Pequenas organizações, dados reais: IA e segurança cibernética para a sociedade civil

Em junho, representei o COMoG no Fórum da Sociedade Civil de Gana 2026. Um dos temas foi a integração responsável da inteligência artificial e da segurança cibernética no trabalho da sociedade civil. Como alguém que constrói software, esse tema ficou comigo, e continuei pensando sobre o que significa na prática para as organizações que conheço.

Este post é minha própria visão, como engenheiro que também trabalha ao lado de grupos da sociedade civil. Não é um resumo das sessões do fórum.

Por que a sociedade civil é um alvo

As organizações da sociedade civil (OSC) muitas vezes detêm algumas das informações mais sensíveis de um país: relatórios de observadores eleitorais, histórias de sobreviventes, detalhes de denunciantes, os nomes e números de telefone de voluntários da comunidade. Elas também detêm algo que os atacantes valorizam tanto quanto: confiança pública. Uma página do Facebook ou uma conta de e-mail de uma OSC, uma vez tomada, pode espalhar desinformação com a credibilidade da organização anexada.

No entanto, a maioria das OSC é pequena. Elas raramente têm uma equipe de TI, quanto mais uma equipe de segurança. Laptops são compartilhados, senhas são compartilhadas, e a conta de mídia social principal da organização muitas vezes está conectada em vários telefones pessoais.

Essa combinação de dados valiosos, confiança pública e defesas finas é exatamente o que os atacantes procuram.

Uma linha de base que se ajusta a um orçamento pequeno

Você não precisa de uma ferramenta cara para fazer uma grande diferença. Essas quatro áreas cobrem a maioria dos riscos que vejo.

1. Contas

• Ative a autenticação de dois fatores para o e-mail da organização e todas as contas de mídia social. Prefira um aplicativo de autenticação em vez de SMS, quando possível (aqui está por quê).
• Pare de compartilhar senhas por WhatsApp ou em papel. Um gerenciador de senhas permite que uma equipe compartilhe acesso sem que todos saibam a senha, e facilita remover alguém que sai.
• Mantenha uma lista de quem tem acesso ao que, e revise-a sempre que alguém se junta ou deixa a organização.

2. Dados

• Coletar menos. Cada campo em um formulário é um dado que você agora precisa proteger. Se você não precisa da data de nascimento ou do endereço de alguém, não peça.
• Saiba onde seus dados vivem: qual planilha, qual telefone, qual drive compartilhado, qual grupo do WhatsApp.
• Exclua-os em um cronograma. A Lei de Proteção de Dados de Gana, 2012 (Lei 843) espera que as organizações não mantenham dados pessoais por mais tempo do que necessário. Dados antigos que você não usa mais são puro risco.

3. Ferramentas de IA

As ferramentas de IA podem realmente ajudar equipes pequenas: redigindo relatórios, traduzindo materiais para idiomas locais, resumindo documentos longos. Mas elas precisam de regras.

• Não cole informação pessoal ou sensível em chatbots de IA públicos: nomes de beneficiários, testemunhos de sobreviventes, descobertas não publicadas. Dependendo do serviço e das suas configurações, o que você digita pode ser armazenado ou usado para melhorar o produto. Leia os termos de dados ou suponha que não é privado.
• Verifique cada saída. A IA pode produzir textos confiantes e bem escritos que são simplesmente errados, incluindo fatos inventados e fontes. Para uma organização cujo valor é a credibilidade, publicar um erro de IA pode causar danos reais.
• Seja honesto sobre o uso de IA nas suas publicações onde ela moldou o conteúdo.
• Esperem que a IA seja usada contra você também: e-mails de phishing mais convincentes em inglês perfeito, e áudio ou vídeo falsos de figuras públicas, especialmente durante eleições. Verifique antes de compartilhar.

4. Pessoas

A maioria dos ataques mais bem-sucedidos ainda começa com uma pessoa sendo enganada.

• Verifique antes de clicar, pagar ou compartilhar. Solicitações urgentes de dinheiro, senhas ou documentos, mesmo aquelas que parecem vir de um diretor ou um parceiro, devem ser confirmadas por um segundo canal, como uma ligação telefônica para um número que você já tem.
• Torne a denúncia fácil e sem culpa. Um voluntário que clicou em um link ruim deve se sentir seguro em dizê-lo dentro de minutos, não escondê-lo por semanas.
• Denuncie incidentes. Em Gana, a Lei de Cibersegurança, 2020 (Lei 1038) estabeleceu a Autoridade de Cibersegurança, que recebe denúncias de incidentes cibernéticos.

Onde construtores como eu entram

A maioria das orientações de segurança é escrita para empresas com orçamentos de segurança. A sociedade civil precisa de algo diferente: ferramentas e configurações padrão que sejam seguras sem precisar de um especialista para configurá-las, e treinamento em linguagem clara, em línguas locais, construído em torno dos telefones e laptops compartilhados que as pessoas realmente usam.

Essa lacuna, entre como a segurança é projetada e como as pequenas organizações realmente funcionam, é algo que me preocupo em fechar. É parte do porquê eu quero continuar estudando cibersegurança, não apenas como um campo técnico, mas como algo que protege o trabalho democrático e comunitário.

Se a sua organização gostaria de discutir qualquer uma dessas questões, entre em contato.