Shadow AI: seus funcionários já usam IA (você só não sabe onde)

Por Adriano Basso Gerente de TI · governança e infraestrutura

Deixa eu descrever uma cena que está acontecendo na sua empresa agora, enquanto você lê isto.

Alguém do financeiro colou uma planilha de resultados no ChatGPT pra pedir um resumo. Alguém do jurídico jogou um contrato numa IA pra “revisar as cláusulas”. Alguém do RH usou uma ferramenta de IA pra escrever uma avaliação de desempenho — com nome e dados reais do funcionário. E um desenvolvedor colou um trecho de código proprietário numa IA pra pedir ajuda com um bug.

Nenhuma dessas pessoas pediu autorização. Nenhuma achou que estava fazendo algo errado. E você, provavelmente, não sabe de nenhuma delas.

Isso tem um nome: Shadow AI. E é o Shadow IT da década.

O que é Shadow AI

Se você acompanhou esta série, já viu o conceito de Shadow IT — aplicações que a empresa usa sem a TI saber. Shadow AI é a mesma ideia, aplicada à inteligência artificial: o uso de ferramentas de IA dentro da empresa, sem conhecimento, aprovação ou controle da área responsável.

A diferença é a velocidade. O Shadow IT levou anos pra virar um problema. O Shadow AI apareceu em meses — porque as ferramentas de IA são gratuitas, acessíveis no navegador, e resolvem problemas reais na hora. Não precisa instalar nada, não precisa de cartão de crédito, não precisa pedir pra ninguém. Abre o site e usa.

E é exatamente por ser tão fácil e tão útil que ele se espalha sem controle.

Por que isso acontece (e por que não é culpa dos funcionários)

Vale deixar claro: as pessoas não estão agindo de má-fé. Elas estão tentando trabalhar melhor.

A IA resolve problemas chatos e demorados em segundos. Resumir um relatório de 40 páginas, escrever um e-mail difícil, revisar um texto, gerar uma primeira versão de qualquer coisa. Pra quem tem prazo e pilha de tarefas, é irresistível — e faz sentido.

O problema não é as pessoas quererem usar IA. É que elas estão usando sem que ninguém tenha pensado nas consequências. Não há política, não há orientação, não há um caminho seguro. Então cada um faz do seu jeito, com a ferramenta que achar, colando o que precisar.

É o vácuo de governança que cria o risco — não a tecnologia.

Os riscos que ninguém está vendo

O perigo do Shadow AI é que os riscos são invisíveis até virarem incidente:

Vazamento de dados confidenciais. Quando alguém cola dados da empresa numa IA pública, esses dados saem do seu controle. Dependendo da ferramenta e dos termos de uso, podem ser armazenados, processados em servidores de terceiros, ou até usados pra treinar o modelo. Aquela planilha de resultados, aquele contrato, aqueles dados de cliente — você não sabe mais onde estão.

Violação de privacidade e LGPD. Colar dados pessoais (de clientes, funcionários) numa IA pública pode ser uma violação da LGPD. E a empresa é responsável, mesmo que tenha sido um funcionário agindo por conta própria.

Informação errada tratada como verdade. IA erra, inventa, “alucina”. Quando alguém usa uma resposta de IA sem validar, decisões podem ser tomadas com base em informação incorreta — e ninguém sabe que veio de uma IA.

Propriedade intelectual em risco. Código, estratégias, documentos internos colados em ferramentas externas podem comprometer segredos da empresa.

O pior de tudo: como é invisível, você não consegue medir o tamanho do problema. Não sabe quantas pessoas usam, quais ferramentas, com quais dados. É um risco que existe no escuro.

A reação errada: proibir tudo

A primeira reação de muita empresa é bloquear: proíbe o ChatGPT, bloqueia os sites de IA no firewall, manda um comunicado dizendo “é proibido usar IA”.

Não funciona. E eu explico por quê no próximo texto desta série.

Por ora, adianto a ideia central: proibir não elimina o uso — só empurra pra debaixo do tapete. As pessoas continuam usando (no celular, em casa, no 4G), só que agora escondido. Você trocou um problema visível por um problema invisível. E perdeu a chance de orientar.

O primeiro passo: enxergar

Como sempre nesta série, o começo não é controlar — é enxergar. Antes de decidir o que fazer com a IA na sua empresa, você precisa entender o que já está acontecendo:

• Quais ferramentas de IA já são usadas?
• Por quais áreas, pra quê?
• Que tipo de dado está sendo colocado nelas?
• Existe alguma orientação hoje, ou é cada um por si?

Só depois de ter esse mapa você consegue tomar decisões que fazem sentido. Governar o que você não enxerga é impossível — e no caso da IA, o relógio está correndo, porque o uso cresce a cada dia.

A IA chegou pra ficar, e é uma ferramenta poderosa. A pergunta não é *se* sua empresa vai usar IA — ela já está usando. A pergunta é se vai usar com governança ou no escuro.

Este texto faz parte do “Diário de um Gerente de TI”, uma série sobre os problemas reais de governança, custos e infraestrutura que a TI enfrenta na prática.