De planilhas e e-mails a repositórios de código e sistemas internos, ferramentas de inteligência artificial já são incorporadas à rotina de trabalho por iniciativa dos próprios funcionários, muitas vezes, sem passar pela aprovação das áreas de tecnologia e segurança. A prática, conhecida como shadow AI, cria um ponto cego para as empresas ao permitir que dados, credenciais e informações corporativas sejam processados por ferramentas que estão fora dos mecanismos formais de controle.
O fenômeno ganhou força com a popularização da IA generativa e guarda semelhanças com um problema conhecido há anos pelas empresas: o shadow IT, termo utilizado para definir softwares, serviços em nuvem e dispositivos adotados por funcionários sem o conhecimento ou controle formal da área de tecnologia. A diferença é que a IA adiciona uma nova camada de complexidade. Enquanto uma aplicação tradicional pode armazenar ou transportar informações, modelos e agentes de IA podem receber dados corporativos, interpretar conteúdos, acessar diferentes sistemas e, dependendo da configuração, executar ações.
Para Thiago R. de Souza, Senior Cloud/DevOps Engineer com mais de nove anos de experiência em infraestrutura corporativa, AWS Community Builder e detentor de múltiplas certificações AWS nos níveis Professional e Specialty, esse cenário exige atenção especialmente quando as ferramentas recebem credenciais ou são conectadas diretamente a APIs e ambientes internos. “Na prática, quase nunca existe pedido formal de acesso. Alguém conecta um agente a uma API interna com uma chave que já tinha em mãos e, em minutos, ele pode operar com um nível de acesso semelhante ao de um funcionário, mas sem necessariamente passar pelos mesmos controles”, explica.
O avanço ocorre em meio à rápida incorporação da IA ao cotidiano profissional. O Work Trend Index 2024, produzido pela Microsoft e pelo LinkedIn a partir de uma pesquisa com 31 mil pessoas em 31 países, apontou que 78% dos usuários de IA no trabalho levavam suas próprias ferramentas de inteligência artificial para o ambiente profissional. A prática amplia discussões sobre proteção de dados, controle de acesso e governança.
Relatórios recentes da IBM sobre vazamentos de dados também chamam atenção para ambientes em que ferramentas de IA são utilizadas sem governança adequada, segundo o Cost of a Data Breach Report 2025, uma em cada 5 empresas violadas (20%) teve incidente ligado a shadow AI. Esses incidentes custaram, em média, US$ 670 mil a mais que uma violação comum, sendo que 97% das organizações com incidentes envolvendo IA não tinham controles de acesso adequados.
“O paralelo entre shadow AI e shadow IT não é coincidência. Os dois fenômenos nascem da mesma distância entre a velocidade da produtividade e o ritmo mais cauteloso da governança. A diferença é que, desta vez, o que escapa ao controle dos gestores não apenas armazena arquivos, mas pode processar informações, decisões e credenciais em tempo real”, ressalta Thiago. Para o especialista, impedir indiscriminadamente o uso da inteligência artificial tende a não resolver a questão. “O desafio para as empresas passa por criar mecanismos que permitam incorporar essas ferramentas à rotina profissional sem perder visibilidade sobre dados, acessos e integrações – antes que a adoção informal avance mais rapidamente do que a capacidade das organizações de governá-la”, conclui.
