Por: João Rodrigues - Duplo ITIL 4 Master e embaixador da Peoplecert para o ITIL

O uso de inteligência artificial sem governação está a crescer dentro das organizações angolanas e a alargar a superfície de risco que ataques como o de 28 de Julho exploram.

O dia em que Angola ficou sem rede

Às 02h20 do dia 28 de julho de 2026, a Unitel detectou um ataque informático à sua infra-estrutura tecnológica. As comunicações de voz, os dados móveis e o acesso à Internet na rede móvel ficaram indisponíveis em todo o território nacional, para clientes particulares e empresariais; a rede fixa de fibra óptica não foi afectada. Os terminais de pagamento automático falharam, os serviços de táxi por aplicação pararam e milhões de angolanos ficaram sem forma de comunicar ou de pagar. Num país onde a operadora afirma servir mais de 21 milhões de clientes, o impacto foi imediato e transversal.

O momento não podia ser mais delicado. O ataque aconteceu na véspera da estreia da Unitel na BODIVA, depois da maior oferta pública de venda da história do mercado de capitais angolano, que rendeu ao estado 300,3 mil milhões de kwanzas. A própria empresa admitiu, em comunicado ao mercado, não excluir que o ataque tenha sido deliberado e dirigido, com o possível objectivo de perturbar a admissão das acções à negociação. O presidente do conselho de administração, Aguinaldo Jaime, classificou-o como “a mais grave, a mais sofisticada e a que mais impacto teve” de todas as investidas cibernéticas já sofridas pela operadora.

A análise técnica independente reforça a gravidade. Segundo a análise da Recorded Future News, com base em dados do RIPE NCC, os prefixos IP da Unitel mantiveram-se anunciados à Internet global durante todo o incidente, o que afasta a hipótese de um simples corte de conectividade ou de um ataque externo volumétrico e sugere antes o compromisso de sistemas internos centrais. Os dados da Cloudflare confirmam o colapso do tráfego a partir da hora da detecção, sem degradação em qualquer outro operador angolano no mesmo período. A autoria permanece desconhecida e nenhum grupo reivindicou o ataque.

O que o ataque expôs

O incidente expôs, em primeiro lugar, uma enorme concentração de risco. O mercado móvel angolano funciona, na prática, como um duopólio: a Movicel perdeu cerca de 80 por cento dos clientes entre 2021 e 2025, segundo o Maka Angola, e a Africell opera em apenas seis das 21 províncias. Quando o operador dominante pára, pára com ele grande parte da economia.

Expôs, em segundo lugar, a fragilidade institucional. Angola obteve 39,6 pontos em 100 no Índice Global de Cibersegurança da União Internacional das Telecomunicações de 2024. A Estratégia Nacional de Cibersegurança só foi aprovada em Dezembro de 2025, o Centro Nacional de Cibersegurança, criado por decreto apenas em Dezembro de 2025, ainda não entrou em funcionamento, e o CERT nacional continua por institucionalizar. A Lei da Cibersegurança, aprovada na generalidade em Janeiro de 2026, viu a discussão na especialidade suspensa em Julho para aperfeiçoamento do diploma.

É neste contexto que importa falar de um risco menos visível, mas que cresce todos os dias dentro das organizações angolanas: o Shadow AI.

Shadow AI: o risco que cresce por dentro

A PeopleCert no ITIL AI Governance, em 2026, define Shadow AI como “o uso de ferramentas, serviços, modelos ou capacidades de inteligência artificial sem visibilidade, governação, aprovação ou supervisão organizacional adequadas”.

É o analista que coloca dados de clientes numa ferramenta pública de IA generativa de forma a acelerar um relatório, o departamento que subscreve uma aplicação com IA sem informar a segurança, a equipa que integra um modelo num processo de trabalho sem o comunicar a ninguém.

As consequências identificadas pelo referencial em questão são cinco: perda de visibilidade, fuga de dados, exposição regulatória, decisões inconsistentes e responsabilidade difusa. A primeira alimenta todas as outras, porque as organizações não conseguem governar riscos que não conseguem ver. Informação confidencial de negócio, dados de clientes, propriedade intelectual e material comercialmente sensível podem ficar expostos fora do controlo organizacional sem que ninguém se aperceba.

Os números mostram que já não se trata de um risco teórico. O relatório Cost of a Data Breach 2026 da IBM, publicado a 29 de Julho, indica que 43 por cento dos incidentes de segurança envolvem já shadow AI, mais do dobro do ano anterior, e que 68 por cento das organizações que sofreram violações não tinham governação de IA para o detectar ou limitar. Uma em cada quatro violações maliciosas foi potenciada por IA, com um custo médio de seis milhões de dólares, e 62 por cento dos ataques potenciados por IA visaram infra-estruturas críticas, com os serviços financeiros e a energia à cabeça. Já em 2024 a Microsoft revelava que 78 por cento dos utilizadores de IA levam as suas próprias ferramentas para o trabalho, sem esperar pela aprovação das empresas.

Do uso invisível ao ataque

Tenho de ser rigoroso e honesto: não há qualquer evidência pública de que o ataque à Unitel tenha tido origem em shadow AI. Ainda assim o incidente demonstra o custo real da paralisação de um sistema crítico num país com pouca redundância, e as estatísticas mostram que o uso não governado de IA é hoje uma das principais portas de entrada para incidentes desta escala.

O mecanismo é simples. Quando colaboradores de uma operadora de telecomunicações ou de um banco colocam configurações de rede, código, credenciais ou dados de clientes em ferramentas públicas de IA, essa informação sai do perímetro da organização e passa a ser processada em servidores estrangeiros, fora de qualquer controlo. Cada fragmento exposto é matéria-prima para reconhecimento, engenharia social e phishing cada vez mais sofisticados. E a IA também mudou o lado do atacante: o relatório da IBM de 2025 registava que 16 por cento das violações envolviam já atacantes a usar ferramentas de IA, sobretudo em phishing e deepfakes.

Em Angola, este comportamento tem ainda uma dimensão legal directa. A Lei n.º 22/11, de Protecção de Dados Pessoais, sujeita o tratamento de dados a notificação ou autorização prévia da Agência de Protecção de Dados, e as transferências internacionais para países sem nível de protecção adequado exigem autorização expressa.

A APD já aplicou cerca de 2,5 milhões de dólares em multas desde 2022, incluindo 505 mil dólares à Crescer Tech por armazenar dados numa cloud fora do país sem autorização, 75 mil dólares ao Banco Comercial do Huambo por falhas que facilitaram um ataque à sua infra-estrutura informática, 75 mil dólares à TAAG pelo ransomware que a atingiu em Setembro de 2024 e uma multa de 75 mil dólares à própria Unitel, em 2024, num caso de mudança fraudulenta da titularidade do número de uma cliente. Colocar dados pessoais de clientes em ferramentas públicas de IA é, na prática, uma transferência internacional não autorizada. A exposição regulatória já existe; falta às organizações reconhecê-la.

Governação, não proibição

A resposta instintiva de muitas direcções de TI é proibir. O ITIL AI Governance defende o contrário. O Shadow AI raramente nasce de má intenção: as pessoas adoptam IA porque querem ser mais produtivas e resolver problemas mais depressa, e a sua existência é um sinal de que os colaboradores conseguem ver valor na tecnologia. O excesso de controlo produz o efeito perverso de empurrar ainda mais pessoas para ferramentas não aprovadas. O desafio da governação não é apenas restringir o uso inadequado; é oferecer alternativas seguras, aprovadas e bem governadas.

Na prática, isso traduz-se em controlos concretos: políticas de uso aceitável de IA, um catálogo de ferramentas aprovadas, um registo de todos os usos de IA na organização, controlos de acesso, monitorização contínua, formação dos colaboradores e rotas claras de escalada. Para casos de risco elevado, o referencial recomenda combinar controlos preventivos, detectivos e correctivos, e lembra que a responsabilidade não se delega a fornecedores: os contratos devem exigir a divulgação permanente do uso de IA pelos parceiros e pelos seus subcontratados. A regra de ouro é a visibilidade: capturar todas as instâncias de IA em uso na organização, incluindo as que vivem na sombra. Sem governação, a IA escala o risco tão depressa quanto escala o valor.

A janela angolana

Angola tem, neste momento, uma janela de oportunidade rara. A proposta de Lei sobre a Inteligência Artificial está em consulta pública desde Setembro de 2025 e prevê coimas para empresas até 15.000 salários mínimos nacionais, cerca de 1,5 mil milhões de kwanzas, a obrigação de comunicar incidentes cibernéticos significativos às autoridades e o direito de os cidadãos recusarem decisões tomadas exclusivamente por sistemas de IA e de exigirem a intervenção de um humano. A União Africana aprovou em 2024 a Estratégia Continental de Inteligência Artificial, e a avaliação de prontidão conduzida pela UNESCO vai orientar a futura Estratégia Nacional de IA. No Fórum Nacional de Inteligência Artificial, realizado em Luanda em Julho, o director nacional para as Políticas de Cibersegurança e Serviços Digitais, Hecdiantro Mena, resumiu bem o momento: a questão já não é apenas saber se devemos adoptar esta tecnologia, mas como garantir que a sua adopção seja responsável, ética, segura, inclusiva e orientada para o interesse público.

As organizações angolanas não devem esperar pela lei. A governação da IA não é uma camada opcional por cima da governação de TI; é uma capacidade nuclear, e constrói-se antes do incidente, não depois. O ciberataque à Unitel mostrou o que custa a um país inteiro a paralisação de uma infra-estrutura crítica. O shadow AI, invisível e quotidiano, está a alargar exactamente essa superfície de risco dentro de operadoras, bancos e serviços públicos. A pergunta que cada conselho de administração deve fazer esta semana é simples: sabemos onde, como e por quem está a ser usada a inteligência artificial na nossa organização? Se a resposta é não, a governação já chegou tarde. Mas ainda vai a tempo.

Fontes:

• Comunicados da Unitel e cobertura do ataque: Lusa/ECO (28/07/2026), ANGOP, Observador (29/07/2026), Novo Jornal, Expansão e Targeting (30/07/2026).
• Análise técnica do incidente: Recorded Future News, therecord.media/angola-unitel-cyberattack-outage (29/07/2026).
• Maka Angola: “Ciberataque à Unitel expõe vulnerabilidade estratégica de Angola” (07/2026), makaangola.org.
• IBM Cost of a Data Breach Report 2026 (29/07/2026) e 2025: ibm.com/reports/data-breach.
• Microsoft Work Trend Index 2024: “AI at Work Is Here. Now Comes the Hard Part” (08/05/2024).
• Agência de Protecção de Dados: deliberações sancionatórias, apd.ao; Expansão, “Agência de Protecção de Dados já aplicou multas de 2,5 milhões USD desde 2022” (29/07/2026).
• Decretos Presidenciais n.º 256/25 e 258/25, de 3 de Dezembro de 2025 (Estratégia Nacional de Cibersegurança e Conselho Nacional de Cibersegurança); Índice Global de Cibersegurança da UIT (2024).
• Proposta de Lei sobre a Inteligência Artificial, consulta pública MINTTICS: consultapublica.minttics.gov.ao (Setembro de 2025).
• UNESCO, avaliação de prontidão de Angola para a IA: unesco.org/ethics-ai/en/angola; União Africana, Estratégia Continental de IA (Julho de 2024): au.int.
• ITIL AI Governance, Version 5, PeopleCert, 2026 (secção 4.1.2, “From Shadow IT to Shadow AI“).