[OPINIÃO] Shadow AI: o risco de IA que já entrou nas empresas sem autorização

Por Priscila Ferreira, fundadora da Infer e advogada empresarial especialista em tecnologia e inovação*

Existe uma versão da inteligência artificial que as empresas gostam de mostrar: projetos-piloto bem estruturados, comitês de ética, políticas de uso responsável e comunicados internos celebrando a inovação. E existe a versão que de fato acontece todo dia, em qualquer empresa, independentemente do tamanho ou do setor: um colaborador abrindo o ChatGPT na aba do navegador, colando um contrato confidencial e pedindo para a ferramenta resumir antes de uma reunião. Essa segunda versão tem nome: chama-se Shadow AI. E enquanto sua empresa monta o comitê de governança, ela já está acontecendo.

Não estou falando de exceção. Uma pesquisa da Digital Chiefs revelou que 78% dos funcionários utilizam ferramentas de IA não aprovadas por seus empregadores, e 38% já compartilharam dados corporativos confidenciais com plataformas externas sem qualquer autorização. A consultoria Gartner projeta que, até 2027, 40% das empresas sofrerão incidentes de segurança diretamente ligados a esse uso informal. Esses números não descrevem um risco futuro. Descrevem o que já está em curso, só que fora do radar do jurídico, do compliance e da diretoria.

No Brasil, o problema tem uma dimensão adicional: é também uma questão de LGPD. Quando um dado pessoal de cliente, colaborador ou parceiro é inserido em uma plataforma externa sem base legal, sem contrato de processamento e sem ciência do controlador, a empresa responde, independentemente de o colaborador ter agido por iniciativa própria. A Lei Geral de Proteção de Dados não aceita “eu não sabia” como defesa. E o que me preocupa, depois de anos assessorando empresas em processos de transformação digital, é que “eu não sabia” continua sendo a resposta mais comum quando o assunto é Shadow AI.

Existe uma crença que precisa ser desmontada: a de que não adotar oficialmente uma ferramenta de IA equivale a não estar exposto a ela. Essa lógica seria quase ingênua se não fosse tão perigosa. O colaborador não espera a política interna para ser mais produtivo. Ele encontra o próprio caminho, e esse caminho raramente passa pelo compliance. Proibir não resolve: os dados da WalkMe mostram que apenas 7,5% dos trabalhadores receberam treinamento extensivo sobre uso de IA, enquanto 23% nunca receberam orientação alguma. Sem educação e sem alternativas formais, a proibição não elimina o comportamento, apenas o empurra para onde a empresa não consegue mais enxergar.

A governança de IA não começa com tecnologia, não começa com política e não começa com consultoria. Começa com uma pergunta simples que pouquíssimas organizações têm coragem de fazer de forma honesta: o que nossos colaboradores já estão usando, agora, sem que saibamos? Responder a essa pergunta com sinceridade é o único ponto de partida real. O maior risco da inteligência artificial para as empresas brasileiras hoje não é adotá-la. É continuar acreditando que ela só existe onde foi autorizada.

*Priscila Ferreira é advogada empresarial especialista em tecnologia e inovação, fundadora da Infer e mentora de ecossistemas como Abstartups, Sebrae, Nexus e Parque Tecnológico de São José dos Campos.