Shadow AI: sua empresa sabe quais ferramentas de inteligência artificial os funcionários estão usando?

A Inteligência Artificial já está sendo utilizada dentro de muitas empresas, mesmo quando ainda não existe um projeto formal de IA.

Um funcionário utiliza uma ferramenta para resumir um contrato. Outro envia uma planilha para pedir uma análise. A equipe comercial utiliza um assistente para preparar propostas. O marketing testa uma plataforma para analisar informações de clientes. Um desenvolvedor utiliza IA para revisar código.

Em muitos casos, essas iniciativas começam com uma boa intenção: produzir mais, economizar tempo e executar tarefas com maior eficiência.

O problema aparece quando a empresa não sabe quais ferramentas estão sendo utilizadas, quais informações estão sendo enviadas para elas e quais regras estão sendo aplicadas.

Esse fenômeno é conhecido como Shadow AI.

Assim como ocorreu durante anos com o Shadow IT — sistemas e serviços utilizados sem conhecimento ou aprovação da área de tecnologia — a Inteligência Artificial está entrando nas organizações por caminhos que nem sempre passam por processos formais de avaliação, segurança e governança.

E existe uma diferença importante: uma ferramenta de IA pode receber diretamente documentos, dados pessoais, informações financeiras, contratos, código-fonte, estratégias comerciais e outros conteúdos sensíveis.

O risco não está apenas na ferramenta que a empresa decidiu utilizar. Também está nas ferramentas que ela nem sabe que estão sendo utilizadas.

O que é Shadow AI?

Shadow AI é o uso de ferramentas, modelos, assistentes, agentes ou funcionalidades de Inteligência Artificial sem conhecimento, avaliação ou governança adequada da organização.

Isso pode envolver ferramentas completamente externas à empresa, mas também recursos de IA incorporados a aplicações que já fazem parte do ambiente corporativo.

Alguns exemplos:

• funcionários utilizando contas pessoais em ferramentas de IA generativa;
• documentos empresariais enviados para serviços públicos de IA;
• extensões de navegador com recursos de Inteligência Artificial;
• aplicações SaaS que passaram a oferecer recursos de IA automaticamente;
• assistentes instalados sem avaliação da área de TI;
• equipes desenvolvendo automações próprias utilizando APIs de IA;
• departamentos contratando serviços sem revisão de segurança;
• agentes de IA conectados a sistemas ou bancos de dados corporativos;
• ferramentas que analisam reuniões, e-mails ou documentos sem uma política definida para essas informações.

Isso significa que uma empresa pode acreditar que ainda está “avaliando a adoção de IA” enquanto seus colaboradores já utilizam dezenas de recursos baseados em Inteligência Artificial no dia a dia.

Por que o Shadow AI está crescendo?

Porque utilizar Inteligência Artificial ficou extremamente fácil.

Há poucos anos, implantar uma nova tecnologia empresarial normalmente exigia aquisição de servidores, instalação de software, configuração da infraestrutura ou participação direta da área de TI.

Hoje, muitas ferramentas podem ser acessadas em segundos pelo navegador.

O usuário cria uma conta, aceita os termos do serviço e começa a trabalhar.

Além disso, a IA está sendo incorporada às próprias ferramentas que as empresas já utilizam.

Recursos de Inteligência Artificial podem aparecer em:

• editores de texto;
• planilhas;
• sistemas de CRM;
• plataformas de atendimento;
• aplicações de videoconferência;
• ferramentas de desenvolvimento;
• sistemas de marketing;
• navegadores;
• plataformas de colaboração;
• serviços de armazenamento em nuvem.

Isso torna a fronteira entre uma ferramenta tradicional e uma aplicação de IA cada vez menos visível.

Por esse motivo, simplesmente dizer que “a empresa ainda não utiliza Inteligência Artificial” pode deixar de representar a realidade.

O problema começa quando informações corporativas saem do ambiente controlado

Imagine um funcionário que recebe um contrato de um cliente e precisa preparar um resumo.

Para economizar tempo, ele copia o documento para uma ferramenta pública de IA e solicita os principais pontos.

Do ponto de vista de produtividade, o resultado pode parecer excelente.

Mas várias perguntas precisam ser respondidas:

• o contrato poderia ser enviado para esse serviço?
• existem informações confidenciais no documento?
• há dados pessoais envolvidos?
• onde essas informações serão processadas?
• por quanto tempo poderão ser armazenadas?
• quais condições de uso foram aceitas?
• a empresa possui contrato com o fornecedor?
• existe uma versão corporativa da ferramenta com controles adicionais?

O funcionário provavelmente não está tentando criar um incidente de segurança.

Ele está tentando trabalhar melhor.

Esse é justamente um dos desafios do Shadow AI: o risco pode surgir durante uma atividade legítima e produtiva.

Quais informações podem estar sendo enviadas para ferramentas de IA?

Praticamente qualquer informação que faça parte do trabalho diário.

Por exemplo:

• contratos;
• propostas comerciais;
• planilhas financeiras;
• dados de clientes;
• informações de funcionários;
• currículos;
• documentos jurídicos;
• relatórios internos;
• estratégias comerciais;
• informações sobre fornecedores;
• dados pessoais;
• códigos-fonte;
• diagramas de infraestrutura;
• configurações técnicas;
• registros de incidentes;
• credenciais inseridas acidentalmente em comandos ou documentos.

O problema não é concluir que toda utilização de IA é insegura.

O problema é não saber qual ferramenta está recebendo qual informação e em quais condições.

Shadow AI também é um problema de LGPD

Quando informações pessoais são processadas por uma ferramenta de Inteligência Artificial, a análise não pode ser limitada apenas à produtividade.

A empresa precisa entender quais dados estão envolvidos e como eles são tratados.

Dependendo do caso, podem existir questões relacionadas a:

• finalidade do tratamento;
• necessidade;
• segurança;
• compartilhamento com terceiros;
• transferência de dados;
• retenção das informações;
• controle de acesso;
• responsabilidades dos fornecedores.

Isso é especialmente relevante quando os usuários inserem informações de clientes, funcionários, candidatos, fornecedores ou parceiros em ferramentas que não foram previamente avaliadas pela organização.

Governança de IA e proteção de dados passam, portanto, a fazer parte da mesma discussão.

Contas pessoais tornam a visibilidade ainda menor

Outro problema ocorre quando ferramentas utilizadas para atividades profissionais são acessadas por contas pessoais.

Nesse cenário, a empresa pode perder vários controles importantes.

Ela pode não conseguir:

• definir quem possui acesso;
• revogar o acesso quando um funcionário deixa a organização;
• estabelecer políticas centralizadas;
• auditar atividades;
• controlar integrações;
• acompanhar quais informações são processadas;
• aplicar configurações corporativas de segurança.

Esse problema já era conhecido no uso de serviços SaaS e armazenamento em nuvem.

Com a Inteligência Artificial, porém, ele passa a envolver diretamente os dados utilizados nos prompts, documentos enviados e resultados produzidos.

Uma ferramenta gratuita pode ter um custo invisível

O fato de uma ferramenta não possuir custo financeiro imediato não significa que seu uso não tenha impacto para a empresa.

O custo pode estar relacionado a:

• exposição de informação confidencial;
• perda de propriedade intelectual;
• ausência de controle sobre dados;
• dependência de uma solução sem contrato empresarial;
• decisões tomadas com base em respostas incorretas;
• uso de informações sem validação;
• dificuldade para auditar como determinado resultado foi produzido.

Por isso, avaliar IA apenas pelo preço da licença é insuficiente.

IA também pode produzir informações erradas

Outro risco aparece quando uma resposta gerada por IA passa a ser considerada automaticamente correta.

Ferramentas de Inteligência Artificial podem produzir informações incompletas, imprecisas ou simplesmente incorretas.

Isso pode ser especialmente problemático quando a resposta é utilizada em:

• decisões financeiras;
• análises jurídicas;
• orientações técnicas;
• contratos;
• comunicação com clientes;
• relatórios gerenciais;
• configurações de sistemas;
• decisões relacionadas à segurança.

A utilização responsável de IA exige que a organização estabeleça quando uma resposta precisa de revisão humana e quem é responsável por essa validação.

Automatizar uma resposta não automatiza a responsabilidade pela decisão.

Agentes de IA tornam a governança ainda mais importante

A próxima fase desse problema vai além de usuários conversando com ferramentas de Inteligência Artificial.

Agentes de IA podem receber permissões para consultar informações e executar ações em outros sistemas.

Dependendo da implementação, um agente pode:

• ler documentos;
• consultar bancos de dados;
• acessar e-mails;
• utilizar APIs;
• criar registros em sistemas;
• alterar informações;
• enviar mensagens;
• acionar outros serviços.

Isso aumenta significativamente a importância de controles de identidade, permissões, logs, monitoramento e limites operacionais.

Não basta perguntar:

“Quem tem acesso ao sistema?”

Também será necessário perguntar:

“Quais agentes têm acesso, quais ações eles podem executar e como essas ações são auditadas?”

Bloquear todas as ferramentas de IA resolve o problema?

Normalmente, não.

Uma proibição absoluta pode parecer a resposta mais segura, mas também pode estimular usuários a procurar maneiras alternativas de obter as mesmas ferramentas.

Se a Inteligência Artificial permite que uma atividade que antes levava duas horas seja concluída em vinte minutos, existe um incentivo real para utilizá-la.

Ignorar esse incentivo não elimina a demanda.

Uma estratégia mais eficiente costuma combinar:

• ferramentas aprovadas;
• políticas claras;
• controles técnicos;
• classificação dos dados;
• treinamento;
• monitoramento;
• processos simples para solicitar novas ferramentas.

O objetivo não deve ser impedir inovação.

Deve ser permitir que ela aconteça de maneira controlada.

Como começar a controlar Shadow AI?

O primeiro passo é obter visibilidade.

A empresa precisa entender como a Inteligência Artificial já está sendo utilizada.

1. Faça um inventário

Identifique ferramentas e recursos de IA em uso.

O levantamento pode incluir:

• ferramentas contratadas oficialmente;
• serviços utilizados por departamentos;
• aplicações SaaS com recursos de IA;
• extensões;
• integrações;
• APIs;
• agentes;
• recursos incorporados às aplicações existentes.

Sem inventário, a organização não sabe exatamente o que precisa governar.

2. Entenda quais dados são utilizados

Nem toda utilização de IA apresenta o mesmo risco.

Gerar ideias para uma campanha de marketing é diferente de analisar uma planilha contendo informações pessoais de clientes.

A organização precisa classificar os casos de uso considerando os dados envolvidos.

3. Defina ferramentas aprovadas

Em vez de deixar cada usuário escolher sua própria solução, a empresa pode disponibilizar ferramentas previamente avaliadas.

A avaliação deve considerar aspectos como:

• segurança;
• privacidade;
• contrato;
• gestão de usuários;
• autenticação;
• retenção de dados;
• auditoria;
• integrações disponíveis;
• controle administrativo.

4. Crie uma política de uso de IA

A política não precisa começar como um documento excessivamente complexo.

Ela deve responder claramente às dúvidas do usuário.

Por exemplo:

• quais ferramentas podem ser utilizadas?
• quais tipos de informação podem ser enviados?
• quais dados são proibidos?
• quando é necessário utilizar uma conta corporativa?
• quando uma resposta precisa de validação humana?
• como solicitar aprovação para uma nova ferramenta?
• quem deve ser consultado em caso de dúvida?

Uma política que ninguém entende dificilmente será aplicada.

5. Controle identidades e permissões

Sempre que possível, ferramentas corporativas devem utilizar identidades gerenciadas pela organização.

Isso facilita:

• autenticação multifator;
• controle de acesso;
• revogação de usuários;
• gestão de permissões;
• auditoria;
• aplicação de políticas corporativas.

6. Treine os usuários

Funcionários precisam entender não apenas quais regras existem, mas por que elas existem.

O treinamento pode abordar situações práticas:

• posso enviar este contrato para uma IA?
• posso utilizar dados de clientes?
• posso criar uma conta pessoal?
• como saber se uma resposta está correta?
• posso instalar uma extensão de IA no navegador?
• o que fazer quando uma ferramenta nova parece útil?

Orientações concretas costumam ser mais eficazes do que simplesmente informar que “é proibido utilizar IA sem autorização”.

7. Revise continuamente

A tecnologia está evoluindo rapidamente.

Uma ferramenta que hoje não utiliza Inteligência Artificial pode incorporar novos recursos no futuro.

Novos serviços surgem constantemente.

Por isso, governança de IA não deve ser tratada como uma atividade executada apenas uma vez.

Inventário, políticas e controles precisam acompanhar a evolução do ambiente.

Shadow AI não é apenas um problema da área de TI

Segurança e tecnologia possuem papéis importantes, mas o tema envolve toda a organização.

Áreas como jurídico, recursos humanos, financeiro, comercial e marketing também podem lidar diariamente com informações que exigem cuidados específicos.

Além disso, são justamente essas áreas que podem encontrar excelentes oportunidades de produtividade com Inteligência Artificial.

Por isso, uma boa estratégia precisa equilibrar dois objetivos:

permitir que as pessoas utilizem IA para trabalhar melhor e impedir que essa utilização introduza riscos que a empresa desconhece.

Um checklist inicial para sua empresa

Para avaliar rapidamente a situação, tente responder:

• sabemos quais ferramentas de IA os funcionários utilizam?
• existe uma lista de ferramentas aprovadas?
• os usuários sabem quais informações podem enviar?
• existem regras para uso de contas pessoais?
• dados pessoais podem estar sendo enviados para serviços externos?
• existe autenticação corporativa nas principais ferramentas?
• sabemos quais aplicações SaaS possuem recursos de IA habilitados?
• existe um processo para avaliar novas ferramentas?
• os funcionários receberam treinamento?
• há responsáveis pela governança de IA?
• as permissões dos sistemas integrados à IA são conhecidas?
• existem registros e capacidade de auditoria?

Se várias dessas perguntas não possuem uma resposta clara, sua empresa provavelmente já possui uma lacuna de governança de IA.

Não é necessário escolher entre inovação e segurança

A Inteligência Artificial pode gerar ganhos reais de produtividade, automatizar atividades repetitivas, acelerar análises e permitir novas formas de trabalhar.

O objetivo da governança não deve ser impedir esses benefícios.

Ela deve criar as condições para que a organização consiga utilizá-los com segurança.

Para isso, é necessário conhecer o ambiente, identificar as ferramentas utilizadas, compreender quais dados estão envolvidos e definir controles proporcionais ao risco.

A empresa não precisa controlar cada prompt escrito por um funcionário.

Mas precisa saber:

quais tecnologias fazem parte do seu ambiente, quais informações podem ser processadas e quem é responsável por garantir que esses recursos sejam utilizados de maneira adequada.

A pergunta não é se seus funcionários estão usando IA

Com a velocidade atual de adoção dessas ferramentas, uma pergunta mais útil é:

“Nossa empresa sabe como a Inteligência Artificial está sendo utilizada?”

Se a resposta for não, o primeiro passo não precisa ser bloquear todas as ferramentas.

O primeiro passo deve ser obter visibilidade.

Depois disso, é possível transformar o uso informal em uma estratégia organizada, com ferramentas aprovadas, proteção de dados, controles de acesso, treinamento e governança.

Assim, a Inteligência Artificial deixa de ser uma tecnologia utilizada às escondidas e passa a fazer parte de uma estratégia empresarial consciente.

Sua empresa sabe quais ferramentas de IA estão sendo utilizadas?

A MARE Tecnologia & Serviços pode ajudar sua organização a identificar ferramentas, acessos, riscos, dados envolvidos e oportunidades de utilização segura da Inteligência Artificial.

Um diagnóstico do ambiente de TI permite entender o cenário atual e estabelecer prioridades para segurança, governança e evolução tecnológica.

Solicite um diagnóstico de TI para sua empresa