De fato, compreender os riscos da IA tornou-se um ponto crítico e urgente para as organizações no cenário atual. Afinal, os seus colaboradores já estão utilizando ferramentas tecnológicas na rotina diária sem que a diretoria perceba. A grande questão que os gestores precisam responder imediatamente é: você sabe exatamente quais ferramentas eles acessam, com quais dados corporativos e sob qual nível de controle técnico?
Uma pesquisa realizada com mais de 4.700 profissionais brasileiros revelou três números que deveriam estar em toda reunião de gestão de risco de TI. 47% usam ferramentas de IA sem aprovação formal da empresa. 36% utilizam ferramentas não homologadas — o que o mercado chama de Shadow AI. E 59% das empresas ainda não têm nenhuma diretriz formal sobre o uso de inteligência artificial.
Traduzindo esses dados para o impacto real do negócio: contratos sigilosos, dados confidenciais de clientes, estratégias de mercado e relatórios financeiros da sua empresa já podem estar sendo processados por plataformas de terceiros. Trata-se de ferramentas que você não contratou, não audita e não consegue rastrear de forma segura.
O que é Shadow AI e quais os riscos da IA corporativa
Shadow IT — o uso não autorizado de softwares e sistemas — existe desde que os colaboradores passaram a ter acesso à internet. Mas Shadow AI tem uma característica que o torna significativamente mais perigoso: os dados não apenas circulam por sistemas externos, eles são processados, armazenados e potencialmente utilizados para treinar modelos de terceiros.
Quando um colaborador usa uma ferramenta de IA não homologada para resumir uma proposta comercial, redigir um contrato ou analisar dados financeiros, ele não está apenas acessando um sistema externo. Ele está potencialmente alimentando esse sistema com informações que pertencem à empresa e aos clientes.
O resultado financeiro disso é mensurável. Incidentes envolvendo Shadow AI custam, em média, US$ 670 mil a mais do que vazamentos convencionais — segundo dados do setor de segurança da informação. O custo adicional vem da dificuldade de rastreabilidade: diferente de um vazamento por ataque externo, incidentes de Shadow AI raramente têm uma linha do tempo clara de quando os dados foram expostos e o que exatamente foi comprometido.
Por que os colaboradores usam Shadow AI — e por que isso não vai parar sozinho
Antes de falar em política de restrição, é importante entender a motivação. Colaboradores que usam ferramentas de IA não homologadas, na maioria dos casos, não estão tentando criar problemas. Estão tentando trabalhar melhor.
Ferramentas como ChatGPT, Claude, Perplexity e dezenas de outras oferecem ganhos de produtividade reais e imediatos. Se a empresa não oferece uma alternativa homologada com qualidade equivalente, o colaborador vai buscar por conta própria — e vai encontrar.
Proibir sem substituir não funciona. A pesquisa mostra que mesmo em empresas com políticas restritivas, o índice de uso não autorizado se mantém elevado. O que funciona é uma combinação de política clara + ferramenta homologada + cultura de uso responsável.
O que a LGPD diz sobre Shadow AI
A Lei Geral de Proteção de Dados não menciona inteligência artificial diretamente — mas suas obrigações se aplicam integralmente. Quando um colaborador insere dados pessoais de clientes em uma ferramenta de IA não homologada, a empresa pode ser responsabilizada por tratamento inadequado de dados pessoais, mesmo que não tenha autorizado o uso.
O artigo 46 da LGPD exige que as empresas adotem medidas técnicas e administrativas para proteger dados pessoais de acessos não autorizados. A ausência de política de uso de IA pode ser interpretada como descumprimento dessa obrigação — com multas de até 2% do faturamento anual, limitadas a R$ 50 milhões por infração. As regras completas sobre a fiscalização nacional e o tratamento seguro de dados digitais podem ser consultadas direto no site oficial do Governo Federal em https://www.gov.br/anpd
Desde 2026, com a ANPD operando como agência reguladora com autonomia sancionadora real, esse não é mais um risco teórico.
Como estruturar uma política de uso de IA segura para PMEs
Uma política eficaz não precisa ser burocrática. Para a maioria das PMEs, cinco medidas práticas já eliminam a maior parte do risco:
1. Inventário de uso atual: Antes de escrever a política, descubra o que a sua equipe já utiliza no dia a dia por meio de uma pesquisa interna anônima;
2. Homologação de ferramentas: Defina quais ferramentas são permitidas na empresa. O Microsoft 365 Copilot, por exemplo, opera exclusivamente dentro do ambiente seguro da empresa, garantindo que os dados nunca saiam do ambiente corporativo;
3. Classificação de dados: Estabeleça diretrizes claras sobre quais tipos de informações (públicas, internas ou confidenciais) podem ou não ser inseridas em ferramentas digitais;
4. reinamento contínuo: Crie momentos de capacitação, pois o colaborador precisa entender os conceitos de cibersegurança e o porquê das regras, e não apenas memorizar proibições;
5. Monitoramento e auditoria: Utilize soluções técnicas de controle de acesso e revise periodicamente os logs de uso para manter a visibilidade sobre a rede. que sustenta qualquer política.
Shadow AI é um sintoma, não o problema
A raiz do Shadow AI nas empresas não é a falta de política. É a falta de uma estratégia de adoção de IA que chegue antes que os colaboradores cheguem sozinhos.
Empresas que estruturam a adoção de IA de forma intencional — com governança, ferramentas homologadas e cultura de uso responsável — não apenas eliminam o risco do Shadow AI. Elas capturam o ganho de produtividade de forma controlada, mensurável e segura.
A pergunta não é “meus colaboradores estão usando IA?” — porque a resposta quase certamente é sim. A pergunta é “estamos usando IA da forma certa?”
Serviço
A FT Consult ajuda PMEs a estruturar políticas de uso de IA, homologar ferramentas e implementar controles técnicos de segurança alinhados à LGPD.
Fale com um especialista: Entre em contato diretamente com o nosso time técnico para estruturar a política da sua empresa.
