Provavelmente, enquanto você lê esta coluna, alguém em sua empresa está colando um contrato, uma planilha de cliente ou um trecho de código de um aplicativo de IA gratuito, apenas para ganhar tempo numa tarefa. Não é suposição. É estatística, e ela cresce todo mês.
As aparências já têm nome: Shadow AI, o uso de ferramentas de Inteligência Artificial dentro da empresa sem aprovação, sem controle e, na maioria das vezes, sem que a liderança saiba que está apostando. É uma versão nova de um problema antigo, o velho “Shadow IT” dos softwares não homologados, só que agora com um agravante: o que entra nesses aplicativos não fica ali. Pode mudar treino de modelo, pode ser retido por meses, e pode reaparecer, de alguma forma, na resposta dada a outro usuário qualquer, em outra empresa.
O tamanho do problema no Brasil surpreende até quem trabalha com isso todos os dias. O mais recente Cloud and Threat Report da Netskope mostra que a empresa brasileira média registra 223 incidentes de violação de política de dados relacionados a IA generativa por mês, número que mais que dobrou em relação ao ano anterior. No mesmo período, a adoção de IA dentro das empresas brasileiras saltou de 20% para 51%. Ou seja: o uso cresceu mais rápido do que a capacidade de controlar esse uso, e a diferença entre essas duas curvas é exatamente onde o risco mora.
Um dado do IBM Cost of a Data Breach Report 2025 completo o quadro: 87% das empresas brasileiras ainda não têm nenhuma política formal de governança de IA, mesmo com a grande maioria dos trabalhadores brasileiros já usando IA generativa no dia a dia. É uma solução simples e perigosa. Quase todo mundo usa, quase nenhuma especificação de empresa o uso.
Na prática, Shadow AI aparece em situações banais, que qualquer gestor ponderaria sem esforço. O analista financeiro que retoma a projeção do conselho numa IA pessoal. O tempo comercial que alimenta uma ferramenta externa com dados do CRM para acelerar uma proposta. O desenvolvedor que cola um trecho de código proprietário para resolver um bug mais rápido. O RH que usa um gerador de texto gratuito para redigir um comunicado que menciona informações de folha de pagamento. A recepcionista de uma clínica que pede a uma IA aberta para organizar, num resumo rápido, o histórico de atendimento de um paciente antes de uma consulta. Nesses casos não existe má intenção. Existe, sim, um vazio de estrutura que a empresa deveria ter preenchido antes.
O custo disso, quando vira incidente formal, não é abstrato. O mesmo relatório da IBM aponta que uma violação de dados custou, em média, R$ 7,19 milhões no Brasil em 2025, valor que sobe para R$ 11,43 milhões em setores com dado mais sensível, como saúde. E quando o Shadow AI é fator contribuinte para o incidente, o custo médio soma ainda mais alguns milhões, porque a empresa geralmente demora mais para descobrir o problema e não tem log nenhum para reconstruir o que aconteceu.
Vale entender o que muda, do ponto de vista legal, quando isso acontece. A LGPD não fala especificamente de Inteligência Artificial, mas seus princípios valem específicos para esse cenário. Quando um colaborador insere dado pessoal de cliente numa ferramenta não contratada pela empresa, a empresa continua sendo a controladora desse dado, só que perde a rastreabilidade sobre como ele foi tratado, perde a base legal clara para explicação daquele uso, e perde a capacidade de atender, depois, a um pedido simples de exclusão. A responsabilidade não sai da empresa, mesmo quando a decisão de usar aquela ferramenta foi individual e não passou por nenhuma aprovação.
A ocorrência mais comum, quando uma liderança descobre isso, é tentar proibir: bloquear o acesso, restringir domínio, publicar um comunicado interno dizendo que é proibido usar. O problema é que, segundo levantamentos internacionais recentes sobre o tema, a ordem sem alternativa não elimina o comportamento, apenas o empurra para um canal ainda mais invisível: o celular pessoal, a rede doméstica, a conta que não passa pelo firewall da empresa. Proibir sem oferecer nada no lugar é abrir mão do controle sem, de fato, reduzir o risco.
A saída real não é essa. É oferecer, dentro da empresa, uma estrutura de IA que resolve o mesmo problema que levou o colaborador a usar a ferramenta externa, só que dentro de um ambiente que a empresa controla, audita e é dona. Isso significa saber, com soluções, quais ferramentas de IA circulam hoje na organização, com quais contas e processando qual tipo de dado. Só depois desse diagnóstico é que faz sentido desenhar uma alternativa corporativa e, então, sim, formalizar a política de uso que vai substituir o improviso.
É exatamente sobre isso que vou falar na próxima coluna: o que precisa entrar, de fato, numa política de uso de IA para que ela não seja só um documento detectado e esquecido na primeira semana. Por hoje, fico com uma provocação simples: se alguém perguntasse à sua empresa, agora, quais ferramentas de IA seus colaboradores usam e o que já foi colado nelas, alguém saberia responder?
Alcir Abuchaim é CEO da i4t, empresa especializada em engenharia de inteligência corporativa, governança e segurança da informação em projetos de Inteligência Artificial.
Source link
