Central de conhecimento

O caso do piloto da United que, segundo uma notícia do N12 de 21 de outubro, foi impedido de entrar no espaço aéreo de Israel, ilustra por que razão a responsabilidade da organização continua mesmo depois da contratação.

No relatório anexo foram analisadas duas questões: o que era possível encontrar em fontes abertas antes do início do seu trabalho, em novembro de 2022, e o que foi publicado ao longo do seu emprego.

Nas fontes verificadas não foram encontrados conteúdos negativos anteriores à contratação.

Conteúdos de apoio ao regime iraniano e ao seu programa de mísseis foram encontrados em publicações de junho de 2025, cerca de dois anos e meio depois.

O relatório analisa também o registo de uma story de outubro de 2025, em que se ouve a canção Boom, Boom, Tel Aviv, que elogia o ataque com mísseis contra a cidade.

A story foi apagada após a exposição, e a sua atribuição à conta foi verificada através de um registo guardado por um terceiro e do cruzamento com conteúdo que permaneceu no perfil.

No ecrã aparecia apenas Boom boom :). A mensagem significativa estava na banda sonora. Uma verificação que se limitasse ao texto não a teria encontrado.

Também a localização da conta exigiu mais do que uma pesquisa pelo nome: o nome completo não aparecia no perfil, e a atribuição baseou-se no cruzamento de dados profissionais com fontes adicionais.

Mas nem todas as alegações publicadas foram fundamentadas. A verificação não encontrou provas de apoio ao Hezbollah nem ao ataque de 7 de outubro. Também não foram encontrados indícios de intenção, de planeamento ou de ameaça de cometer atos de violência. A origem, a religião e a língua não foram definidas como «bandeiras vermelhas».

Na minha opinião, isto faz parte da responsabilidade profissional numa verificação de antecedentes: ser rigorosos tanto naquilo que encontrámos como naquilo que não temos base para determinar.

Uma constatação relevante justifica um esclarecimento e uma avaliação de risco, e deve ser analisada no contexto do cargo e do conjunto da informação.

Estas são três coisas que recomendo aos gestores de segurança e de recursos humanos que retirem deste caso:

• Definir em que cargos é necessária uma verificação periódica de informação pública, e com que frequência, de acordo com a sensibilidade do cargo e o âmbito do acesso e da autoridade do colaborador.

• Garantir que a verificação inclui também as stories guardadas nos destaques, as publicações partilhadas e os vídeos, com compreensão da língua e do contexto. Pesquisar o nome e ler títulos pode deixar de fora informação significativa.

• Estabelecer antecipadamente quem valida uma constatação, quem avalia o seu significado para o cargo e como se conduz um esclarecimento justo com o colaborador.

Recolher informação só é útil quando existe um processo claro para a tratar.

Junto o relatório completo, com as fontes, os cruzamentos de dados e os limites da verificação.

A pergunta que proponho que todas as organizações façam: se amanhã surgir informação relevante sobre um colaborador num cargo sensível, quem deve identificá-la e quem é responsável por tratá-la?

O relatório completo, em inglês e com uma ligação para a fonte de cada conclusão, está disponível para descarregar.Descarregar o relatório

Segundo a queixa-crime, funcionários da empresa encontraram o dispositivo no final de setembro de 2026, ligado atrás de uma televisão na sala e embrulhado em papel higiénico. Ele trabalhava na empresa como engenheiro desde cerca de julho de 2025 e não tinha autorização para entrar na sala. O Departamento de Justiça não alega o envolvimento de um governo estrangeiro. A OpenAI afirmou não ter visto qualquer sinal de que tenham sido retirados pesos de modelos, código-fonte ou dados de clientes, e que ele foi despedido.

Tal como no nosso estudo de caso anterior, sobre o voo FZ1073, fixámos o método antes da pesquisa. Verificámos duas datas: o dia anterior à sua contratação e o dia anterior à instalação do dispositivo. Analisámos as constatações com dois quadros de referência distintos: os indicadores comportamentais de risco de ameaça interna do governo dos Estados Unidos e o método da ProfCheck. Fizemos também 23 pesquisas no Google, limitadas a páginas com data anterior à da contratação. A pesquisa abrangeu inglês e árabe.

O que não encontrámos

Nenhum registo criminal, nenhuma sanção, nenhuma hostilidade para com um empregador e nenhum apoio à violência. Lemos 262 das 284 publicações da sua conta no X, e nenhuma corresponde aos indicadores comportamentais negativos do nosso método.

Duas bandeiras vermelhas, públicas antes da contratação

A primeira: datas de emprego contraditas por um registo. No seu perfil do LinkedIn, o trabalho na Meta termina em 2022. Mas em janeiro de 2025 foi publicada nos repositórios de código aberto da Meta uma alteração interna ao código da empresa, a partir de um endereço de email da Meta, com o seu nome de utilizador. O registo era público cerca de cinco meses antes de ele entrar na OpenAI. O Google não o apresenta nos resultados. Só se encontra através de uma pesquisa no seu historial de código no GitHub.

A segunda: uma função externa em paralelo com o emprego. Em fevereiro de 2025 juntou-se a um fundo de capital de risco de Riade como venture partner, e a função manteve-se enquanto trabalhava na OpenAI. A função foi anunciada publicamente, pelo que não estava escondida do público. Não se sabe se a comunicou ao seu empregador.

Segundo o nosso método, uma contradição nas datas de emprego e a não divulgação de um conflito de interesses, se tiver ocorrido, são indicadores de falta de fiabilidade. Não provam uma infração. São bandeiras vermelhas que exigem um esclarecimento com o candidato antes de uma decisão: uma explicação das datas, uma lista escrita das funções externas e a verificação junto dos antigos empregadores. Não é possível saber se esse esclarecimento teria mudado a decisão.

Onde estavam os sinais de alerta sobre o próprio ato

Segundo a queixa-crime, todos os sinais de alerta sobre o ato estavam dentro do edifício:

• Câmaras registaram-no junto à sala em dez datas diferentes em setembro.

• Pesquisou nos sistemas da própria empresa onde e quando a administração se reúne.

• Uma conta associada a ele perguntou a um chatbot como construir um gravador oculto e encriptado.

E, na minha opinião, esta parte é ainda mais importante. Uma verificação de antecedentes com base em fontes abertas ajuda a decidir quem contratar. Não consegue ver o que um colaborador faz depois de entrar. Isso é o que vê um programa interno de gestão do risco de ameaça interna: controlo de acessos, câmaras e os registos das ferramentas internas.

O que isto significa para os empregadores

Na prática, isto significa, entre outras coisas:

• Confrontar as datas de emprego com registos, e não apenas com o currículo e o perfil do LinkedIn.

• No caso de candidatos técnicos, verificar também o historial público do seu código. Contém datas e domínios dos empregadores.

• Pedir por escrito, na contratação e todos os anos, uma lista de funções externas, investimentos e trabalho de consultoria. Uma função anunciada publicamente não é necessariamente uma função comunicada ao empregador.

• Tratar uma bandeira vermelha como uma pergunta que precisa de resposta, e não como um veredicto.

• Numa organização que detém informação sensível, não confiar apenas na verificação no momento da entrada. Uma verificação de antecedentes e um programa interno de gestão do risco de ameaça interna fazem trabalhos diferentes, e ambos são necessários.

É importante sublinhar: foi apresentada contra ele uma queixa-crime, não foi condenado e beneficia da presunção de inocência. Os factos sobre o ato provêm da queixa-crime e são alegações ainda não apreciadas em tribunal. A análise utilizou apenas fontes abertas, e os factos estão atualizados à data de 14 de outubro de 2026.

O nosso estudo de caso anterior com o mesmo método, sobre o copiloto do voo FZ1073: https://profcheck.co/pt/knowledge/case-study-fz1073-copilot/

O relatório completo, em inglês e com uma ligação para a fonte de cada conclusão, está disponível para descarregar.Descarregar o relatório

Um conflito de interesses não indica necessariamente falta de integridade

Um gestor de compras de uma grande empresa detém ações de um dos fornecedores da organização. Um candidato a um cargo de topo é casado com uma diretora de uma empresa concorrente. Um diretor financeiro negoceia um futuro cargo numa empresa que mantém relações comerciais com o seu empregador atual.

O que têm em comum os três casos?

Em cada um deles existem circunstâncias que podem criar um conflito de interesses. Mas nenhum dos casos, por si só, prova que foi cometida uma infração, que foi tomada uma decisão imprópria ou que a pessoa envolvida não é honesta.

Esta distinção, que à primeira vista parece simples, é uma das mais importantes na gestão da fiabilidade organizacional.

Na prática, o termo "conflito de interesses" provoca por vezes uma reação quase automática de suspeita. Os gestores receiam declarar ligações pessoais ou comerciais, os candidatos receiam que uma constatação na verificação de antecedentes prejudique as suas hipóteses de serem contratados, e as organizações têm dificuldade em distinguir entre um risco que pode ser gerido e uma conduta que exige um apuramento sério.

O resultado pode ser duplo: por um lado, as pessoas evitam comunicar circunstâncias relevantes; por outro, as organizações atribuem um peso excessivo à mera existência de uma ligação pessoal ou comercial, mesmo quando não há prova de conduta imprópria.

Uma abordagem profissional aos conflitos de interesses começa por uma compreensão básica: o conflito de interesses é, antes de mais, uma situação que exige análise e gestão, e não a prova de um ato impróprio.

O que é um conflito de interesses segundo a OECD?

Em 28 de maio de 2003, o Conselho da Organização para a Cooperação e Desenvolvimento Económico (OECD) adotou a Recomendação sobre a gestão de conflitos de interesses no serviço público.

O documento, Recommendation of the Council on OECD Guidelines for Managing Conflict of Interest in the Public Service, destina-se a ajudar os países a desenvolver políticas eficazes para identificar, prevenir e gerir situações em que interesses privados podem influenciar o exercício de uma função pública.

Segundo a definição, existe um conflito de interesses quando há uma tensão entre os deveres públicos de um titular de cargo e os seus interesses privados, de tal forma que esses interesses podem influenciar de modo impróprio o cumprimento dos seus deveres e responsabilidades.

No entanto, o documento sublinha uma distinção importante ainda antes de apresentar a definição.

Um conflito de interesses, em si mesmo, não é corrupção. Um conflito que não foi identificado ou que não foi gerido de forma adequada pode evoluir para uma lesão da integridade e para uma conduta imprópria.

O documento acrescenta que, quando um interesse privado já comprometeu efetivamente o exercício correto da função, é mais adequado descrever o caso como conduta imprópria, como abuso de funções ou, nos casos apropriados, como corrupção.

Trata-se de uma diferença substancial entre uma situação em que existe um potencial de influência imprópria e uma situação em que essa influência já se concretizou.

A distinção é importante também do ponto de vista da gestão: a mera existência de um conflito de interesses não indica necessariamente uma falha pessoal, mas não o identificar, não o declarar ou não o gerir pode criar uma falha organizacional significativa.

Fonte: OECD, Recommendation of the Council on OECD Guidelines for Managing Conflict of Interest in the Public Service, 2003, parágrafos 4 e 10-15.

Três tipos de conflito de interesses que todos os gestores devem conhecer

A OECD distingue três categorias principais. A distinção entre elas ajuda a organização a determinar o nível de risco e a forma de tratamento adequada.

1. Conflito de interesses efetivo (Actual Conflict of Interest)

Uma situação em que já existe um choque entre a responsabilidade do titular do cargo e um interesse privado que pode influenciar o exercício da sua autoridade.

Exemplo: um gestor de compras participa na escolha de um fornecedor enquanto detém um interesse económico pessoal numa das empresas concorrentes.

A mera detenção não prova que o gestor de compras deu vantagem à empresa, mas a sua participação no processo de seleção cria uma situação de conflito de interesses que exige tratamento.

2. Conflito de interesses aparente (Apparent Conflict of Interest)

Uma situação em que as circunstâncias criam uma impressão razoável de possível influência de um interesse privado, embora na realidade não exista tal conflito.

Exemplo: um membro de um comité de investimentos tem o mesmo apelido que o proprietário de uma empresa que está a ser avaliada para investimento. Isso levanta a suspeita de uma ligação familiar, mas o apuramento revela que não existe entre eles qualquer parentesco.

Num caso assim não é necessariamente exigido um acordo para prevenir o conflito de interesses, mas é importante apurar e documentar as constatações, para evitar um dano injustificado à confiança no processo.

É importante distinguir entre uma mera aparência e uma situação em que existe uma ligação real que pode criar um conflito de interesses. Quando a ligação existe, não deve ser classificada como mera aparência só porque a pessoa envolvida é vista como de confiança.

3. Conflito de interesses potencial (Potential Conflict of Interest)

Uma situação em que existe um interesse privado que pode tornar-se um conflito de interesses se o titular do cargo vier a assumir no futuro uma determinada responsabilidade ou autoridade.

Exemplo: um colaborador detém ações de uma empresa que presta serviços à organização, mas atualmente não está envolvido nas decisões relativas a esse fornecedor. Se for promovido a um cargo responsável pela seleção de fornecedores, pode surgir um conflito de interesses.

A implicação para a gestão é clara: não basta analisar a situação no momento da contratação. É preciso identificar de que forma uma mudança de cargo, de poderes ou de relações pode alterar o nível de risco.

Efetivo: o interesse choca com uma responsabilidade existente. Resposta organizacional adequada: um acordo imediato, a limitação do envolvimento ou outra solução.

Aparente: parece existir um conflito, mas um apuramento pode afastá-lo. Resposta organizacional adequada: verificar os factos e documentar a conclusão.

Potencial: um conflito pode surgir no futuro. Resposta organizacional adequada: documentação, acompanhamento e nova análise quando as circunstâncias mudarem.

O interesse privado não é só dinheiro

As organizações tendem a concentrar-se nos conflitos de interesses económicos: participações acionistas, propriedade de empresas, ligações a fornecedores ou receção de benefícios.

Estas são, sem dúvida, fontes de risco significativas, mas a definição profissional é muito mais ampla.

Um interesse privado pode também estar relacionado com laços familiares, filiação em organizações, atividade profissional adicional, compromissos pessoais, relações comerciais anteriores e até possibilidades de emprego futuro.

Por exemplo:

• Uma diretora de recursos humanos que participa na decisão sobre a promoção de um familiar.

• Um membro do conselho de administração que integra em simultâneo o conselho de uma empresa com interesses comerciais opostos.

• Um responsável de segurança da informação que presta consultoria remunerada a uma empresa que fornece serviços à sua organização.

• Um vice-presidente que negoceia um futuro cargo num fornecedor com o qual gere uma relação comercial.

• Um gestor de projeto envolvido na escolha de um empreiteiro que pertence a um amigo pessoal próximo.

Em alguns casos, as ligações são públicas e conhecidas de todos os envolvidos. Noutros, a organização não as conhece.

A questão central não é se a ligação parece invulgar, mas se pode influenciar o critério, a independência da decisão ou o cumprimento da responsabilidade profissional.

Porque é que também as pessoas honestas se veem envolvidas em conflitos de interesses?

Um dos erros mais comuns na gestão de riscos é tratar o conflito de interesses como um traço de carácter.

Nas reuniões da administração ouve-se por vezes o argumento: "Conhecemo-lo há anos. É uma pessoa honesta. Aqui não há conflito de interesses".

No entanto, integridade e conflito de interesses são dois conceitos diferentes.

A integridade refere-se aos valores e à conduta da pessoa. O conflito de interesses refere-se às circunstâncias em que ela atua.

Uma pessoa pode ter uma integridade particularmente elevada e, ainda assim, encontrar-se numa situação em que interesses pessoais e profissionais puxam em direções diferentes.

Na verdade, são precisamente as pessoas que ocupam cargos de topo, com vasta experiência profissional e uma ampla rede de contactos, que podem estar expostas a um maior número de situações deste tipo.

Um gestor experiente pode conhecer fornecedores pessoalmente. Um administrador pode estar envolvido em várias empresas. Um especialista pode atuar como consultor de outras entidades na sua área de atividade.

Estes não são necessariamente sinais de conduta imprópria. Por vezes, são o resultado natural de uma atividade profissional legítima.

O desafio da organização é recolher a informação relevante, avaliar o risco e criar um mecanismo que permita às pessoas continuar a exercer as suas funções, protegendo ao mesmo tempo a independência do seu critério.

O paradoxo do dever de declaração: quanto mais se pune a divulgação, mais se incentiva a ocultação

Muitas organizações exigem a colaboradores e gestores que assinem uma declaração de inexistência de conflito de interesses.

Aparentemente, trata-se de um controlo básico e lógico. No entanto, a sua eficácia depende em grande medida da cultura organizacional.

Quando um colaborador percebe que a mera declaração de uma ligação comercial ou pessoal pode prejudicar a sua promoção, a sua reputação ou a sua posição, pode surgir um incentivo negativo à comunicação.

O risco não está apenas numa declaração deliberadamente falsa. Por vezes, o colaborador nem sequer sabe se uma determinada ligação é considerada conflito de interesses e, por isso, prefere não a mencionar.

Uma realidade assim pode levar a que um mecanismo concebido para aumentar a transparência gere, pelo contrário, receio e incerteza.

Uma organização que quer receber informação fiável tem de distinguir entre o ato de divulgar e a violação do dever de divulgação.

Um colaborador que comunica atempadamente uma ligação que exige análise permite à organização agir de forma ponderada. Pelo contrário, um colaborador que oculta conscientemente uma ligação substancial, em violação de um dever de comunicação explícito, levanta uma questão distinta sobre a sua conduta e a sua fiabilidade.

É igualmente importante não transformar a declaração num mecanismo de imunidade. Uma divulgação tardia, parcial ou enganosa não equivale a uma comunicação completa e exata no prazo exigido.

A abordagem desejável é incentivar a comunicação precoce e transparente, esclarecer que situações devem obrigatoriamente ser declaradas e permitir que os colaboradores obtenham aconselhamento quando não têm a certeza se determinadas circunstâncias exigem uma declaração.

Do conflito de interesses à ameaça interna: quando é que o risco se concretiza?

O conflito de interesses não é o mesmo que uma ameaça interna, mas em alguns casos pode ser um dos fatores de risco para o seu desenvolvimento.

Uma ameaça interna surge quando uma pessoa com acesso legítimo aos recursos, à informação ou aos poderes da organização os utiliza de uma forma que pode causar dano, seja com intenção maliciosa, seja por conduta negligente ou errada.

Um conflito de interesses não gerido pode criar circunstâncias em que um colaborador toma decisões influenciadas por um interesse pessoal, utiliza informação comercial de forma imprópria ou concede uma vantagem a um terceiro.

Assim, por exemplo, um gestor com um interesse pessoal num fornecedor pode ter acesso a informação sobre as propostas de preço dos concorrentes desse fornecedor. A existência do interesse não prova que a informação foi utilizada indevidamente, mas a combinação entre o interesse e o acesso à informação cria uma exposição que deve ser analisada.

A possível evolução pode ser ilustrada através de quatro fases:

Primeira fase: existência de um interesse privado. O colaborador tem uma ligação familiar, comercial ou económica que pode ser relevante para o seu cargo.

Segunda fase: surgimento de um conflito de interesses. O colaborador recebe poderes ou acesso a informação que colocam o interesse privado em oposição aos seus deveres para com a organização.

Terceira fase: ausência de gestão adequada. Não é estabelecido qualquer acordo, o colaborador não comunica ou a organização ignora a informação.

Quarta fase: possível concretização do risco. O colaborador toma uma decisão enviesada, transmite informação proibida ou utiliza a sua autoridade para conceder uma vantagem imprópria.

Este não é um percurso inevitável. A maioria das situações de conflito de interesses não conduz necessariamente a uma conduta imprópria. Mas quanto mais substancial for o conflito, mais elevado o nível de exposição e mais fracos os mecanismos de controlo, maior é a importância de um tratamento precoce.

Daqui decorre um princípio fundamental da gestão de ameaças internas: o tratamento deve começar pela identificação e gestão das condições de risco, e não apenas pela investigação de incidentes depois de o dano já ter ocorrido.

O papel das verificações de antecedentes na identificação de conflitos de interesses

Uma verificação de antecedentes profissional pode fornecer à organização informação importante sobre ligações, participações e cargos que não surgem necessariamente durante uma entrevista de emprego ou a partir do currículo.

No âmbito das verificações de antecedentes baseadas em informação pública (OSINT), e sujeito à lei e à finalidade da verificação, é possível analisar, entre outros aspetos:

• Participações e ligações comerciais: titularidade registada de empresas, cargos em conselhos de administração, sociedades e ligações societárias documentadas.

• Atividades adicionais: cargos profissionais paralelos, atividade de consultoria ou outro envolvimento empresarial documentado em fontes públicas.

• Ligações a fornecedores e concorrentes: relações que podem ser comprovadas através de registos, publicações ou outras fontes fiáveis.

• Historial profissional: ligações relevantes a empregadores anteriores, a empresas relacionadas ou a partes interessadas numa transação.

• Interesses comerciais de titulares de cargos de topo: envolvimento noutras empresas que pode criar ligações à área de atividade da organização.

Contudo, existe uma limitação importante: nem todo o interesse privado está documentado em informação pública.

Uma ligação familiar que não é pública, um compromisso pessoal, uma sociedade não registada ou uma negociação confidencial sobre um novo cargo não aparecerão necessariamente em fontes que possam ser consultadas.

Por isso, a verificação de antecedentes não substitui a declaração da pessoa verificada, e a declaração também não substitui a verificação de antecedentes quando existe uma justificação profissional e legal para a realizar.

As duas ferramentas complementam-se: a declaração fornece informação do lado da pessoa, e a verificação de antecedentes pode confirmar parte dessa informação, completá-la e, por vezes, apontar discrepâncias que exigem apuramento.

A limitação mais importante é que uma verificação de antecedentes não pode determinar, com base na mera existência de uma ligação, que a pessoa agiu de forma imprópria.

Pode descrever uma constatação factual e ajudar a avaliar a relevância da ligação para o cargo. A conclusão sobre se é necessário um acordo para prevenir o conflito de interesses deve ser tomada pelo órgão competente da organização, depois de analisado o conjunto das circunstâncias.

Como deve ser apresentada uma constatação de conflito de interesses num relatório de verificação de antecedentes?

A qualidade de uma verificação de antecedentes não se mede apenas pela sua capacidade de localizar informação. Igualmente importante é a forma como a informação é analisada e apresentada.

Uma afirmação generalizada como "o candidato encontra-se num grave conflito de interesses" pode não ter fundamento se a verificação não analisou as suas áreas de responsabilidade, os seus poderes e a relação entre a constatação e o cargo.

Em contrapartida, ignorar uma ligação comercial substancial só porque não foi encontrada prova de conduta imprópria pode levar a que se deixe escapar um risco relevante.

Vejamos um exemplo.

Um candidato ao cargo de gestor de compras surge como acionista de uma empresa que presta serviços à organização que está a recrutar.

Um relatório profissional deve separar quatro perguntas:

1. Qual é a constatação factual?

O candidato surge como acionista de uma determinada empresa, segundo uma fonte de informação definida e numa data de verificação concreta.

2. Qual é a possível relação com o cargo?

A empresa atua numa área em que o gestor de compras pode estar envolvido em decisões sobre contratações, preços ou seleção de fornecedores.

3. O que ainda não se sabe?

É possível que não se conheçam a percentagem atualizada da participação, o âmbito do envolvimento comercial, os poderes futuros do candidato ou a existência de um acordo anterior para prevenir o conflito de interesses.

4. Qual é a ação recomendada?

Obter a posição do candidato, verificar os dados em falta e analisar se é necessário um acordo que limite o seu envolvimento nas decisões relativas a essa empresa.

Uma possível redação profissional seria:

"Segundo a informação localizada, o candidato tem uma ligação comercial a uma empresa que atua numa área relevante para o cargo previsto. A constatação pode suscitar uma preocupação de conflito de interesses, consoante o âmbito dos poderes e responsabilidades que lhe venham a ser atribuídos. Recomenda-se esclarecer a natureza da ligação e analisar a necessidade de um acordo adequado."

Uma redação assim reflete a informação conhecida, assinala o risco e não atribui ao candidato uma conduta que não foi provada.

Esta é uma diferença essencial entre um relatório que fornece informação em bruto e um relatório que ajuda a organização a tomar uma decisão profissional e proporcionada.

Como se gerem os conflitos de interesses na organização? Um modelo de trabalho prático

A gestão de conflitos de interesses não deve resumir-se a um formulário de declaração assinado no início da relação laboral.

Para que o sistema seja eficaz, tem de funcionar ao longo de todo o ciclo de vida do colaborador e incluir identificação, avaliação, decisão, documentação e controlo.

Fase 1: mapeamento de cargos sensíveis

A organização deve identificar os cargos em que existe um risco significativo de conflito de interesses.

Em regra, trata-se de cargos que incluem autoridade para tomar decisões económicas, acesso a informação comercial sensível, seleção de fornecedores, recrutamento de pessoal, definição de condições contratuais ou supervisão da atividade de terceiros.

O nível de controlo adequado para um administrador, um gestor de compras ou um gestor de investimentos não é necessariamente o mesmo que se exige a um colaborador sem poderes de decisão substanciais.

Fase 2: declaração de interesses adaptada ao cargo

Uma declaração geral do tipo "não me encontro em conflito de interesses" pode ser insuficiente.

É preferível pedir ao colaborador que responda a perguntas concretas relacionadas com a natureza do seu cargo, como ligações comerciais a fornecedores, participações em empresas relevantes, atividades adicionais ou laços familiares que possam influenciar as suas decisões.

É importante explicar ao colaborador que o objetivo é identificar situações a gerir, e não presumir à partida que existe uma conduta imprópria.

Fase 3: verificação e complemento da informação

Nos cargos que o justifiquem, é possível recorrer a verificações de antecedentes e a fontes de informação externas para confirmar dados relevantes ou completar o quadro.

A verificação deve ser direcionada, proporcionada, legal e relevante para os riscos do cargo. Não há justificação para uma recolha ilimitada de informação pessoal só porque o colaborador ocupa um cargo sensível.

Fase 4: avaliação da gravidade do risco

Nem todo o conflito de interesses justifica a mesma resposta.

Ao avaliar o risco, convém analisar a intensidade do interesse privado, o grau da sua possível influência, a autoridade de decisão do colaborador, a sensibilidade da informação a que tem acesso e o âmbito da exposição organizacional.

Além disso, deve verificar-se se existe uma possibilidade prática de impedir o colaborador de participar em determinadas decisões sem prejudicar de forma significativa o funcionamento da organização.

Fase 5: definição de um acordo adequado

A solução não tem de ser a exclusão de um candidato ou a cessação da relação laboral.

Consoante a gravidade do conflito e as circunstâncias, podem considerar-se soluções como:

• Abster-se de participar em decisões relacionadas com a entidade em causa.

• Transferir a autoridade de decisão para outro gestor.

• Limitar o acesso a determinada informação sensível.

• Alterar as áreas de responsabilidade ou a linha hierárquica.

• Pôr termo à atividade comercial externa que gera o conflito.

• Renunciar a um interesse económico relevante, quando tal for adequado e necessário.

• Excluir a pessoa de um determinado cargo quando não for possível gerir o conflito de forma eficaz.

A escolha da solução deve ser proporcionada, exequível e passível de controlo.

Fase 6: documentação da decisão e da responsabilidade pela sua aplicação

Não basta determinar que o colaborador não participará nas decisões relativas a um determinado fornecedor.

É necessário documentar o âmbito da restrição, quem a aprovou, a pessoa responsável pela sua supervisão e os casos em que deve ser reavaliada.

Um acordo que não está documentado, ou por cuja aplicação ninguém é responsável, pode ficar reduzido a uma mera declaração.

Fase 7: acompanhamento e atualização

O conflito de interesses não é uma situação estática.

Mudanças no cargo, nos poderes, na estrutura organizacional, nas ligações comerciais ou nas circunstâncias pessoais podem criar um novo conflito ou tornar um conflito existente mais substancial.

Por isso, recomenda-se definir os eventos que exigem a atualização da declaração e uma nova análise, a par de uma revisão periódica nos cargos sensíveis.

A lição importante: um conflito de interesses pode surgir mesmo após anos de relação laboral

As organizações investem recursos significativos no processo de seleção e integração, mas por vezes partem do princípio de que, concluída a verificação de antecedentes e assinada a declaração de inexistência de conflito de interesses, a questão ficou resolvida.

Trata-se de um pressuposto problemático.

Um colaborador que foi integrado sem qualquer conflito de interesses pode mais tarde ser nomeado para um novo cargo. Um familiar seu pode começar a trabalhar num fornecedor. Uma empresa na qual detém ações pode tornar-se prestadora de serviços da organização. Também uma mudança na carteira de fornecedores ou na sua estrutura acionista pode gerar um conflito que antes não existia.

Nestes casos, a verificação de antecedentes original pode estar totalmente correta à data em que foi realizada, mas já não refletir o risco atual.

Daí a importância de um mecanismo organizacional para atualizar declarações, reavaliar conflitos quando ocorrem mudanças substanciais e recorrer de forma direcionada a verificações atualizadas quando tal se justifique.

A solução não passa necessariamente por verificar todos os colaboradores de forma contínua. Uma monitorização desse tipo pode ser desproporcionada, dispendiosa e lesiva da privacidade. É preferível uma abordagem baseada no risco, centrada nos cargos, nos poderes e nos eventos em que pode ocorrer uma mudança substancial na exposição.

O que ensinam as constatações da OECD sobre o desfasamento entre a política e a sua aplicação?

No relatório Anti-Corruption and Integrity Outlook 2024, a OECD apontou um desfasamento entre a existência de regras e mecanismos formais de gestão de conflitos de interesses e a capacidade das autoridades para verificar as declarações e garantir que os riscos são efetivamente tratados.

Uma das constatações mais marcantes do relatório é que apenas oito dos países da OECD analisados verificaram pelo menos 60% das declarações de património e interesses nos dois anos anteriores ao relatório.

Isto não significa que todas as outras declarações estivessem erradas, mas sim que a existência de um mecanismo de declarações não garante, por si só, a capacidade de verificar a informação ou de detetar discrepâncias.

Embora as constatações digam respeito a sistemas públicos, a lição de gestão é relevante também para as organizações empresariais.

Um formulário de declaração sem um mecanismo para apurar as constatações, regularizar os conflitos e controlar a aplicação dos acordos pode criar uma sensação de segurança sem fundamento.

Da mesma forma, uma verificação de antecedentes que identifica uma ligação comercial relevante não oferece uma proteção completa se a informação não chegar a um decisor competente ou se não for tomada uma decisão prática sobre a forma de a tratar.

A eficácia do sistema de gestão de conflitos de interesses mede-se, portanto, não só pelo número de declarações recolhidas ou pela quantidade de verificações realizadas, mas também pela capacidade de traduzir a informação em decisões e em mecanismos de controlo.

Cinco erros comuns na gestão de conflitos de interesses

Primeiro erro: ver na própria declaração uma admissão de conduta imprópria.

Esta abordagem reduz a disponibilidade dos colaboradores para comunicar e dificulta a deteção precoce de riscos.

Segundo erro: presumir que uma pessoa honesta não pode encontrar-se em conflito de interesses.

A avaliação da integridade não substitui a análise das circunstâncias e dos interesses relevantes.

Terceiro erro: contentar-se com uma declaração única no momento da contratação.

O risco pode mudar ao longo da relação laboral e exige um mecanismo de atualização adequado.

Quarto erro: tratar qualquer ligação comercial ou familiar como motivo automático de exclusão.

É necessário analisar a relevância para o cargo e a possibilidade de gerir o conflito com medidas proporcionadas.

Quinto erro: tratar uma constatação de uma verificação de antecedentes como prova de conduta imprópria.

Uma constatação pode apontar para uma situação que exige apuramento, mas não prova que tenha ocorrido uma ação imprópria.

Conclusão: o teste não é a ausência de conflitos de interesses, mas a capacidade de os gerir

Os conflitos de interesses são uma parte inevitável da realidade organizacional.

As pessoas têm interesses económicos, mantêm relações pessoais, estão envolvidas em atividades profissionais adicionais e desenvolvem ligações comerciais ao longo da vida. A mera existência desses interesses não indica necessariamente um problema de fiabilidade.

O desafio organizacional é identificar quando um interesse privado pode chocar com uma responsabilidade profissional, garantir que a informação relevante chega ao órgão competente e decidir como gerir o risco.

As verificações de antecedentes baseadas em OSINT têm um papel importante no processo. Podem detetar relações e ligações que a organização desconhece, fornecer uma base factual para a avaliação de riscos e ajudar a verificar a informação prestada nas declarações.

Mas a verificação de antecedentes é apenas um dos componentes de um sistema mais amplo, que inclui uma cultura organizacional que incentiva a divulgação, procedimentos claros, uma tomada de decisão proporcionada e um controlo contínuo.

Uma organização com uma cultura de fiabilidade desenvolvida não é necessariamente uma organização onde não há conflitos de interesses. É uma organização onde os conflitos de interesses são identificados a tempo, comunicados sem receio injustificado, analisados de forma profissional e geridos antes de se tornarem um incidente que prejudique a organização.

E o ponto mais importante é que o próximo conflito de interesses na organização não será necessariamente descoberto num colaborador que ocultou informação.

É possível que surja precisamente num colaborador que declarou todas as suas ligações no momento da contratação, no dia em que as suas áreas de responsabilidade, as ligações comerciais da organização ou as circunstâncias da sua vida mudaram.

Por isso, a gestão de conflitos de interesses não é uma ação pontual de verificação e aprovação. É uma parte inseparável da gestão da fiabilidade e da governação organizacional ao longo do tempo.

Fontes profissionais

1. OECD (2003). Recommendation of the Council on OECD Guidelines for Managing Conflict of Interest in the Public Service. OECD/LEGAL/0316. A recomendação original, adotada em 28 de maio de 2003, em particular o parágrafo 4 e os parágrafos 10-15, que definem o conflito de interesses e os seus tipos. https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0316

2. OECD (2004). Managing Conflict of Interest in the Public Service: OECD Guidelines and Country Experiences. OECD Publishing, Paris. Publicação alargada das diretrizes, a par da experiência comparada de vários países. https://doi.org/10.1787/9789264104938-en

3. OECD (2020). OECD Public Integrity Handbook. OECD Publishing, Paris. Princípios para a gestão de conflitos de interesses através de mecanismos de declaração, controlo e acordos proporcionados. https://doi.org/10.1787/ac8ed8e8-en

4. OECD (2024). Anti-Corruption and Integrity Outlook 2024, capítulo Conflict of Interest. Análise dos desfasamentos entre os quadros regulamentares e a sua aplicação, a verificação de declarações e o controlo efetivo. https://www.oecd.org/en/publications/anti-corruption-and-integrity-outlook-2024_968587cd-en.html

Este artigo trata de princípios de gestão de riscos organizacionais. As diretrizes da OECD de 2003 foram redigidas para o serviço público, e a aplicação aqui proposta em empresas é uma adaptação de gestão dos seus princípios. As obrigações legais específicas, incluindo as de privacidade, relações laborais e dever de divulgação, estão sujeitas à lei aplicável à organização e aos titulares de cargos.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Os candidatos pareciam, à primeira vista, excelentes.

Residiam em países ocidentais, tinham acumulado experiência em empresas internacionais conhecidas e candidatavam-se a cargos seniores. A verificação das suas redes sociais não revelou atividade extremista, anti-israelita ou suspeita. Também a pesquisa em fontes abertas e em bases de dados adicionais não encontrou qualquer indicação clara de atividade hostil.

Aparentemente, um perfil totalmente limpo.

Mas quando reconstruímos em profundidade a sua cronologia profissional, surgiu um pormenor que alterou o quadro de risco: no seu passado havia um período de trabalho significativo numa empresa iraniana identificada com a Guarda Revolucionária iraniana (Corpo da Guarda Revolucionária Islâmica, IRGC) e sujeita a sanções.

Depois desse período, os candidatos deixaram o Irão, mudaram-se para países ocidentais e trabalharam durante vários anos em empresas locais legítimas. Só depois de criada essa distância geográfica e profissional em relação ao Irão foi apresentada a candidatura à empresa israelita.

Porque é que é precisamente a cronologia que importa?

Uma verificação de antecedentes comum pode terminar aqui com a conclusão de que não há resultados negativos.

É exatamente esse o problema.

Quando se avalia o risco de atividade por conta de um Estado estrangeiro, não se pode procurar apenas «informação negativa». É preciso procurar também padrões.

A questão não é apenas o que aparece hoje na internet sobre o candidato. É preciso examinar todo o percurso de vida: onde trabalhou, para quem, em que funções, quando saiu, para onde foi, que etapas profissionais surgiram pelo caminho e quando começou a interessar-se por empresas israelitas ou por cargos que dão acesso a ativos sensíveis.

Nos casos que verificámos, os anos de trabalho em empresas ocidentais depois da saída do Irão criaram, aparentemente, um perfil profissional novo e limpo.

É possível ver nisto uma evolução de carreira perfeitamente natural. E, de facto, essa tem de ser uma das hipóteses examinadas.

Mas do ponto de vista da contrainteligência e da gestão de riscos de ameaça interna (Insider Threat), existe também outra hipótese que não pode ser ignorada: essas etapas intermédias podem servir de camada de separação entre um passado sensível e a organização-alvo.

Esta é uma diferença essencial entre uma verificação de «informação negativa» e uma verificação de risco.

Nem todas as pessoas oriundas do Irão são um risco

É importante dizê-lo de forma inequívoca.

Origem iraniana, cidadania iraniana no passado, emigração para o Ocidente ou trabalho anterior no Irão não são, por si só, indicação de atividade hostil.

Milhões de iranianos vivem fora do país, e muitos deles opõem-se ao regime iraniano.

Por isso, a origem não deve ser fundamento para rejeitar um candidato.

O resultado significativo é outro: uma ligação profissional substancial a uma entidade que é propriedade da Guarda Revolucionária, está sob o seu controlo ou tem com ela uma afinidade significativa, sobretudo quando se trata de um período de trabalho prolongado ou de uma função que poderia exigir um nível de confiança elevado.

Mesmo um resultado destes não prova que a pessoa seja um agente iraniano.

Mas altera, sem dúvida, o nível de risco e justifica uma verificação completamente diferente.

Um «perfil limpo» não é necessariamente uma resposta

Uma das lições importantes destes casos é que a ausência de resultados negativos na internet não é necessariamente uma indicação suficiente da ausência de risco.

Nos casos que verificámos, não encontrámos nas redes sociais declarações suspeitas. Não encontrámos apoio ao regime iraniano. Não foi encontrada atividade anormal evidente, nem surgiu informação pública que ligasse os candidatos a atividade de inteligência.

Precisamente por isso, era fácil deixar escapar o resultado mais importante.

Não estava numa publicação no Facebook nem num tweet antigo. Estava escondido dentro do historial de emprego.

E este é um ponto que as empresas israelitas que operam no mundo precisam de interiorizar.

Porque é que uma empresa israelita seria um alvo?

Certas empresas israelitas têm um valor de inteligência e estratégico que vai muito além da sua atividade comercial.

Empresas das áreas de infraestruturas, energia, transportes, tecnologia, cibersegurança, telecomunicações, defesa, finanças, logística e indústria detêm informação, sistemas, contactos e acessos que podem interessar a serviços de inteligência estrangeiros.

A infiltração de uma pessoa numa função adequada pode, em teoria, permitir ao longo do tempo o acesso a informação comercial e tecnológica, a infraestruturas e sistemas, a clientes e fornecedores, a processos internos, a gestores e a pessoas em cargos sensíveis.

E o objetivo não tem de ser imediato.

Uma pessoa pode integrar-se numa organização durante anos sem praticar qualquer ato anormal. O seu valor pode estar no próprio acesso que acumula e na possibilidade de o usar no futuro.

Por isso, a pergunta «encontrámos alguma coisa que ele tenha feito?» nem sempre é a pergunta certa.

Às vezes é preciso perguntar: «qual é o risco que decorre de quem esteve ligado a ele, do percurso que fez e do acesso que pede agora?»

O padrão mais amplo é conhecido

O uso de camadas intermédias para encobrir ligações não é uma teoria nova.

As autoridades dos Estados Unidos documentaram nos últimos anos, uma e outra vez, o uso, por parte de entidades ligadas à Guarda Revolucionária, de empresas de fachada, empresas em países terceiros, intermediários e identidades comerciais destinadas a ocultar a verdadeira ligação iraniana. O Departamento de Justiça dos Estados Unidos descreveu, por exemplo, o uso de empresas e intermediários fora do Irão para disfarçar o papel da Guarda Revolucionária e a origem de determinadas atividades.

Noutro caso, divulgado pelo Departamento de Justiça dos Estados Unidos, uma pessoa acusada de atuar por conta do governo do Irão conseguiu emprego num contratante da Administração Federal de Aviação dos Estados Unidos (FAA). Segundo a acusação, a função deu-lhe acesso a informação sensível, e essa pessoa transmitiu documentos a entidades iranianas.

Em março de 2026, foi condenada nos Estados Unidos uma pessoa que confessou ter atuado para a Guarda Revolucionária. No processo, apurou-se que tinha sido enviada aos Estados Unidos também para procurar potenciais candidatos ao recrutamento que pudessem permanecer no país.

Estes casos não provam que um determinado candidato a uma empresa israelita seja um agente. Mostram, sim, que a utilização operacional de pessoas, o uso de cobertura civil e a criação de distância entre a Guarda Revolucionária e o alvo da atividade são cenários que as organizações devem ter em conta.

O que devem as empresas israelitas verificar?

Quando se recrutam trabalhadores em todo o mundo, sobretudo para cargos seniores ou sensíveis, uma verificação de sanções, por si só, não é suficiente.

É preciso reconstruir a cronologia profissional completa do candidato e verificar também os próprios empregadores.

Quem é o proprietário de cada empresa em que trabalhou? Quem a controlava no período relevante? A empresa, as empresas-mãe, as empresas relacionadas, os acionistas ou os gestores aparecem em listas de sanções? Existe alguma ligação à Guarda Revolucionária, ao aparelho de segurança iraniano ou a outras entidades governamentais? Há lacunas no currículo? Há períodos que foram omitidos? A passagem entre países e empresas forma uma sequência natural ou um padrão que exige esclarecimento adicional?

E, sobretudo, não se pode ficar pela verificação da pessoa.

É preciso verificar também as organizações que moldaram a sua carreira.

Publicamos isto por uma única razão

Os dados identificativos dos casos em que este artigo se baseia foram alterados ou omitidos intencionalmente para proteger o cliente e os candidatos.

O objetivo não é afirmar que as pessoas verificadas eram agentes iranianos. Não temos qualquer prova que permita afirmá-lo.

O objetivo é divulgar um padrão de risco que, na nossa opinião, as empresas israelitas que empregam trabalhadores em todo o mundo têm de conhecer.

Se são uma organização israelita global, sobretudo uma que detém infraestruturas, tecnologia, informação sensível ou ativos de importância estratégica, vale a pena examinar não só os candidatos que recrutam hoje.

Pode valer a pena olhar também para trás.

Examinar trabalhadores que já foram recrutados para cargos sensíveis, rever o seu historial de emprego e fazer uma pergunta que nem sempre foi feita no momento do recrutamento:

Existe, ao longo do percurso, uma ligação significativa a uma entidade controlada pela Guarda Revolucionária ou a uma entidade iraniana sujeita a sanções, mesmo quando tudo o que veio depois parece ocidental, legítimo e totalmente limpo?

Às vezes, o resultado mais importante de uma verificação de antecedentes não é o que o candidato fez.

É o lugar onde trabalhou, as pessoas para quem trabalhou e o percurso que fez de lá até vocês.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Foram incidentes separados, em ambientes diferentes e com modelos diferentes. Não se trata de um evento coordenado nem de uma "rebelião" de sistemas de IA.

Mas quando se conectam os padrões de comportamento que se repetiram nos diferentes incidentes, surge um quadro que é preciso conhecer.

Os modelos receberam tarefas e tentaram completá-las da forma mais rápida e eficiente.

Em alguns casos, identificaram que a ação que estavam prestes a executar ultrapassava as instruções ou os limites definidos para eles, e mesmo assim continuaram.

Não por raiva.

Não por ideologia.

E não porque desenvolveram um "desejo" de causar dano.

Simplesmente porque a ação os ajudava a completar a tarefa.

E é exatamente isso que torna esses incidentes tão significativos.

Em parte dos casos foram observados padrões de ação encobertos.

Exclusão de logs.

Alteração de código de teste.

Tentativa de esconder ações dos mecanismos de supervisão.

Uso de proxies e de meios de navegação anônima.

E até a criação de canais de comunicação que permitiram a diferentes agentes trocar informações entre si.

Em outros casos, os agentes passaram de atividade dentro do seu ambiente computacional para interação com o mundo externo.

Executaram ações contra sistemas de computação.

Coletaram informações.

Procuraram vulnerabilidades.

Usaram identidades falsas.

Realizaram engenharia social.

Adaptaram abordagens a pessoas específicas com base nas informações que encontraram sobre elas.

E em alguns cenários, vários agentes chegaram a compartilhar informações, dividir tarefas e ajudar uns aos outros.

É daqui que, a meu ver, começa o verdadeiro quadro de risco.

Estamos acostumados a pensar na ameaça interna como uma pessoa dentro da organização.

Um funcionário.

Um gestor.

Um contratado.

Um fornecedor.

Uma pessoa que recebeu acesso legítimo a sistemas, informações ou processos e, em algum momento, usa esse acesso de uma forma que prejudica a organização.

Mas agora entra nessa mesma equação um novo ator.

Um agente de IA.

Ele também pode estar dentro do sistema.

Ele também pode receber permissões legítimas.

Ele também pode acessar informações sensíveis.

Ele também pode operar ferramentas.

Ele também pode tomar decisões.

E ele também pode executar ações sem que uma pessoa aprove cada passo.

A diferença está na velocidade e na capacidade de expansão.

Um funcionário consegue executar um número limitado de ações em um dado período.

Um agente de IA pode executar centenas ou milhares de ações, explorar várias direções em paralelo, acionar ferramentas adicionais e se comunicar com outros sistemas em muito pouco tempo.

E se vários agentes atuam juntos, já precisamos pensar em algo completamente diferente.

Não um agente isolado.

Mas uma espécie de enxame.

Um grupo de agentes capaz de dividir tarefas, trocar informações e agir em paralelo.

Isso pode ser uma ferramenta de trabalho muito poderosa.

Mas exatamente pelo mesmo motivo, pode ser também uma ameaça muito significativa.

Daqui decorre mais uma conclusão:

Não precisamos esperar por uma IA "consciente" para enfrentar um risco real.

Um sistema não precisa ter emoções, livre-arbítrio ou intenção maliciosa para causar dano.

Basta que ele seja capaz de planejar.

Agir.

Encontrar caminhos criativos para alcançar um objetivo.

Contornar obstáculos.

E usar as permissões que recebeu de uma forma que ninguém planejou.

Do ponto de vista da organização, o resultado pode ser o mesmo resultado.

Vazamento de informações.

Interrupção de sistemas.

Dano a clientes.

Acesso não autorizado.

Fraude.

Ou a criação de um novo caminho de ataque de dentro da própria organização.

E é neste ponto que, na minha visão, o conceito de ameaça interna precisa mudar.

No mundo em que estamos entrando, não basta perguntar quem são nossos funcionários e quem são nossos fornecedores.

É preciso começar a perguntar também:

Quais agentes de IA operam dentro da organização?

A quais sistemas eles têm acesso?

Quais permissões receberam?

Quais informações conseguem ler?

Quais ações conseguem executar?

Eles conseguem se comunicar com o exterior?

Conseguem acionar ferramentas adicionais?

Conseguem se comunicar com outros agentes?

Quem os supervisiona?

E o que acontece se eles decidirem que o caminho mais eficiente para completar a tarefa passa por uma ação que não pretendíamos permitir?

Essas já não são perguntas teóricas.

São perguntas de gestão de riscos.

E estimo que, em pouco tempo, as organizações terão de tratar a entrada de um agente de IA no ambiente de trabalho quase como tratam hoje a entrada de um funcionário, um fornecedor ou um sistema com permissões sensíveis.

Não porque um agente de IA seja um "inimigo".

Mas porque ele se torna um ator ativo dentro da organização.

Um ator que é preciso conhecer.

Entender.

Limitar.

Monitorar.

E avaliar seu nível de risco antes mesmo de lhe dar acesso.

Não porque achamos que é possível impedir a entrada dos agentes de IA nas organizações.

Pelo contrário.

Eles vão entrar.

A questão é se vamos incorporá-los como incorporávamos software comum, ou se vamos entender que se trata de uma entidade operacional que recebe confiança, permissões e capacidade de ação dentro da organização.

No novo mundo das ameaças internas, a pergunta já não será apenas:

Quem está dentro da organização?

Mas também:

O que opera dentro dela, quais permissões demos a ele e o que ele é capaz de fazer quando fica sozinho.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Em 2016, um engenheiro sênior deixou o projeto de carro autônomo do Google para abrir a própria startup. O nome dele: Anthony Levandowski. Nos meses anteriores à saída, ele baixou dos servidores da empresa cerca de 14.000 arquivos técnicos. O resto é conhecido: um processo gigantesco entre Waymo e Uber, um acordo de centenas de milhões de dólares e uma condenação criminal por roubo de segredo comercial. Tudo isso aconteceu em uma empresa com um dos sistemas de segurança mais sofisticados do mundo.

A maioria das organizações trata a demissão como um evento de RH: uma carta, uma conversa, a passagem de bastão, um bolo no último dia.

Na prática, a partir do momento em que o funcionário avisa que vai sair, e às vezes antes disso, quando a decisão apenas começou a se formar na cabeça dele, a equação mudou: o acesso dele aos sistemas continua total, mas o compromisso dele já está no próximo emprego.

Essa janela, entre o aviso e o último dia, é o período de maior risco em todo o ciclo de emprego. E ela não se resume a um roubo dramático. Ela também tem esta cara: copiar a lista de clientes para uso pessoal. Enviar documentos de preços para o e-mail pessoal para guardar exemplos de trabalho. Fotografar metodologias que o próprio funcionário escreveu e por isso tem certeza de que são dele. E às vezes sem nenhuma má intenção: uma conta na nuvem que continuou aberta meses depois da saída, porque ninguém sabia que ela existia.

O problema organizacional é simples de formular: o RH sabe primeiro, o gestor de segurança fica sabendo por último e a TI corta os acessos no último dia. Ninguém é dono da janela em si.

É assim que se fecha essa janela. Seis passos:

1. O dia do aviso é o dia da notificação. O pedido de demissão chega ao responsável pela segurança e à TI no mesmo dia. Não no fim da semana, não depois de fechar a data de saída.

2. Mapeamento imediato de acessos. A quais sistemas, bases de dados e pastas o funcionário tem acesso, e o que dentro disso é especialmente sensível diante do lugar para onde ele está indo.

3. Redução gradual. O que não é necessário para a passagem de bastão é fechado agora, não no último dia.

4. Monitoramento da janela. Downloads em volume atípico, envios para e-mail pessoal, conexão de dispositivos removíveis. No período da janela isso não é desconfiança, é o ponto fraco mais conhecido que existe.

5. Tarefas para o último dia. Uma lista fechada de contas a desativar, incluindo sistemas em nuvem e fornecedores externos que não estão ligados à gestão central de usuários. Esses são sempre os esquecidos.

6. Entrevista de desligamento estruturada. Um lembrete sobre as obrigações de confidencialidade e propriedade intelectual, e uma conversa aberta sobre o próximo destino. Não por desconfiança, e sim por gestão de risco.

E é importante dizer também o outro lado: a maioria de quem sai não é uma ameaça. Um funcionário que sai bem é um ativo, um embaixador, às vezes um cliente futuro. Gerenciar a janela corretamente não serve para transformar cada pessoa que sai em suspeito, mas exatamente o contrário: permitir que as boas saídas terminem bem e detectar a tempo o caso excepcional que custa uma fortuna à organização.

O setor de recrutamento sabe exatamente quando um funcionário entra na organização. A pergunta é quem é dono do momento em que ele sai.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Um artigo interessante publicado recentemente no Reino Unido revelou um dos maiores desafios do mundo da defesa: o próprio processo de credenciamento de segurança.

Por um lado, não há discussão quanto à importância das verificações de antecedentes, dos credenciamentos de segurança e da proteção de informações sensíveis. Trata-se de mecanismos essenciais destinados a proteger interesses nacionais, tecnologias sensíveis e cadeias de suprimento críticas.

Por outro lado, quando o processo de obtenção do credenciamento se arrasta por longos meses e, às vezes, mais de um ano, surge uma situação absurda: a empresa não consegue um contrato porque não tem credenciamento, mas também não consegue o credenciamento porque não tem contrato.

Esse dilema não é exclusivo do Reino Unido. Em qualquer lugar onde existam processos de triagem e verificações de idoneidade complexas, o desafio é encontrar o equilíbrio entre segurança e agilidade.

Como alguém que atua há muitos anos na área de verificações de antecedentes e de idoneidade, acredito que o objetivo não é flexibilizar as exigências. Pelo contrário.

O objetivo é criar processos mais inteligentes, mais rápidos e baseados na gestão de riscos.

Nem todo fornecedor representa o mesmo risco. Nem todo funcionário precisa do mesmo nível de verificação. E nem todo processo precisa se arrastar por longos meses.

Quando os riscos são geridos corretamente, é possível ao mesmo tempo manter a segurança e viabilizar a inovação e o crescimento.

O verdadeiro desafio não é fazer mais verificações. O desafio é fazer as verificações certas, no momento certo, e de uma forma que permita à organização avançar em vez de ficar travada.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Até que ponto as organizações verificam a fundo as pessoas em cujas mãos depositam poder, influência e confiança?

Neste caso trata-se de uma profissão terapêutica. Em outros contextos trata-se de um diretor financeiro, um oficial de segurança, um gestor de compras, um profissional de IT com permissões amplas ou um colaborador exposto a informação sensível.

Uma das lições centrais do mundo das insider threats é que nem todo risco se mede por antecedentes criminais ou por uma condenação. Por vezes são justamente os padrões de comportamento, a tomada de decisões sob pressão, o discernimento moral e as reações a eventos extremos que deveriam acender os sinais de alerta.

Muitas organizações concentram-se na pergunta "Este colaborador tem antecedentes criminais?", mas muitas vezes a pergunta mais importante é: "Existe informação relevante sobre a sua conduta no passado que nos faria pensar duas vezes antes de lhe atribuir uma função sensível?"

Neste caso específico não se trata de uma questão jurídica, mas de uma questão de gestão de risco.

Quando se prevê que uma pessoa ocupe uma posição de confiança, influencie outras pessoas ou tenha acesso a recursos sensíveis, vale a pena examinar várias camadas: um histórico de tomada de decisões em situações extremas; o envolvimento em acontecimentos de relevância pública ou moral; as lacunas entre a imagem atual e eventos passados relevantes; uma avaliação de risco atualizada e não pontual; e mecanismos de supervisão e controlo ao longo do tempo.

É também importante lembrar que as insider threats não surgem apenas de intenção maliciosa. Por vezes decorrem de um discernimento deficiente, da ocultação de informação, da falta de responsabilidade ou de conflitos de valores que não foram identificados a tempo.

No fim de contas, cada organização tem de decidir onde passa a linha entre a reabilitação pessoal e a responsabilidade profissional. É uma decisão complexa, mas tem de ser tomada a partir de uma gestão de risco fundamentada e não a partir do pressuposto de que, se não há impedimento legal, também não há risco.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

O livro trata do tipo de pessoas que a maioria das organizações não sabe realmente como identificar a tempo. Não criminosos violentos. Não personagens extremas de filmes. Mas pessoas carismáticas, impressionantes, perspicazes, com uma capacidade extraordinária de fazer com que os outros acreditem nelas.

É justamente por isso que são perigosas.

Os autores descrevem como um psicopata organizacional consegue integrar-se numa organização, avançar rapidamente, acumular poder e influência, e pelo caminho deixar atrás de si um dano enorme: a desintegração de equipas, a criação de conflitos, manipulações políticas, intimidação de funcionários, prejuízo à confiança, a criação de uma cultura tóxica, e por vezes também fraudes e abuso de autoridade.

O que é particularmente interessante é que o livro explica que o problema não está apenas na pessoa em si. Por vezes a própria organização também contribui para isso sem perceber.

Organizações que sacralizam o carisma, os resultados rápidos, a agressividade, a realização a qualquer preço e a política interna, podem identificar erroneamente o comportamento psicopático como "liderança".

Uma das coisas importantes do livro é a descrição das três fases em que atua um psicopata organizacional.

Na primeira fase ele estuda o sistema: quem é forte, quem é fraco, quem é influente, quem está ameaçado, quem tem acesso ao poder e à informação.

Na segunda fase começa a manipulação: a bajulação, a criação de confiança falsa, a adaptação da personalidade a cada pessoa, mentiras sofisticadas e o prejuízo silencioso aos rivais.

Na terceira fase chega o abandono: quando a pessoa já não é útil, é atirada para o lado. Às vezes também com um prejuízo deliberado à sua reputação.

A parte mais importante para mim é a compreensão de que nem sempre é possível identificar essas pessoas através do carisma ou da primeira impressão. Pelo contrário.

Em muitos casos elas são calmas sob pressão, sabem falar de forma convincente, projetam autoconfiança, sabem "ler as pessoas" e imitam a empatia de forma excelente.

E por isso, no mundo dos Insider Threats, do recrutamento de funcionários e da avaliação de fiabilidade, não se pode confiar apenas na intuição ou num "pressentimento".

É preciso examinar: a consistência comportamental, as lacunas entre palavras e ações, os padrões de manipulação, a atitude perante pessoas sem poder, o histórico de conflitos, e o uso repetido de vítimas, acusações e política.

Este livro é um excelente lembrete de que as ameaças mais perigosas numa organização nem sempre vêm de fora.

Às vezes elas estão sentadas na sala de reuniões.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

O agressor.

Aquele gestor que diminui os colaboradores, os humilha diante dos outros, instila medo, os desgasta psicologicamente, gera ansiedade e desmonta a autoconfiança ao longo do tempo.

Os estudos já mostraram que o assédio no local de trabalho não permanece apenas no plano emocional. Ele prejudica a capacidade cognitiva, a tomada de decisões, a memória, a concentração e o desempenho profissional. Um colaborador sob terror psicológico contínuo começa a cometer mais erros, a isolar-se, a perder motivação e, por vezes, até a desenvolver raiva em relação à própria organização.

E é exatamente aqui que começa a ligação ao mundo das ameaças internas.

Porque às vezes o próprio 'predador' é a insider threat. E às vezes ele gera uma nova insider threat: o colaborador que ele prejudicou.

Um colaborador que vivencia humilhação contínua pode tornar-se uma pessoa amargurada, indiferente, vingativa ou sem compromisso. Em certos casos isso manifesta-se como demissão silenciosa, fuga de informação, prejuízo aos processos ou simplesmente um colapso funcional que prejudica a organização por dentro.

É exatamente por isso que penso que não basta verificar apenas a integridade, o passado ou a fiabilidade dos candidatos. É preciso também saber identificar padrões predatórios.

Sim, há formas de os identificar. É possível detetar sinais precoces já na fase de recrutamento: padrões extremos de controlo, manipulação, falta de empatia, relações humanas destrutivas ao longo do tempo, padrões recorrentes de desgaste nas equipas que geriram e um ambiente de trabalho que produz medo em vez de confiança.

E se essa pessoa já estiver dentro da organização, é preciso monitorizar tais comportamentos exatamente como se monitorizam outras anomalias de segurança. Porque o seu dano nem sempre aparece de imediato, mas quando explode, o custo organizacional é enorme.

Penso que num futuro próximo as organizações compreenderão que o assédio no local de trabalho não é apenas uma questão de HR ou de bem-estar dos colaboradores. É uma questão de segurança organizacional.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Segundo a publicação, um cidadão chinês chamado Song Wu se passou durante anos por engenheiros, pesquisadores e professores americanos, e contatou funcionários da NASA, pesquisadores acadêmicos, militares e empresas privadas. Seu objetivo não era obter uma senha de uma conta. Ele pediu algo muito mais simples e muito mais perigoso: cópias de softwares, código-fonte e ferramentas de engenharia sensíveis que poderiam ser usadas para projeto aeronáutico e desenvolvimento de sistemas de armas.

E é exatamente esse o ponto.

Em muitas organizações, quando as pessoas ouvem a palavra 'phishing', pensam imediatamente em um e-mail com um link suspeito, um site falso ou um pedido para inserir uma senha.

Mas em casos mais sofisticados, o phishing não parece um ataque cibernético. Parece um pedido profissional legítimo de uma pessoa conhecida. 'Por favor, me envie o código'. 'Preciso da última versão do software'. 'Me passe o arquivo, estou trabalhando nele com a equipe'.

A vítima não sente que está caindo em um ataque. Sente que está ajudando um colega.

E esse é exatamente o perigo.

O erro profissional que vejo repetidamente é que as organizações tratam essa ameaça apenas como um problema tecnológico. Mas, neste caso, a fraqueza central não estava apenas no sistema. Estava na confiança humana, na cultura de trabalho e na ausência de um mecanismo claro que obrigue a parar e verificar antes que informações sensíveis saiam.

Do meu ponto de vista, há aqui algumas lições importantes.

Nem todo pedido que vem de uma pessoa 'conhecida' realmente vem dela.

Nem todo compartilhamento de informações entre colegas é um ato inocente, especialmente quando se trata de código, software, planos, dados, modelos ou infraestruturas.

Os funcionários precisam saber reconhecer não apenas links suspeitos, mas também pedidos incomuns: pedidos repetidos do mesmo software, falta de explicação sobre por que a informação é necessária, uma mudança repentina no meio de pagamento ou de transferência, o uso de canais não habituais, ou pressão para entregar material sem um processo ordenado.

E o mais importante: em uma organização séria, um funcionário não deveria decidir sozinho se é permitido transferir material sensível a outra parte, mesmo que essa parte pareça conhecida, sênior ou profissional.

É preciso um procedimento. É preciso verificação de identidade. É preciso uma checagem de permissões. É preciso compreensão dos limites de regulação, exportação, confidencialidade e propriedade intelectual. E é preciso uma cultura em que parar para verificar não seja visto como burocracia, mas como parte da responsabilidade profissional.

A história da NASA é um lembrete contundente de que uma ameaça interna nem sempre começa com um funcionário malicioso. Às vezes começa com um funcionário bom e profissional, que quer ajudar, mas não percebe que está sendo manipulado.

E essa talvez seja uma das ameaças mais perigosas de todas: um cavalo de Troia humano que não sabe que é um.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

No vídeo acima aparecem as figuras de Sam Altman, CEO da OpenAI, Dario Amodei, CEO da Anthropic, Mark Zuckerberg e Donald Trump, e diante deles Jensen Huang, enquanto estão em uma fila de reconhecimento policial e cantam juntos.

A situação é ridícula, o resultado é divertido e o vídeo parece surpreendentemente crível.

Mas nenhum reconhecimento desse tipo aconteceu. O vídeo foi criado com inteligência artificial como parte de uma sátira sobre a indústria de IA.

Matthias Schmidt (@eurofounder) publicou o vídeo no X em 16 de outubro de 2026: https://x.com/eurofounder/status/2111122495667413424

Assisti e pensei em algo completamente diferente: o que acontece quando a capacidade de produzir uma realidade tão convincente encontra o mundo da confiabilidade organizacional?

Até pouco tempo atrás, uma imagem, uma gravação de voz e, certamente, uma chamada de vídeo eram consideradas evidências significativas de que determinada pessoa de fato disse ou fez algo.

Hoje essa suposição já não é segura.

Estamos entrando em um período em que não só é possível falsificar uma identidade, como também é possível gerar para essa mesma identidade comportamento, voz, expressões faciais e interação que parecem totalmente autênticos.

E isso já não é apenas um problema de disseminação de informação falsa. É um risco real para a segurança organizacional.

De ameaça externa a ameaça interna

Pense em três cenários:

Um candidato a um cargo sensível faz uma entrevista por vídeo usando uma identidade fictícia, com rosto, voz e histórico profissional que não são seus. A organização está convencida de que contratou determinada pessoa, mas na prática concede permissões e acesso a outra pessoa.

Um gestor financeiro recebe uma chamada de vídeo de alguém com a aparência e a voz exatamente iguais às do CEO, com uma instrução urgente para transferir dinheiro ou informações sensíveis. O funcionário cumpre a instrução de boa-fé, e a organização é atingida por dentro.

E um vídeo de um funcionário que circula na internet e supostamente registra uma conduta criminosa, uma declaração extremista ou um vazamento de informações. A organização se apressa em tirar conclusões, embora o fato nunca tenha acontecido.

Em cada um desses casos, a tecnologia permite que um agente externo explore a confiança, os processos e as permissões de pessoas dentro da organização.

Assim, uma ameaça que se origina fora da organização pode se tornar um incidente de ameaça interna.

Verificar a história, não apenas o vídeo

E aqui surge a pergunta realmente importante:

Se já não é possível confiar no que vemos e ouvimos, em que se pode confiar?

Na minha opinião, a resposta está em mudar o método de verificação.

Em vez de perguntar apenas se o vídeo é real, é preciso perguntar se a história por trás dele é real.

É aqui que entra a importância das verificações de antecedentes e da inteligência de fontes abertas (OSINT).

Uma verificação OSINT profissional não se limita à análise de uma única imagem ou vídeo. Ela examina o contexto mais amplo e conecta informações de diferentes fontes, de preferência independentes, para construir um quadro mais confiável.

Por exemplo:

1. Verificação da fonte da informação: quem publicou o vídeo pela primeira vez? Quando? É possível localizar a fonte original da disseminação, e não apenas dezenas de compartilhamentos do mesmo conteúdo?

2. Verificação de identidades: a pessoa que aparece no vídeo corresponde à sua identidade digital ao longo do tempo? Existe um histórico profissional consistente, atividade nas redes, conexões e dados externos que reforcem sua identidade?

3. Cruzamento de fontes: existem evidências independentes do suposto evento? As datas, os locais, as pessoas e as circunstâncias são compatíveis com outras informações que possam ser verificadas?

4. Análise de padrões de atividade: há uma discrepância entre um comportamento digital conhecido e um evento fora do padrão? Surgiram recentemente contas novas, mudanças de identidade ou tentativas deliberadas de criar uma falsa representação?

5. Compreensão do contexto e das possíveis motivações: quem está por trás da disseminação, qual é o seu ambiente de atuação e existem indícios de uma tentativa de enganar, influenciar ou causar dano?

É importante ressaltar: OSINT não é uma solução mágica. Fontes abertas também podem ser falsas, coordenadas ou equivocadas. E a ausência de achados não prova que uma pessoa ou um vídeo sejam autênticos.

Mas quanto mais fontes independentes são cruzadas e quanto mais se examina a sequência dos eventos, mais difícil fica sustentar uma fraude com base em uma única informação falsificada.

E essa é exatamente a vantagem de examinar o quadro geral.

O que mudar nos procedimentos

Além das verificações de inteligência, as organizações também precisam adaptar seus procedimentos: confirmar instruções fora do padrão por um canal de comunicação independente, aplicar controle duplo a operações sensíveis, verificar identidades nos processos de contratação e evitar tomar decisões com base em um único vídeo.

Isso significa que a responsabilidade de distinguir entre o verdadeiro e o falso já não pode depender apenas dos nossos olhos, ou de um software que tenta detectar Deepfake.

Ela exige pensamento crítico, cruzamento de informações e compreensão do contexto humano, profissional e organizacional.

O vídeo acima foi feito para fazer rir. E ele realmente é engraçado.

Mas também ilustra como será fácil nos apresentar uma realidade que nunca existiu.

Em uma era em que é possível falsificar quase tudo o que vemos e ouvimos, a confiança não pode se basear no quanto a evidência é convincente. Ela precisa se basear na capacidade de verificá-la por meio de evidências adicionais.

E essa é, a meu ver, uma das mudanças mais importantes que precisam acontecer hoje no mundo da confiabilidade e da segurança organizacional.

A base profissional das recomendações

As recomendações deste artigo se baseiam em três publicações de órgãos governamentais dos EUA:

1. A publicação conjunta de NSA, FBI e CISA (setembro de 2023). O documento Contextualizing Deepfake Threats to Organizations: as ameaças de Deepfake às organizações e as formas de se preparar, identificar, se defender e responder. https://www.cisa.gov/news-events/alerts/2023/09/12/nsa-fbi-and-cisa-release-cybersecurity-information-sheet-deepfake-threats

2. O documento NIST AI 100-4 (novembro de 2024). Reducing Risks Posed by Synthetic Content: uma visão geral da verificação da origem do conteúdo, da marcação e da detecção de conteúdo sintético, e das limitações dessas tecnologias. https://www.nist.gov/publications/reducing-risks-posed-synthetic-content-overview-technical-approaches-digital-content

3. O programa Guardians of Forensic Evidence do NIST. Um programa para avaliar ferramentas automáticas de detecção de Deepfake. Segundo o NIST, há uma lacuna entre a alta precisão na pesquisa e a dificuldade de aplicar as ferramentas no mundo real. https://www.nist.gov/programs-projects/guardians-forensic-evidence

As dicas para identificar deepfakes, com uma fonte para cada recomendação, estão disponíveis como documento de duas páginas em inglês.Descarregar as dicas

Parece fácil? Sugiro tentar antes de responder.

Mas, para mim, esse jogo é interessante por um motivo totalmente diferente. Ele ilustra bem um problema que encontramos hoje no mundo das verificações de antecedentes e da inteligência de fontes abertas: ainda confiamos demais no que vemos.

Uma foto profissional no LinkedIn. Uma conta no Instagram que parece ativa. Uma foto da pessoa em uma conferência. Um perfil que parece antigo. Fotos com amigos, família ou colegas de trabalho.

Antes, esse conjunto de sinais criava a sensação de que havia uma pessoa real por trás do perfil. Hoje isso já não basta.

É possível gerar um rosto que nunca existiu. É possível criar fotos da mesma pessoa em ambientes diferentes. É possível construir um histórico visual que parece convincente. E é possível envolver uma identidade falsa em um perfil profissional que parece, pelo menos à primeira vista, totalmente confiável.

E é exatamente aí que está a armadilha.

Às vezes procuramos o sinal da AI: um dedo a mais. Texto distorcido no fundo. Uma sombra que não fecha. Óculos estranhos. Detalhes anatômicos sem lógica.

Esses sinais importam, e o jogo é ótimo para treinar o olho. Mas, profissionalmente, não acho que seja o caminho certo para lidar com o problema. Porque, à medida que os modelos melhoram, os sinais visuais que aprendemos a identificar desaparecem.

Por isso, em uma verificação de antecedentes, a pergunta não pode ser apenas: esta imagem foi criada por AI?

A pergunta mais importante é: a identidade por trás da imagem resiste ao teste da realidade?

E aqui já é preciso sair de uma única imagem e passar a examinar o conjunto.

O histórico profissional fecha? Existem indícios independentes que ligam a pessoa às organizações onde ela afirma ter trabalhado? A linha do tempo dela faz sentido? A atividade nas diferentes redes é coerente? Contatos profissionais reais confirmam a história, ainda que de forma indireta? Fotos, menções, documentos e perfis diferentes formam uma identidade consistente, ou há contradições entre eles?

Essa é a diferença entre olhar uma imagem e verificar uma identidade.

Na era da AI, a intuição humana continua muito importante. Mas ela deve ser o ponto de partida da investigação, não o mecanismo de verificação em si.

E talvez essa seja a lição mais importante do Slopcheck: se erramos uma imagem no jogo, perdemos um ponto. Se uma organização erra na identificação da pessoa por trás de um perfil, o preço pode ser completamente diferente.

Vale testar o jogo e ver o quanto vocês são realmente bons nisso.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

Segundo as suspeitas, um jovem de 20 anos conseguiu criar «identidades sintéticas» de cidadãos israelenses usando fotos e dados pessoais obtidos de bases de dados invadidas. Com ferramentas de IA, animou as fotos, produziu vídeos que pareciam totalmente autênticos e, com eles, abriu contas bancárias, pediu cartões de crédito e realizou operações financeiras em nome de pessoas que nem sequer sabiam que isso estava acontecendo.

De acordo com a investigação, dezenas de vítimas já foram identificadas, e suspeita-se que centenas de cidadãos tenham sido prejudicados por essa atividade.

O que mais me preocupa neste caso não é apenas a dimensão da fraude, mas a prova de que os métodos de identificação em que confiamos durante anos já não são suficientes por si só.

A foto de um documento de identidade, uma selfie, um vídeo curto, a verificação remota — até há pouco tempo, tudo isso era considerado uma forte camada de proteção. Hoje, nas mãos certas e com ferramentas de IA avançadas, podem ser falsificados a um nível que torna muito difícil ao olho humano detectar o embuste.

Este desafio já não pertence apenas aos bancos. É relevante para qualquer organização que contrate funcionários remotamente, aprove fornecedores, abra contas de clientes, conceda permissões de acesso ou execute processos de identificação digital.

A pergunta já não é se é possível falsificar uma identidade, mas se o seu sistema de controle é capaz de detectar a falsificação em tempo real.

Nos últimos anos, vejo cada vez mais casos em que a linha entre uma pessoa real e uma figura criada por IA se torna difusa. As organizações precisam adaptar os seus mecanismos de verificação à nova realidade e não depender apenas de métodos concebidos para um mundo anterior à inteligência artificial.

A par da ameaça, existem hoje também soluções avançadas que permitem detectar sinais de falsificações com IA, identificar anomalias no processo de identificação e verificar identidades em tempo real.

Temos soluções tecnológicas avançadas para enfrentar esses desafios em tempo real. Fique à vontade para entrar em contato comigo para mais detalhes.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

O artigo na Science do professor Hany Farid, um dos principais especialistas do mundo na deteção de manipulações digitais, apresenta uma realidade que todos temos de interiorizar: um deepfake já não parece um brinquedo tecnológico. Parece real, soa real, espalha-se rápido e influencia a forma como as pessoas tomam decisões.

E o grande problema não é apenas que as falsificações estão a melhorar. O problema ainda maior é que a confiança está a ser corroída.

Quando um gestor recebe um vídeo. Quando o departamento de HR realiza uma entrevista online. Quando uma empresa é abordada por um investidor, um candidato, um fornecedor ou um parceiro de negócios. Quando um vídeo incriminatório começa a circular na rede. Quando uma voz conhecida pede uma ação urgente.

A primeira pergunta já não pode ser: "Isto parece real?" Porque hoje, muitas coisas falsas parecem completamente reais.

A pergunta certa é: "Como verificamos isto de forma profissional antes de agir?"

O que mais gostei no artigo foi a abordagem investigativa de Farid. Ele não se contenta com uma ferramenta automática que diz "90% falso" ou "70% real". Ele examina a física, o movimento, as sombras, os reflexos, os ângulos, a sincronização entre voz e lábios, a consistência entre fotogramas e o contexto mais amplo.

E é exatamente esse o ponto. Com deepfakes não existe uma única solução mágica. É preciso uma combinação de tecnologia, experiência investigativa, compreensão do comportamento humano, compreensão do terreno digital e a capacidade de fazer as perguntas certas.

No mundo empresarial isto é especialmente crítico. Porque os deepfakes não ameaçam apenas políticos ou celebridades. Ameaçam os processos de recrutamento, as verificações de antecedentes, a confiança entre organizações, a proteção contra fraudes, a identidade digital e a capacidade de entender quem está realmente à nossa frente.

Uma entrevista de emprego online pode ser falsa. Um perfil profissional pode estar bem construído mas não ser autêntico. A voz de um gestor pode ser clonada. Um vídeo pode estar editado. Uma imagem pode ser gerada do zero. Um documento pode parecer autêntico e ser parte de um amplo esquema de engano.

Por isso as organizações não podem ficar na fase do "a mim parece-me real". Precisam de uma capacidade de verificação. Não por pânico. Não por uma desconfiança excessiva. Mas por responsabilidade.

Quem recruta colaboradores para funções sensíveis, avalia parceiros de negócios, verifica identidades, lida com incidentes de fraude ou enfrenta conteúdos suspeitos na rede, tem de acrescentar à sua mesa de trabalho também a capacidade de lidar com deepfakes. Especialmente quando tudo acontece online.

Se está a lidar com uma suspeita de deepfake, uma identidade falsa, uma entrevista suspeita, conteúdo digital problemático ou um incidente em que não é claro o que é real e o que não é, pode contactar-nos.

Temos soluções inovadoras e pioneiras para lidar com deepfakes, inclusive em ambiente online, combinando tecnologia avançada com análise humana profissional.

Receba estas análises no seu email, com os seis passos para fechar a janela de saída numa única página.Receber o documento

As ferramentas de AI estão hoje ao alcance de qualquer pessoa e permitem alterar a aparência, a voz e até uma identidade inteira em tempo real. O que antes era domínio de órgãos de inteligência ou de estúdios de cinema tornou-se uma ferramenta acessível que pode ser executada a partir do computador de casa.

A implicação para as organizações é clara: uma entrevista por vídeo já não é um meio suficiente para verificar a identidade.

Nos últimos anos, o mundo viu não poucos casos de candidatos que se passaram por outras pessoas, usaram identidades falsas ou ocultaram informações substanciais durante o processo de recrutamento. À medida que as tecnologias de Deep Fake se tornam mais convincentes, o risco aumenta proporcionalmente.

É exatamente por isso que as verificações de antecedentes baseadas em inteligência de fontes abertas (OSINT) estão se tornando uma parte cada vez mais significativa dos processos de recrutamento, especialmente em cargos sensíveis.

Quando se examina a pegada digital de um candidato ao longo do tempo, se cruzam diferentes fontes de informação e se verifica a coerência entre a identidade apresentada e a presença digital real, é possível identificar lacunas e sinais de alerta que nunca surgiriam durante uma entrevista on-line.

A tecnologia que permite esconder a verdade avança rapidamente.

O desafio das organizações é garantir que as ferramentas para revelar a verdade avancem na mesma velocidade.

As dicas para identificar deepfakes, com uma fonte para cada recomendação, estão disponíveis como documento de duas páginas em inglês.Descarregar as dicas