O Caso Samsung e o Risco de Colar Código Proprietário na IA: Lições Para Startups
Em 2023, a Samsung restringiu temporariamente o uso de ferramentas públicas de IA após descobrir que funcionários haviam inserido código-fonte proprietário em um assistente de IA, expondo meses de investimento em pesquisa e desenvolvimento. O código, uma vez inserido em ferramentas cujos termos de uso permitem utilização dos inputs para treinamento do modelo, não podia ser excluído.
A Samsung não foi a única. Bancos americanos, consultorias de gestão e empresas de defesa tomaram medidas semelhantes. O padrão se repetiu: funcionários usaram IA para resolver problemas pontuais — corrigir bugs, otimizar código, redigir documentos internos — e, ao fazê-lo, inseriram informação confidencial em plataformas que a empresa não controlava.
Para startups brasileiras, o risco é proporcionalmente maior: equipes enxutas, sem departamento de segurança da informação, usando versões gratuitas de ferramentas de IA sem ler os termos de uso.
O que foi exposto e por quê
No caso Samsung, os funcionários inseriram três tipos de informação confidencial: código-fonte de semicondutores, atas de reuniões internas e dados de desempenho de equipamentos. Em todos os casos, a intenção era legítima — pediam ajuda à IA para resolver problemas técnicos. Ninguém agiu com má-fé.
O problema é que, nas versões gratuitas ou pessoais de ferramentas como ChatGPT e similares, os inputs podem ser utilizados pelo fornecedor para treinar versões futuras do modelo. Isso significa que o código inserido pode influenciar respostas futuras da IA — potencialmente para usuários de outras empresas, incluindo concorrentes.
Nas versões enterprise (ChatGPT Enterprise, Claude for Business, GitHub Copilot Business), os termos de uso geralmente preveem que os inputs não são usados para treinamento. Mas a maioria das startups brasileiras usa versões pessoais — pelo custo ou por desconhecimento da diferença.
O risco concreto para startups brasileiras
Três cenários de risco: o desenvolvedor cola código-fonte proprietário em uma ferramenta de IA para encontrar um bug, o fundador insere o plano de negócios para pedir sugestões, ou o time de vendas insere dados de clientes em uma IA para gerar propostas personalizadas.
Em cada caso, a informação confidencial sai do perímetro de segurança da empresa e entra em um sistema controlado por terceiros, com termos de uso que a empresa pode não ter lido.
Do ponto de vista jurídico, os riscos incluem: violação de NDA (se a informação era protegida por acordo de confidencialidade com clientes ou parceiros), violação da LGPD (se dados pessoais de clientes foram inseridos sem base legal), perda de segredo comercial (informações que perdem caráter confidencial por terem sido compartilhadas com terceiros) e exposição de propriedade intelectual (código que pode ser reproduzido parcialmente em respostas para outros usuários).
Como se proteger
A proteção é simples e operacional: política interna de uso de IA que defina quais ferramentas são aprovadas e em qual plano (enterprise, não gratuito), quais dados são proibidos de serem inseridos (lista taxativa), e consequências para descumprimento.
Para dados que podem ser inseridos na IA (pesquisa, brainstorming, textos genéricos), a política deve prever anonimização prévia — remover nomes de clientes, valores financeiros e qualquer informação que identifique pessoas ou empresas.
Se a sua startup ainda não tem política de uso de IA e quer implementar antes que aconteça o seu “caso Samsung”, posso ajudar a criar o documento e treinar a equipe.
