Empresas querem usar inteligência artificial com contratos, prontuários, documentos financeiros, dados industriais e propriedade intelectual. Mesmo com armazenamento e comunicação criptografados, esses dados normalmente precisam aparecer em memória durante o processamento. É nesse intervalo que operadores privilegiados, infraestrutura comprometida ou uma configuração inadequada podem ampliar a superfície de risco.
A IA confidencial combina inteligência artificial e computação confidencial para reduzir essa exposição. O processamento ocorre em um ambiente de execução confiável, ou TEE, isolado por hardware. A organização pode verificar o estado do ambiente antes de liberar chaves e dados. Em 21 de outubro de 2026, o Google Cloud anunciou disponibilidade geral de GPUs G4 confidenciais, sinalizando que essa proteção já alcança cargas aceleradas de IA, não apenas pequenas aplicações.
Os três estados dos dados
Uma arquitetura de segurança madura considera três situações. Dados em repouso estão em discos, bancos e backups e devem ser criptografados. Dados em trânsito circulam entre cliente, API e serviços e são protegidos por protocolos como TLS. Dados em uso estão sendo lidos e processados na memória.
A computação confidencial concentra-se nesse terceiro estado. O objetivo não é manter cada byte criptografado durante todo cálculo, mas limitar a forma descriptografada a uma região isolada, impedir acesso externo e liberar as chaves somente quando o ambiente provar que executa o código esperado.
Como funciona um ambiente de execução confiável
Isolamento baseado em hardware
O processador cria uma região protegida para código e dados. Dependendo da tecnologia, o isolamento pode abranger uma aplicação, um contêiner, uma máquina virtual ou uma GPU. O sistema operacional, o hipervisor e administradores da infraestrutura têm acesso reduzido ao conteúdo em memória.
Atestação
Antes de entregar uma chave, outro serviço verifica evidências criptográficas sobre hardware, firmware e software carregado. Esse processo é a atestação. Se a medição não corresponder à política — imagem alterada, componente não aprovado ou configuração inesperada — o cofre não libera a chave.
Liberação vinculada de chaves
Em vez de confiar apenas em usuário e senha, o gerenciador de chaves condiciona o acesso ao ambiente atestado. A chave chega ao TEE por um canal protegido e permanece disponível apenas enquanto a carga autorizada estiver ativa.
O que a IA confidencial protege — e o que não protege
A técnica reduz a exposição a operadores da nuvem, administradores de infraestrutura, malware no host e captura de memória fora do ambiente isolado. Também permite que organizações diferentes executem uma análise conjunta sem entregar seus dados brutos umas às outras.
Ela não corrige um aplicativo vulnerável. Se o próprio código autorizado registra dados pessoais, aceita instruções maliciosas ou envia a resposta para o destinatário errado, o TEE executará esse comportamento. Também não elimina riscos de modelo, como memorização, extração, prompt injection e saída indevida.
Por isso, computação confidencial deve complementar autenticação, menor privilégio, gestão de segredos, revisão de código, filtragem de entrada e saída, minimização de dados e monitoramento. É uma fronteira adicional, não uma promessa de segurança absoluta.
Exemplo prático: análise de documentos financeiros
Uma empresa precisa classificar contratos e extrair valores, cláusulas e datas com IA. Os documentos ficam criptografados no armazenamento. Ao iniciar o trabalho, o serviço de orquestração solicita evidência do ambiente confidencial. O cofre valida a atestação e libera uma chave temporária diretamente para o TEE.
Dentro do ambiente, o documento é aberto, o modelo executa a inferência e somente os campos necessários saem. O texto integral não é gravado em logs, prompts de depuração ou caches compartilhados. A chave é descartada ao final. Logs externos registram identificador, versão do modelo, política e resultado da atestação, mas não o conteúdo.
Se o modelo ou a imagem do serviço for alterado sem aprovação, a medição muda e a chave deixa de ser liberada. Isso transforma uma configuração de infraestrutura em uma política verificável.
Quando esse padrão gera valor
- Saúde: resumir ou estruturar informações clínicas mantendo o conteúdo dentro de um perímetro verificável.
- Finanças: analisar transações, risco e documentos sem ampliar o acesso operacional ao dado bruto.
- Jurídico: pesquisar contratos e processos com isolamento entre clientes e matérias.
- Indústria: usar telemetria e propriedade intelectual para previsão e manutenção.
- Colaboração: cruzar informações de duas organizações e devolver apenas resultados agregados.
- Modelos proprietários: proteger pesos, prompts de sistema e regras de negócio durante a inferência.
Arquitetura de referência
- O usuário ou sistema chama uma API autenticada.
- O orquestrador cria ou seleciona uma carga confidencial aprovada.
- Um serviço de atestação valida identidade e integridade do ambiente.
- O cofre libera chaves temporárias conforme política.
- Dados são abertos e processados somente dentro do TEE.
- A saída passa por validação, minimização e autorização.
- Telemetria registra a operação sem revelar dados sensíveis.
O modelo pode estar no próprio ambiente ou ser acessado por uma conexão privada, conforme o risco e a capacidade disponível. Se parte do processamento sair do TEE, a equipe deve redesenhar o fluxo e documentar exatamente onde a proteção termina.
Soberania não é apenas localização
Manter dados numa região específica atende uma parte do requisito. Computação confidencial acrescenta controle sobre quem consegue ver o conteúdo durante o uso. Isso é relevante em ambientes soberanos, híbridos e isolados, nos quais a empresa precisa combinar residência, controle de chaves e redução do acesso por operadores.
Ainda assim, não se deve afirmar conformidade automática com LGPD, RGPD ou normas setoriais. A tecnologia apoia medidas técnicas, mas finalidade, base legal, retenção, direitos do titular, contratos e processos internos continuam necessários.
Critérios para decidir se vale a pena
- qual seria o impacto se um administrador de infraestrutura visse os dados em uso?
- há exigência contratual ou regulatória de isolamento adicional?
- duas partes precisam colaborar sem compartilhar dados brutos?
- o modelo, seus pesos ou regras de negócio também são confidenciais?
- a carga exige GPU e existe oferta confidencial compatível?
- latência, custo e limitações de observabilidade são aceitáveis?
Para dados públicos ou aplicações de baixo risco, o custo adicional pode não se justificar. O valor aumenta quando a sensibilidade é alta e o modelo de ameaça inclui operadores privilegiados ou infraestrutura compartilhada.
Erros comuns no projeto
- proteger a inferência, mas registrar o prompt completo fora do TEE;
- liberar chaves antes de verificar a atestação;
- usar uma imagem mutável sem política de versão;
- misturar ambientes e clientes no mesmo contexto sem isolamento lógico;
- ignorar dependências, drivers e artefatos do modelo na cadeia de confiança;
- não prever atualização, revogação e resposta a incidente.
Como iniciar um piloto
- escolha um fluxo com dados sensíveis e saída bem definida;
- modele ameaças e identifique o que deve permanecer confidencial;
- reduza os dados e componentes dentro da base confiável;
- configure atestação e liberação de chaves por política;
- teste imagem alterada, atestação inválida e falha do cofre;
- compare latência, custo, capacidade e operação com a arquitetura atual;
- documente fronteiras e evidências para segurança e negócio.
Da prova de conceito à operação
O sucesso não é apenas “o modelo respondeu”. Meça percentual de execuções atestadas, falhas de política, tempo de liberação de chaves, latência adicional, exposição em logs e cobertura dos fluxos sensíveis. Atualizações de modelo e infraestrutura devem manter evidências reproduzíveis.
A ProativaIA desenvolve soluções de inteligência artificial e automação, software sob medida e integrações para operações com dados críticos. Podemos mapear o risco, desenhar a arquitetura confidencial e construir um piloto com atestação, gestão de chaves, auditoria e controles de saída.