Enquanto você lê este artigo, algum colaborador da sua empresa provavelmente está colando um contrato sigiloso no ChatGPT para “resumir mais rápido”. Sem má intenção, sem consciência do risco e completamente fora do radar do TI.
Esse comportamento tem nome: Shadow AI. E ele já é uma das maiores ameaças silenciosas à segurança corporativa e à conformidade com a LGPD no Brasil.
O Que É Shadow AI e Por Que Surgiu Agora
A Shadow AI é, na prática, a evolução direta de um problema que o TI já conhece bem: o Shadow IT.
Se antes os colaboradores instalavam softwares não autorizados ou usavam serviços de armazenamento pessoal para arquivos corporativos, hoje eles fazem algo ainda mais silencioso — e potencialmente mais perigoso.
Eles usam ferramentas de inteligência artificial generativa sem nenhuma aprovação formal, sem contrato com o fornecedor e completamente fora do radar da equipe de segurança.
A popularização acelerada de plataformas como ChatGPT, Google Gemini e Microsoft Copilot criou um cenário inédito: pela primeira vez na história da tecnologia corporativa, qualquer colaborador — do estagiário ao diretor — tem acesso, pelo celular ou navegador pessoal, a uma ferramenta de processamento de linguagem extremamente poderosa.
Sem custo. Sem cadastro corporativo. Sem rastreamento.
Por que isso aconteceu agora?
Três fatores se combinaram para criar esse ambiente de risco:
- Acessibilidade sem precedentes: Ferramentas de IA generativa de alto desempenho tornaram-se gratuitas ou de baixo custo para qualquer pessoa física.
- Velocidade de adoção superior à capacidade regulatória: As empresas simplesmente não conseguiram criar políticas e processos de aprovação na mesma velocidade em que essas ferramentas chegaram ao mercado — e ao dia a dia dos funcionários.
- Pressão por produtividade: Em um ambiente corporativo cada vez mais exigente, o colaborador que descobre que a IA reduz em 70% o tempo de uma tarefa não vai esperar a aprovação do TI. Ele simplesmente usa.
O resultado é um vetor de risco completamente novo, não monitorado, distribuído em todas as áreas da empresa e crescendo silenciosamente a cada dia.
Diferente do Shadow IT tradicional, o Shadow AI não exige instalação de software, não deixa rastros na rede corporativa e não aciona alertas nos sistemas de segurança convencionais.
É invisível por design.
Como o Shadow AI Acontece no Dia a Dia Corporativo
Para entender a real dimensão do problema, não basta pensar em teoria. É preciso visualizar o que acontece nas empresas agora, neste momento.
Os cenários a seguir são compostos a partir de comportamentos amplamente documentados em pesquisas de mercado e relatos de equipes de segurança. Eles são ficcionais nos nomes, mas absolutamente reais na prática.
O profissional de RH e os dados de colaboradores
Ana, analista de RH de uma empresa com 800 funcionários, precisa consolidar avaliações de desempenho para a reunião do comitê executivo.
Ela tem 40 formulários preenchidos com observações qualitativas sobre cada colaborador. O prazo é amanhã.
Em dez minutos, ela cola todos os textos no ChatGPT e pede um resumo executivo por área.
O que ela não percebe: acabou de enviar dados pessoais sensíveis de 40 funcionários — incluindo avaliações comportamentais e feedbacks de gestores — para servidores fora do controle da empresa.
O vendedor e a proposta comercial
Carlos, executivo de contas, quer impressionar um cliente estratégico. Ele tem os dados do concorrente que o cliente mencionou, os preços que a empresa pratica e a estrutura completa da proposta.
Ele alimenta tudo isso numa ferramenta de IA para “deixar o texto mais profissional”.
Em segundos, informações estratégicas de precificação, estrutura comercial e inteligência competitiva saem da empresa sem nenhum registro.
O advogado interno e o contrato sigiloso
Marina, da área jurídica, precisa redigir uma cláusula de confidencialidade para um contrato com um fornecedor estratégico.
Ela usa uma IA pública para acelerar o processo, inserindo o contexto completo do acordo — incluindo valores, prazos e obrigações das partes.
O contrato ainda não foi assinado. O sigilo ainda deveria estar intacto.
O analista financeiro e os dados estratégicos
Pedro alimenta uma planilha com projeções de receita, margens por produto e indicadores de EBITDA numa IA generativa para gerar um relatório automatizado.
São exatamente os dados que um concorrente pagaria muito para ter.
A intenção, em todos esses casos, é produtividade. Não malícia. Não sabotagem.
Mas o risco é concreto, imediato e, na maioria das vezes, completamente invisível para a equipe de TI e segurança.
A Escala do Problema: Dados de Prevalência no Mercado
O comportamento descrito acima não é exceção. É regra.
Os números disponíveis sobre o uso não autorizado de IA nas empresas são suficientemente expressivos para justificar atenção imediata de qualquer CISO ou diretor de TI.
De acordo com levantamento da Gartner, publicado em 2024, mais de 40% dos colaboradores em empresas de médio e grande porte admitiram usar ferramentas de IA generativa no trabalho sem aprovação formal do departamento de TI.
A IBM Institute for Business Value identificou que apenas 24% das iniciativas de IA generativa nas empresas passaram por processos formais de avaliação de segurança antes de serem adotadas pelas equipes.
Outro dado relevante: pesquisa da Salesforce com mais de 14.000 trabalhadores ao redor do mundo mostrou que 55% dos usuários de IA generativa no trabalho usam ferramentas não aprovadas pela empresa.
O crescimento entre 2023 e 2025
O salto foi exponencial.
Em 2023, quando o ChatGPT ainda era novidade, o fenômeno era localizado — concentrado em perfis mais técnicos e early adopters.
Em 2024, a adoção se democratizou. Ferramentas de IA passaram a ser integradas a aplicativos já usados no dia a dia — editores de texto, e-mails, planilhas e plataformas de comunicação — tornando o controle ainda mais complexo.
Em 2025, o problema atingiu escala corporativa em praticamente todos os setores.
A lacuna de política
Talvez o dado mais preocupante não seja o volume de uso, mas a ausência de resposta institucional.
Pesquisa da McKinsey & Company indicou que menos de 30% das empresas possuem uma política formal e documentada de uso de IA generativa — mesmo entre aquelas que já identificaram o problema.
Isso significa que a maioria das organizações está exposta a um risco que já sabe que existe, mas ainda não sabe como governar.
Os Riscos Reais do Shadow AI para a Sua Empresa
Identificar o comportamento é importante. Mas é a compreensão dos riscos concretos que deve mobilizar a gestão.
O uso não controlado de IA generativa expõe a empresa a pelo menos cinco categorias distintas de risco.
1. Vazamento de dados confidenciais
Quando um colaborador insere informações corporativas em uma plataforma de IA pública, esses dados são transmitidos para servidores externos — frequentemente localizados fora do Brasil — e podem ser utilizados para o treinamento dos modelos de linguagem do fornecedor.
Dependendo das configurações de privacidade da plataforma (que variam e nem sempre são compreendidas pelos usuários), esses dados podem ser armazenados, processados e potencialmente acessados por terceiros.
Isso é o que especialistas chamam de “data leakage by design”: o vazamento não ocorre por uma brecha de segurança, mas pela própria arquitetura e modelo de negócio da plataforma.
2. Exposição de propriedade intelectual
Fórmulas, processos, estratégias de negócio, código-fonte e segredos comerciais inseridos em ferramentas públicas de IA saem do controle da empresa no momento em que são enviados.
Não existe “desfazer” nessa operação.
3. Violações à LGPD e ao GDPR
Dados pessoais de clientes, funcionários ou parceiros inseridos em plataformas de terceiros sem base legal adequada e sem contrato de processamento de dados (DPA) configuram potencial violação à Lei Geral de Proteção de Dados.
As consequências incluem multas de até 2% do faturamento anual, limitadas a R$ 50 milhões por infração, além de sanções administrativas e obrigações de notificação.
4. Risco reputacional
Um incidente público envolvendo vazamento de dados via IA pode gerar danos de imagem significativos — especialmente em setores como financeiro, saúde e jurídico, onde a confiança é ativo fundamental.
5. Dificuldade de auditoria e rastreabilidade
Em investigações internas ou processos regulatórios, a empresa precisa ser capaz de responder: quais dados foram acessados, por quem, quando e por qual finalidade.
O uso não monitorado de IA generativa cria lacunas irreparáveis nessa cadeia de evidências.
Shadow AI e a LGPD: Um Casamento Perigoso
A Lei Geral de Proteção de Dados — a LGPD — estabelece regras claras sobre como dados pessoais devem ser coletados, tratados, armazenados e compartilhados.
O uso não controlado de ferramentas de IA generativa por colaboradores da empresa colide frontalmente com essas obrigações.
O problema do controlador de dados
Quando um funcionário insere dados pessoais de clientes ou colaboradores em uma plataforma de IA de terceiro, a empresa não deixa de ser a controladora desses dados sob a perspectiva da LGPD.
Ou seja: a responsabilidade legal permanece com a organização, mesmo que o incidente tenha ocorrido por ação individual de um colaborador.
A ausência de base legal e de DPA
Para que o compartilhamento de dados pessoais com um fornecedor de tecnologia seja legítimo sob a LGPD, são necessários, no mínimo:
- Base legal adequada para o tratamento (consentimento, legítimo interesse, obrigação legal, entre outras)
- Data Processing Agreement (DPA) — contrato formal que estabelece as responsabilidades do operador de dados
- Controle sobre retenção e exclusão dos dados pelo fornecedor
Nenhum desses elementos existe quando um colaborador usa sua conta pessoal gratuita no ChatGPT para processar dados de clientes da empresa.
Notificação à ANPD
Se a empresa identificar — ou pior, se for notificada externamente sobre — um vazamento de dados pessoais decorrente do uso não autorizado de IA, a ANPD (Autoridade Nacional de Proteção de Dados) deve ser comunicada em até 72 horas após a ciência do incidente, em casos de risco ou dano relevante.
A ausência de monitoramento e governança de IA dentro da empresa não elimina essa obrigação. Ao contrário: pode agravar a avaliação da autoridade sobre a negligência da organização.
Dados sensíveis: o risco amplificado
Quando o dado pessoal em questão é classificado como dado sensível pela LGPD — informações de saúde, orientação sexual, biometria, crenças religiosas, dados genéticos — as exigências legais são ainda mais rígidas e as penalidades, potencialmente mais severas.
Em setores como RH, saúde corporativa e jurídico, esse é um risco cotidiano.
Por Que as Políticas de Proibição Sozinhas Não Funcionam
A reação instintiva de muitas equipes de TI e segurança diante do problema é clara: proibir.
Bloquear o acesso às ferramentas de IA na rede corporativa, incluir cláusulas restritivas nas políticas de uso aceitável, comunicar aos colaboradores que o uso não é permitido.
É compreensível. Mas não é suficiente — e, na maioria dos casos, agrava o problema.
O comportamento humano não obedece a bloqueios técnicos
Quando o colaborador descobre que o ChatGPT está bloqueado na rede da empresa, ele simplesmente usa o 4G do celular.
O trabalho continua. O dado continua saindo. A única diferença é que agora o TI tem ainda menos visibilidade sobre o que está acontecendo.
Pesquisas de comportamento organizacional mostram consistentemente que proibições sem explicação e sem alternativa viável tendem a gerar resistência, contorno e uso clandestino mais intenso — exatamente o oposto do objetivo.
O custo competitivo da proibição
Além de ineficaz do ponto de vista de segurança, a proibição total tem um custo estratégico relevante.
Empresas que impedem seus colaboradores de usar ferramentas de IA de forma alguma estão, na prática, operando com uma desvantagem competitiva crescente em relação a concorrentes que governam o uso com inteligência.
Da proibição para a governança
A abordagem madura para esse problema não é o bloqueio — é a governança.
AI Governance é o conjunto de políticas, processos, controles técnicos e responsabilidades que permitem à empresa habilitar o uso de inteligência artificial de forma segura, rastreável e em conformidade com as obrigações legais.
Para o CISO e o diretor de TI, a mudança de perspectiva é fundamental: o objetivo não é impedir que os colaboradores usem IA. É garantir que quando usarem, usem de forma segura e dentro de um ambiente controlado pela empresa.
Essa é a diferença entre reagir ao problema e liderá-lo.
O Caminho para uma IA Corporativa Segura: Infraestrutura Privada de LLM
Se a proibição não funciona e a permissão irrestrita é um risco, a resposta está em um caminho do meio — tecnicamente robusto e estrategicamente inteligente.
A solução é a infraestrutura privada de LLM (Large Language Models): modelos de linguagem hospedados em ambiente controlado pela própria empresa, ou em nuvem privada com configurações auditáveis.
O que significa “privado” nesse contexto
Uma infraestrutura privada de LLM significa que os dados inseridos pelos colaboradores não saem do ambiente corporativo.
Não são enviados para servidores de terceiros. Não são usados para treinar modelos externos. Não ficam retidos em plataformas fora do controle do TI.
A empresa mantém soberania total sobre os dados.
O que a empresa passa a ter
Com uma plataforma privada de IA implementada corretamente, o gestor de segurança passa a contar com:
- Logs completos de uso: quem consultou a ferramenta, quando, com qual prompt e qual foi a resposta gerada
- Controle de acesso por perfil: diferentes níveis de permissão para diferentes áreas ou funções
- Políticas de retenção de dados configuradas conforme as obrigações legais da empresa
- Auditoria em tempo real com alertas para padrões de uso anômalos
- Observabilidade total sobre o que a IA está sendo usada para fazer dentro da organização
Isso transforma o que antes era um ponto cego em um ativo de governança.
A produtividade não precisa ser sacrificada
Um ponto crítico: a infraestrutura privada de LLM não deve ser percebida pelos colaboradores como uma versão piorada da ferramenta que eles já usam.
Implementada corretamente, ela entrega a mesma experiência de produtividade — com a camada de segurança e conformidade que a empresa precisa.
A Nova It Consultoria atua especificamente nesse contexto, implementando infraestruturas privadas de IA com governança integrada e suporte à orquestração de agentes de IA — permitindo que as empresas habilitem o uso inteligente da tecnologia sem abrir mão do controle sobre seus dados.
Conteudo complementar: Custo de tokens IA empresas
Governança de IA: O Que Deve Estar no Radar do CISO em 2025
Governança de IA não é um projeto pontual. É uma capacidade organizacional contínua que precisa ser construída com método.
Para CISOs e diretores de TI que estão estruturando ou revisando sua abordagem em 2025, os pilares a seguir formam a base de uma política eficaz.
1. Inventário de ferramentas de IA em uso
O primeiro passo é saber o que já existe — tanto o autorizado quanto o não autorizado.
Ferramentas de descoberta de Shadow IT podem ser expandidas para mapear também o uso de plataformas de IA generativa na rede corporativa e em dispositivos gerenciados.
O resultado é um mapa de risco atual — não uma estimativa.
2. Classificação de dados e regras por sensibilidade
Nem todo dado tem o mesmo nível de criticidade. Uma política de uso de IA precisa refletir essa realidade.
Dados públicos podem ser processados com menos restrições. Dados pessoais exigem controles específicos. Dados classificados como confidenciais ou estratégicos precisam de vedação total ao uso em ferramentas externas.
Essa classificação deve ser clara, documentada e compreendida pelos colaboradores.
3. Treinamento e conscientização
A maioria dos incidentes de segurança envolvendo IA não é intencional — é resultado de desconhecimento.
Programas de conscientização que expliquem, de forma acessível, os riscos do uso não autorizado de IA tendem a reduzir significativamente a incidência de comportamentos de risco.
O colaborador precisa entender por que o controle existe — não apenas receber uma lista de proibições.
4. Definição de responsáveis pela gestão de IA
Em organizações mais maduras, surge o papel de AI Officer — uma função dedicada a coordenar a estratégia de uso de IA, a governança de dados associada e a conformidade regulatória.
Em empresas onde esse papel ainda não existe formalmente, o CISO tende a absorver essas responsabilidades — o que exige atualização de escopo e, frequentemente, de recursos.
5. Ciclo de revisão contínua
O ambiente de IA generativa evolui em velocidade incompatível com políticas estáticas.
Uma política escrita em janeiro de 2025 pode estar desatualizada em julho do mesmo ano.
O processo de governança precisa incluir ciclos regulares de revisão — idealmente trimestrais — que avaliem novas ferramentas no mercado, novos comportamentos dos colaboradores e novas exigências regulatórias.
Essa camada de governança se conecta diretamente à estratégia mais ampla de orquestração de agentes de IA — onde o controle sobre ferramentas individuais evolui para o controle sobre fluxos de trabalho automatizados completos.
Como Implementar Observabilidade de IA Sem Travar a Operação
Observabilidade de IA é a capacidade de ver o que está acontecendo, em tempo real, no uso de ferramentas de inteligência artificial dentro da empresa.
Não é vigilância. Não é punição. É gestão de risco com base em dados.
E ela pode — e deve — ser implementada de forma a não gerar atrito operacional significativo.
Passo 1: Mapeie o uso atual por área
Antes de implementar qualquer controle, entenda o cenário atual.
Quais ferramentas de IA já estão sendo usadas? Por quais departamentos? Com qual frequência? Para quais finalidades?
Esse diagnóstico pode ser feito por meio de questionários, análise de tráfego de rede e entrevistas com gestores de área.
O objetivo não é punir ninguém — é entender o comportamento real para desenhar controles que façam sentido.
Passo 2: Defina as ferramentas homologadas
Com o mapeamento em mãos, a equipe de TI pode definir quais ferramentas serão oficialmente suportadas — incluindo avaliação de DPA, análise de política de privacidade do fornecedor e adequação às exigências da LGPD.
Ferramentas sem suporte a contrato de processamento de dados devem ser desaconselhadas formalmente.
Passo 3: Implante um gateway de IA ou plataforma privada de LLM
O gateway de IA atua como uma camada de intermediação entre os colaboradores e as ferramentas de IA — registrando interações, aplicando políticas de uso e bloqueando o envio de determinados tipos de dados.
A plataforma privada de LLM vai um passo além: elimina a dependência de fornecedores externos para os casos de uso mais sensíveis.
Passo 4: Crie um painel de observabilidade
Com os dados de uso coletados, implemente um painel centralizado que mostre:
- Volume de uso por área e por colaborador
- Tipos de dados mais frequentemente inseridos
- Alertas para padrões anômalos (ex: inserção de grandes volumes de dados fora do horário comercial)
- Conformidade com as políticas definidas
Passo 5: Comunique internamente com clareza
A implementação técnica sem comunicação adequada gera desconfiança e resistência.
Os colaboradores precisam entender que o objetivo dos controles é proteger a empresa e a eles próprios — não monitorar sua produtividade ou criar burocracia.
Uma comunicação clara sobre o “porquê” transforma potenciais resistentes em aliados naturais do processo.
O Futuro do Shadow AI: Tendências e Cenários para 2026 e Além
O problema que hoje se manifesta principalmente como uso não autorizado de chatbots de IA generativa está prestes a se tornar significativamente mais complexo.
Para CISOs e diretores de TI que pensam em horizonte estratégico, os cenários a seguir merecem atenção prioritária.
Agentes de IA autônomos: o próximo nível de risco
A próxima geração do problema não envolve colaboradores colando texto em ferramentas de IA.
Envolve agentes de IA autônomos — sistemas capazes de executar tarefas complexas de forma independente, integrando-se a e-mails, sistemas internos, bases de dados e APIs corporativas.
Quando esses agentes forem configurados por colaboradores sem supervisão do TI, o nível de exposição de dados e o potencial de impacto operacional serão ordens de magnitude maiores do que o cenário atual.
O EU AI Act e seus impactos no Brasil
O Regulamento Europeu de Inteligência Artificial (EU AI Act) — já em fase de implementação — estabelece uma estrutura de classificação de risco para sistemas de IA e impõe obrigações significativas para organizações que os utilizam.
Empresas brasileiras com operações na Europa ou que atendem clientes europeus já estão, na prática, sujeitas a essas exigências.
Mais relevante: o EU AI Act tende a influenciar a regulação brasileira de IA, ainda em construção, assim como o GDPR influenciou diretamente a LGPD.
Organizações que construírem sua capacidade de governança de IA agora estarão melhor posicionadas para se adaptar às exigências regulatórias futuras — com menor custo e menor disrupção operacional.
Pressão de seguradoras e clientes corporativos
Uma tendência que já começa a se materializar: seguradoras de cyber risk passando a exigir evidências documentadas de governança de IA como condição para cobertura — ou como critério de precificação dos prêmios.
Da mesma forma, grandes clientes corporativos e empresas com cadeias de fornecimento reguladas tendem a incluir, em seus processos de due diligence de fornecedores, perguntas específicas sobre políticas e controles de uso de IA.
Governança de IA deixa de ser apenas uma questão de segurança interna e passa a ser um requisito de acesso a mercados.
O Chief AI Officer nas grandes organizações
O papel de Chief AI Officer (CAIO) — ou Diretor de Inteligência Artificial — já existe formalmente em grandes corporações globais e tende a se expandir rapidamente.
Nas organizações onde esse papel ainda não existe, o CISO e o CIO precisarão absorver responsabilidades que vão além da segurança tradicional: estratégia de uso de IA, ética algorítmica, conformidade regulatória específica para IA e gestão de risco de modelos.
A preparação para esse cenário começa agora — com a construção das bases de governança, observabilidade e infraestrutura privada que serão o alicerce de qualquer estratégia de IA corporativa madura.
Conteudo complementar: Agentes de IA no setor financeiro
Shadow AI não é uma ameaça futura. Ela já está acontecendo agora, em cada área da sua empresa, com dados que você não sabe que foram expostos.
A Nova It Consultoria pode ajudar sua organização a implementar uma infraestrutura privada de IA com observabilidade total e governança real. Converse com nossos especialistas e dê o próximo passo com segurança.
Conteudo complementar: Orquestração de Agentes de IA
