentas pelo celular pessoal, fora de qualquer controle, e a empresa perde justamente a visibilidade que proibição deveria trazer.

O caminho que os controles corporativos da Anthropic modelam, e que vale para qualquer provedor de IA que a empresa use, é o oposto: permitir, mas com dono. Isso significa, na prática:

• Inventário vivo de integrações. Lista atualizada de toda skill, plugin ou automação de IA conectada a sistema da empresa, com data de instalação e responsável.
• Escopo de permissão explícito por integração. Cada conexão só acessa o que precisa para a tarefa dela, nunca acesso amplo por conveniência de quem instalou.
• Aprovação central antes de produção. Nenhuma automação de IA que toque dado sensível entra em uso real sem passar por alguém que avalia o risco, mesmo que informalmente.
• Trilha de quem acessou o quê e quando. Não para desconfiar do time, mas para ter resposta pronta quando um auditor, um cliente ou a ANPD perguntar como um dado foi tratado.

A régua vai subir, não descer

Vale registrar o contexto maior: a Anthropic também está avançando em recursos agênticos, especialização de modelo por tarefa e integração mais profunda com arquivo corporativo e navegador. Ou seja, a IA vai fazer mais coisa, não menos, dentro do fluxo de trabalho das empresas nos próximos meses. Isso torna o problema de controle mais urgente, não menos. Quanto mais autonomia uma integração de IA tem para agir (ler e-mail, preencher planilha, tocar sistema), maior o estrago possível de uma integração mal configurada ou de origem duvidosa.

Empresa pequena e média não precisa replicar o aparato de compliance de uma multinacional, mas precisa de pelo menos o básico: saber quais ferramentas de IA estão em uso, quem pode instalar novas, e ter registro de acesso a dado sensível. É exatamente esse tipo de estrutura, controle de acesso por módulo, trilha de auditoria e cross-referência entre não conformidade e ação corretiva, que o facilita.ia foi desenhado para dar a organizações que não têm equipe de segurança da informação dedicada, mas não podem se dar ao luxo de usar IA sem saber o que ela está fazendo com o dado da empresa.

O recado por trás do anúncio da Anthropic não é “assine o plano Enterprise”. É que a régua de governança de IA corporativa está subindo rápido, e quem não tiver pelo menos inventário, escopo e trilha básica vai responder essa pergunta pela primeira vez debaixo de auditoria, não em uma reunião tranquila de planejamento.

Klaus Fuchs Founder da facilita.etc. 15+ anos liderando gestão estratégica em saúde, educação e organizações sociais. Conduziu acreditações em uma das maiores OSS do Brasil. Escreve sobre o que pratica.