Shadow AI: uso de inteligência artificial pode colocar empresas em risco

O Shadow AI, prática de utilizar ferramentas de inteligência artificial sem autorização ou conhecimento da empresa, vem ganhando espaço no ambiente de trabalho à medida que funcionários recorrem a plataformas de IA para agilizar tarefas e aumentar a produtividade. O problema é que contratos, planilhas, códigos, relatórios e dados de clientes podem acabar sendo inseridos em sistemas que não foram avaliados pelos responsáveis pela segurança da informação.

A adoção acelerada da inteligência artificial pelas empresas criou um descompasso entre o uso cotidiano dessas ferramentas e a elaboração de regras para controlar seu funcionamento. Segundo Jardel Torres, sócio da OSTEC, empresa especializada em cibersegurança, o fenômeno ganhou força justamente porque a tecnologia avançou mais rapidamente do que os mecanismos de governança corporativa. "A adoção avançou mais rápido do que a governança", explica o especialista.

CONTEÚDO RELACIONADO

• A Revolução dos Agentes: Como a nova era da IA está mudando o trabalho em 2026
• Documentos digitais ganham espaço e reduzem uso de "papeladas"
• Entenda importância de raspar etiquetas de compras online

O QUE É SHADOW AI?

O termo Shadow AI, ou "IA sombra", é usado para definir o uso de ferramentas de inteligência artificial por funcionários sem que elas tenham sido oficialmente autorizadas, avaliadas ou incorporadas à estrutura tecnológica da organização.

Na prática, a situação pode parecer inofensiva. Um funcionário pode utilizar uma plataforma para resumir uma reunião, revisar um código-fonte, organizar uma planilha ou analisar um contrato. A questão muda de dimensão quando, durante esse processo, informações internas são enviadas para uma ferramenta que a empresa não conhece ou não controla.

Quer mais notícias de tecnologia? Acesse o canal do DOL no WhatsApp.

Segundo Jardel, geralmente não existe uma intenção deliberada de provocar um problema de segurança. "Na maioria das vezes, o funcionário está apenas tentando fazer o trabalho mais rápido, mas o problema é que ele pode colocar um contrato, uma planilha ou informação de um cliente numa ferramenta que a empresa nunca avaliou", afirma.

O risco aumenta principalmente com as ferramentas de IA generativa, como ChatGPT, Gemini e Claude, que permitem inserir grandes volumes de informação para produzir textos, análises, códigos, resumos e outros conteúdos.

QUAIS SÃO OS RISCOS PARA AS EMPRESAS?

O simples uso de uma ferramenta de inteligência artificial não significa, necessariamente, que os dados serão utilizados de maneira inadequada. O risco depende da plataforma escolhida, do tipo de informação compartilhada, da finalidade do processamento e das condições estabelecidas pelo serviço.

"Não significa que toda ferramenta pública de inteligência artificial vai utilizar os nossos dados para treinamento. Não funciona dessa forma", explica Jardel.

Por isso, segundo o especialista, é necessário avaliar cada plataforma antes de permitir seu uso profissional, observando os recursos oferecidos e as condições previstas em contrato para o processamento ou eventual utilização dos dados.

Dependendo do cenário, o compartilhamento inadequado pode trazer problemas relacionados à privacidade, confidencialidade, propriedade intelectual e segurança da informação.

Um documento interno, por exemplo, pode conter dados estratégicos, informações financeiras, dados pessoais de clientes ou detalhes de projetos ainda não divulgados. Quando esse conteúdo é colocado em uma plataforma externa sem avaliação prévia, a organização pode perder parte do controle sobre a informação.

CINCO SINAIS DE QUE EXISTE SHADOW AI

Para Jardel Torres, o primeiro passo para enfrentar o problema não é simplesmente bloquear ferramentas de inteligência artificial. Antes disso, a empresa precisa descobrir como a tecnologia já está sendo utilizada pelos próprios funcionários.

A recomendação é identificar “quais ferramentas já são utilizadas, por quais áreas dentro da empresa, para quais atividades e com quais dados”.

Alguns sinais podem ajudar a identificar a presença de Shadow AI:

• 1. Funcionários usando ferramentas pessoais
• Contas particulares ou plataformas que não foram disponibilizadas pela empresa podem estar sendo utilizadas para executar tarefas profissionais.
• 2. Extensões e assistentes não homologados
• Extensões de navegador, transcritores de reuniões, resumidores de conteúdo e outros assistentes automatizados podem processar informações corporativas sem que a equipe responsável pela segurança tenha conhecimento.
• 3. Documentos internos enviados para plataformas públicas
• Contratos, planilhas, relatórios, propostas comerciais e outros arquivos corporativos inseridos em ferramentas abertas de IA devem ser considerados sinais de alerta.
• 4. Contratação de ferramentas diretamente pelos setores
• Em organizações maiores, departamentos podem contratar soluções de inteligência artificial para atender necessidades específicas sem passar pelos processos de avaliação e homologação das áreas de tecnologia ou segurança.
• 5. Ausência de inventário e de regras
• Se a empresa não consegue identificar quais ferramentas de IA são utilizadas pelos funcionários ou não possui regras claras sobre quais informações podem ser compartilhadas, existe uma falha de governança.

COMO CONBATER A IA SOMBRA?

Depois de identificar as ferramentas utilizadas, a empresa deve avaliar cada situação de acordo com o nível de risco. Nem todo uso precisa ser proibido: alguns podem ser liberados, outros submetidos a controles específicos e aqueles considerados perigosos podem ser bloqueados.

O trabalho, entretanto, não termina com a criação de uma política interna. Como novas ferramentas de IA surgem constantemente, a fiscalização e a atualização das regras precisam ser permanentes.

O especialista resume a estratégia em cinco etapas:

1. descobrir quais ferramentas de IA já estão sendo utilizadas;
2. identificar as áreas, atividades e dados envolvidos;
3. classificar cada utilização de acordo com o nível de risco;
4. oferecer ferramentas corporativas adequadas e alternativas autorizadas;
5. treinar e monitorar os funcionários continuamente.

A estratégia permite incorporar a inteligência artificial à rotina profissional sem transformar a busca por produtividade em uma porta de entrada para vazamentos de informações.

PROIBIR A INTELIGÊNCIA ARTIFICIAL NÃO RESOLVE

Para Jardel, simplesmente impedir que funcionários utilizem ferramentas de IA não é suficiente para resolver o problema. A tendência é que a tecnologia continue fazendo parte das atividades profissionais, tornando mais importante estabelecer critérios para seu uso. "A empresa não precisa escolher entre produtividade e segurança", afirma.

Nesse cenário, além de definir quais plataformas podem ser utilizadas e quais dados podem ser compartilhados, a organização precisa oferecer treinamento e manter um canal para esclarecer dúvidas dos funcionários.

"Não adianta nada a gente criar políticas, criar regras, impor determinados controles, se a empresa não dá uma base de sustentação dessas regras, dessas políticas, adequada para que o colaborador se sinta tranquilo e extremamente consciente daquilo que ele pode ou não fazer nas plataformas", pontua o especialista.

Assim, combater o Shadow AI passa menos por simplesmente fechar o acesso às ferramentas e mais por criar uma cultura de segurança capaz de acompanhar a velocidade com que a inteligência artificial está entrando no mercado de trabalho.