Blog Post

A Inteligência Artificial pode já estar sendo utilizada na sua empresa, mesmo sem uma contratação ou implantação oficial. Um colaborador envia um contrato para uma IA produzir um resumo. Outro utiliza uma ferramenta gratuita para analisar uma planilha. No Marketing, informações sobre uma campanha ainda não divulgada são inseridas em um chatbot para gerar ideias. Na área de Desenvolvimento, um trecho de código é compartilhado com um assistente virtual para identificar uma falha. Essas ações parecem práticas e produtivas. O problema começa quando dados e documentos corporativos são enviados para ferramentas que não foram avaliadas ou autorizadas pela organização.

Esse uso não supervisionado recebe o nome de Shadow AI.

O risco não está apenas na Inteligência Artificial, mas na falta de visibilidade sobre quais ferramentas são utilizadas, quais informações são compartilhadas e como esses dados são processados.

O que é Shadow AI?

Shadow AI é o uso de ferramentas, modelos ou aplicações de Inteligência Artificial no ambiente profissional sem o conhecimento, a aprovação ou o controle das áreas responsáveis por Tecnologia da Informação, Segurança, Privacidade ou Governança.

A prática pode envolver:

• chatbots de IA generativa;
• geradores de textos, imagens e apresentações;
• assistentes de programação;
• ferramentas de transcrição de reuniões;
• extensões instaladas no navegador;
• plataformas de automação;
• aplicações conectadas a documentos e e-mails;
• contas pessoais utilizadas em atividades profissionais.

Na maioria das situações, o colaborador não pretende colocar a organização em risco. Ele busca economizar tempo, melhorar uma entrega ou resolver uma tarefa com mais eficiência.

Entretanto, uma ação aparentemente inofensiva pode expor contratos, dados pessoais, informações financeiras, códigos, estratégias comerciais e outros conteúdos confidenciais.

Por que a Shadow AI está crescendo?

A facilidade de acesso é uma das principais razões para o crescimento da Shadow AI.

Muitas aplicações podem ser utilizadas gratuitamente e exigem apenas a criação de uma conta. Em poucos minutos, qualquer profissional consegue resumir documentos, analisar dados, produzir conteúdos ou automatizar tarefas.

Ao mesmo tempo, muitas organizações ainda não possuem ferramentas corporativas aprovadas, políticas de uso ou processos ágeis para avaliar novas soluções.

O Work Trend Index de 2024, produzido pela Microsoft e pelo LinkedIn, identificou que 75% dos profissionais do conhecimento pesquisados utilizavam Inteligência Artificial no trabalho. Entre os usuários de IA, 78% levavam suas próprias ferramentas para o ambiente profissional, prática conhecida como Bring Your Own AI, ou BYOAI.

Isso mostra que simplesmente proibir o uso de Inteligência Artificial pode não eliminar o comportamento. Em alguns casos, a proibição apenas torna sua utilização menos visível.

Como a Shadow AI aparece no cotidiano?

A Shadow AI pode surgir em praticamente qualquer departamento.

No Marketing, um planejamento ainda confidencial pode ser enviado a uma IA para gerar ideias de campanha.

Em Recursos Humanos, currículos, avaliações ou informações sobre colaboradores podem ser inseridos em uma ferramenta para organizar dados e resumir perfis.

No Financeiro, planilhas com custos, faturamento, fornecedores ou projeções podem ser compartilhadas para produzir análises.

Na área de Desenvolvimento, códigos proprietários podem ser enviados a assistentes públicos para localizar erros.

No setor Comercial, listas de clientes e históricos de relacionamento podem ser utilizados para criar abordagens personalizadas.

Em todos esses exemplos, existe um benefício imediato. Porém, sem avaliação e controle, também existe a possibilidade de exposição de informações.

Quais são os principais riscos da Shadow AI?

1. Exposição de informações confidenciais

Um prompt pode conter muito mais do que uma pergunta.

Ao solicitar uma análise, o usuário pode inserir contratos, estratégias, códigos, dados de clientes ou documentos internos. Quando isso acontece em uma ferramenta não autorizada, a empresa pode perder o controle sobre o armazenamento, a retenção e o acesso às informações.

2. Tratamento inadequado de dados pessoais

Documentos enviados para uma IA podem conter nomes, contatos, dados financeiros, informações profissionais ou outros dados pessoais.

A LGPD exige que o tratamento de dados pessoais aconteça de forma lícita, adequada e segura. A Autoridade Nacional de Proteção de Dados também disponibiliza orientações sobre segurança da informação e proteção de dados.

Por isso, informações de clientes, colaboradores ou parceiros não devem ser inseridas em ferramentas públicas sem uma avaliação prévia.

3. Perda de propriedade intelectual

Códigos, projetos, metodologias, processos e estratégias podem representar ativos importantes para uma empresa.

O compartilhamento desses conteúdos com aplicações externas pode revelar informações que sustentam a vantagem competitiva do negócio.

Mesmo um pequeno trecho de código ou documento pode expor detalhes relevantes sobre sistemas, produtos e operações internas.

4. Respostas incorretas

Ferramentas de IA generativa podem produzir respostas convincentes, mas incorretas, incompletas ou desatualizadas.

Sem revisão humana, uma informação errada pode ser enviada a um cliente, publicada em um canal institucional ou utilizada como base para uma decisão.

A IA pode apoiar e acelerar o trabalho, mas não substitui a análise, a validação e a responsabilidade humana.

5. Falta de rastreabilidade

Quando cada área utiliza ferramentas próprias ou contas pessoais, a empresa perde a capacidade de responder a perguntas essenciais:

• Quais soluções de IA estão sendo utilizadas?
• Quem possui acesso?
• Quais dados foram compartilhados?
• Existem integrações com sistemas internos?
• Os fornecedores foram avaliados?
• Há registros disponíveis para auditoria?

O relatório Cost of a Data Breach 2025, da IBM, identificou que 63% das organizações analisadas que sofreram violações não possuíam uma política de Governança de IA ou ainda estavam desenvolvendo uma. Entre as organizações que relataram comprometimento de aplicações ou modelos de IA, 97% não tinham controles adequados de acesso.

Bloquear todas as ferramentas é a solução?

O bloqueio pode fazer parte de uma estratégia de segurança, mas dificilmente resolverá o problema sozinho.

Quando a empresa apenas proíbe o uso, sem oferecer ferramentas aprovadas, treinamento ou um processo de avaliação, os profissionais podem continuar recorrendo a contas pessoais.

A abordagem mais eficiente é criar um ambiente no qual segurança e inovação avancem juntas.

Governar a Inteligência Artificial não significa impedir seu uso. Significa criar condições para que a tecnologia seja utilizada de maneira responsável, segura e alinhada aos objetivos do negócio.

Como reduzir os riscos da Shadow AI?

Identifique as ferramentas utilizadas

O primeiro passo é compreender como a Inteligência Artificial já está presente na rotina das equipes.

A organização deve identificar as ferramentas utilizadas, os usuários envolvidos, as finalidades, os tipos de dados processados e as integrações com outros sistemas.

Não é possível proteger aquilo que a empresa não conhece.

Crie uma política de uso de IA

A política deve apresentar, de forma simples:

• ferramentas autorizadas;
• informações que não podem ser compartilhadas;
• situações que exigem aprovação;
• necessidade de revisão humana;
• processo para solicitar novas aplicações;
• procedimento para comunicar incidentes.

Além de conhecer as regras, o colaborador precisa entender os riscos que elas buscam reduzir.

Classifique as informações

Nem todo dado possui o mesmo nível de sensibilidade.

A empresa deve diferenciar informações públicas, internas, confidenciais, pessoais e estratégicas. A partir dessa classificação, poderá estabelecer quais conteúdos são permitidos em cada ferramenta.

Revisar um texto público apresenta um risco diferente de analisar uma planilha com dados de clientes.

Avalie fornecedores e integrações

Antes de aprovar uma solução, é importante analisar aspectos como política de privacidade, termos de uso, retenção de dados, controles de acesso, autenticação, criptografia e registros de auditoria.

Também é necessário verificar quais permissões a aplicação solicita e se existe integração com documentos, e-mails ou sistemas corporativos.

Capacite os colaboradores

Os treinamentos devem apresentar exemplos práticos do cotidiano, como o envio de contratos, planilhas, currículos, atas, códigos e informações de clientes.

Os profissionais também precisam saber quais ferramentas estão autorizadas e como solicitar orientação em caso de dúvida.

Monitore e revise continuamente

A Governança de IA não termina com a publicação de uma política.

Novos modelos, ferramentas e integrações surgem continuamente. Por isso, fornecedores, acessos, casos de uso e controles devem ser revisados de forma periódica.

O NIST estrutura a gestão de riscos de Inteligência Artificial em quatro funções: governar, mapear, medir e gerenciar. A instituição também possui orientações específicas para os riscos relacionados à IA generativa.