Segurança no ChatGPT dá passo importante, mas governança de IA segue como ponto crítico
A OpenAI introduziu recentemente novos controles de sessão no ChatGPT, oferecendo maior visibilidade sobre acessos ativos à plataforma tanto para usuários quanto para administradores. O recurso, batizado de Active sessions, permite visualizar onde a conta está conectada, identificar dispositivos em uso e encerrar sessões específicas ou todas de uma vez.
Na prática, trata-se de um avanço relevante em segurança operacional, especialmente em ambientes corporativos que precisam reagir rapidamente a acessos suspeitos. Ainda assim, especialistas são unânimes em afirmar que a novidade resolve apenas uma parte de um problema muito mais amplo: a governança contínua de modelos de inteligência artificial que se transformam em alta velocidade.
Governança de IA: um alvo em movimento constante
Para organizações de todos os portes, a governança de IA deixou de ser um projeto pontual e tornou-se um ciclo permanente de adaptação. Modelos, funcionalidades e comportamentos são atualizados em intervalos cada vez menores. Muitas dessas mudanças chegam à produção antes que equipes internas de risco, compliance e segurança consigam testar completamente seus controles e políticas.
Nesse cenário, visibilidade sobre sessões é importante, mas está longe de ser suficiente. A discussão mais ampla envolve como monitorar, auditar e controlar sistemas que aprendem, se atualizam e eventualmente mudam de comportamento sem intervenção direta do usuário corporativo. Políticas que funcionavam ontem podem se tornar insuficientes hoje, simplesmente porque o modelo passou por uma atualização.
Como funciona o Active sessions
O Active sessions está disponível para contas do ChatGPT em diferentes tipos de ambientes, desde contas individuais até workspaces gerenciados. De acordo com as orientações da própria OpenAI, o usuário pode acessar o menu de configurações, entrar na área de segurança e, em seguida, visualizar a seção dedicada às sessões ativas.
A partir dessa tela, torna-se possível revisar todas as sessões conhecidas, com detalhes como dispositivo utilizado, tipo de navegador, localização aproximada, data e horário do login, indicação se o dispositivo é considerado confiável e qual é a sessão atualmente em uso. O usuário ou administrador pode encerrar apenas uma sessão específica ou optar por finalizar todas as sessões ativas associadas à conta.
A OpenAI alerta, porém, que o encerramento global de sessões pode levar até 30 minutos para ser totalmente processado. Isso significa que, em incidentes de segurança críticos, pode haver uma janela de tempo em que uma sessão comprometida continue válida antes de ser efetivamente desconectada.
Mais granularidade e menos interrupção
Para Ensar Seker, CISO da SOCRadar, o recurso corrige uma lacuna histórica em muitos ambientes SaaS corporativos: a ausência de visibilidade detalhada sobre onde, quando e em quais dispositivos um usuário estava logado.
Antes desse tipo de controle, empresas frequentemente dependiam de medidas mais drásticas, como redefinição de senhas ou bloqueio total de contas, para forçar nova autenticação em todos os dispositivos. Agora, com o gerenciamento por sessão, é possível agir de forma muito mais pontual, encerrando apenas acessos suspeitos, sem necessariamente causar interrupções para o usuário legítimo que continua trabalhando em outro dispositivo.
Sob a ótica de governança, transparência sobre sessões eleva o nível de responsabilização. Em investigações internas, administradores podem reconstruir parte da trilha de uso de uma conta, identificando acessos não reconhecidos, sessões antigas que nunca foram encerradas e potenciais incidentes de comprometimento de credenciais. Isso reduz a chance de uma conta invadida permanecer ativa por longos períodos sem ser detectada.
O que exatamente o Active sessions cobre – e o que fica de fora
O painel de Active sessions engloba sessões conhecidas em navegadores e aplicativos vinculados ao ecossistema da OpenAI, incluindo o ChatGPT, o Codex e a API Platform. Os dados exibidos, embora úteis, podem ser aproximados ou não totalmente completos, conforme reconhecido pela própria empresa.
Além disso, o alcance do recurso não é absoluto. O Active sessions não gerencia todos os tipos de acesso possíveis à conta. Sessões de aplicativos de terceiros conectados, logins intermediados por serviços externos, sessões via Codex CLI e sessões que foram encerradas recentemente não entram no mesmo nível de controle. Outro ponto relevante: a funcionalidade não está disponível para contas vinculadas a Single Sign-On corporativo, incluindo integrações com SAML ou OIDC, o que limita sua aplicação justamente em alguns dos ambientes empresariais mais sensíveis.
Essa lista de exceções reforça uma mensagem importante: embora o controle por sessão seja bem-vindo, ele não substitui uma arquitetura de segurança mais ampla, integrada com os mecanismos de identidade da organização, monitoramento contínuo e políticas claras de uso da IA.
Recurso básico, mas esperado há muito tempo
Especialistas em segurança classificam o Active sessions como um passo importante, porém tardio. Em diversas plataformas SaaS, a possibilidade de administradores encerrarem sessões ativas já é considerada funcionalidade padrão há anos.
David Shipley, da Beauceron Security, observa que a capacidade de visualizar e encerrar sessões em tempo real deveria ter feito parte do pacote de segurança da OpenAI desde muito antes, dada a sensibilidade dos dados que frequentemente transitam pelo ChatGPT em ambientes de negócios.
Ele reconhece o avanço, mas ressalta que a funcionalidade não elimina preocupações maiores relacionadas ao uso de IA em contexto corporativo, como o risco de vazamento de informações confidenciais, abuso da ferramenta por agentes maliciosos e uso da plataforma como apoio a campanhas fraudulentas ou ataques mais sofisticados. Na visão de Shipley, ainda há espaço para que a OpenAI desenvolva mecanismos mais robustos de detecção e bloqueio de uso indevido.
Ensar Seker segue caminho semelhante. Para ele, a combinação de visibilidade e controle de sessão é algo que empresas vinham cobrando há tempos de grandes provedores SaaS. Com esse tipo de controle, administradores e usuários têm mais condições de identificar comportamentos anômalos, encerrar sessões obsoletas esquecidas em dispositivos pessoais e reduzir a persistência de invasões baseadas em roubo de credenciais.
Atualizações constantes: o verdadeiro nó da governança
A questão central, no entanto, não está apenas em quem está logado ou por quanto tempo. O grande desafio é governar modelos de IA que são atualizados de forma iterativa, com mudanças em estilo de resposta, qualidade, filtros de segurança e até no comportamento frente a determinados tipos de consulta.
Cada nova versão do modelo pode alterar sutilmente (ou de maneira significativa) os riscos associados ao seu uso. Uma resposta que antes era considerada segura pode, após uma atualização, passar a expor informações sensíveis ou contornar políticas internas de compliance. Da mesma forma, filtros podem se tornar mais rígidos e prejudicar fluxos de trabalho legítimos, exigindo revisões de processos.
Por isso, governança de IA exige que empresas tratem esses serviços como sistemas vivos, em constante mutação, e não como produtos estáticos. É necessário criar processos que monitorem o impacto de cada grande atualização, revisem as diretrizes de uso, testem respostas em cenários críticos e ajustem controles de segurança e privacidade de forma contínua.
O que as empresas podem fazer hoje para fortalecer a governança de IA
Diante desse cenário dinâmico, algumas práticas se mostram essenciais:
1. Classificação de dados e políticas claras de uso
Organizações precisam definir com objetividade quais tipos de dados podem ou não ser inseridos em ferramentas como o ChatGPT. Informações pessoais sensíveis, segredos industriais, dados financeiros estratégicos e detalhes de infraestrutura crítica geralmente devem ser protegidos por políticas rígidas.
2. Ambientes segregados e testes controlados
Antes de liberar o uso amplo de um modelo de IA, é recomendável realizar testes em ambientes de desenvolvimento ou pilotos controlados. Isso permite entender o comportamento do modelo, identificar riscos específicos e calibrar políticas de segurança e privacidade.
3. Auditoria e registro de atividades
Sempre que possível, empresas devem registrar interações com sistemas de IA para fins de auditoria, respeitando regulamentações de privacidade. Esses registros ajudam a esclarecer incidentes, identificar uso indevido e aprender com erros, alimentando um ciclo de melhoria contínua.
4. Integração com gestão de identidade e acesso (IAM)
O controle de sessões só é realmente efetivo quando conectado a uma estratégia mais ampla de identidade digital. Integrações com soluções de autenticação multifator, SSO, provisionamento e desprovisionamento automático de usuários são fundamentais para reduzir superfícies de ataque.
5. Capacitação de usuários e conscientização
Governança de IA não é apenas questão de tecnologia. Usuários precisam entender limites, riscos e boas práticas ao interagir com o ChatGPT e ferramentas similares. Treinamentos que combinem segurança da informação, privacidade e ética no uso de IA tendem a reduzir incidentes acidentais.
Risco regulatório e imagem corporativa
Outro ponto que torna a governança de IA ainda mais complexa é o avanço de regulações específicas em diferentes países e blocos econômicos. Leis de proteção de dados, normas sobre transparência algorítmica e propostas de regulação de IA criam um ambiente em que o não cumprimento de requisitos pode resultar em multas pesadas e danos à reputação.
Empresas que adotam modelos generativos precisam demonstrar capacidade de explicar, ao menos em alto nível, como essas ferramentas funcionam, quais mecanismos de mitigação de risco estão em vigor e de que forma garantem que decisões críticas não fiquem inteiramente nas mãos de algoritmos. O uso de IA sem governança clara pode ser interpretado como negligência perante reguladores, clientes e parceiros.
Segurança operacional x maturidade de governança
Recursos como o Active sessions são fundamentais para fortalecer a segurança operacional do dia a dia: detectar acessos indevidos, encerrar logins suspeitos, impedir que uma credencial comprometida seja usada indefinidamente. No entanto, maturidade de governança envolve uma camada acima disso.
Ela inclui definir quem pode usar a IA, para qual finalidade, com quais dados, sob quais limites e com que tipo de acompanhamento. Engloba também o alinhamento com a estratégia de negócios, avaliação de impacto ético, mitigação de vieses e transparência mínima sobre como as respostas são geradas. Sem essa visão de longo prazo, melhorias pontuais de segurança acabam funcionando como remendos em vez de construírem uma estrutura sólida.
Caminho para frente: combinar controles técnicos e políticas inteligentes
O avanço da OpenAI na introdução de Active sessions indica que os grandes fornecedores de IA estão começando a responder de forma mais direta às demandas de segurança corporativa. Mas, para as empresas, o recado é claro: não basta depender dos controles oferecidos pelo provedor.
Será necessário combinar recursos técnicos – como gerenciamento de sessão, autenticação forte, monitoramento de acessos e integrações com IAM – com políticas internas bem desenhadas, governança ativa e revisão constante de riscos. A IA generativa tende a se tornar ainda mais presente em fluxos de trabalho estratégicos, e isso exige que segurança e governança acompanhem o mesmo ritmo de inovação.
Em resumo, o novo controle de sessões do ChatGPT é um passo na direção certa, mas está longe de encerrar o debate. A verdadeira vantagem competitiva estará com as organizações que conseguirem transformar o uso da IA em um processo governado, auditável, ético e alinhado ao negócio – em vez de apenas adicionar mais uma tecnologia poderosa ao seu ambiente sem o devido controle.