Shadow AI: o que acontece quando sua equipe usa IA sem você saber

Sua equipe já usa inteligência artificial. A pergunta é com quais dados, em quais ferramentas e seguindo quais regras?

Por Olsen Rodrigo*

No início de 2023, engenheiros da Samsung colaram código-fonte confidencial no ChatGPT para pedir ajuda com um bug. Ninguém agiu de má-fé: eles só queriam terminar o trabalho mais rápido. Semanas depois, a empresa proibiu ferramentas de IA generativa em seus computadores e redes internas.

O episódio ganhou nome: “Shadow AI”, ou “IA na sombra”, sendo o uso de ferramentas de inteligência artificial por funcionários sem o conhecimento ou a aprovação da empresa. E deixou de ser exceção: segundo a Microsoft, quase 8 em cada 10 pessoas que usam IA no trabalho levam a própria ferramenta para o escritório.

O estagiário invisível

Para entender o tamanho disso, imagine a seguinte cena: cada funcionário da sua empresa contratou, por conta própria, um estagiário. O RH não conhece esse estagiário. Ele não assinou contrato, não tem crachá e não passou por nenhum treinamento. Mesmo assim, recebe planilhas de clientes, contratos, propostas comerciais e, em alguns casos, fichas de pacientes. Trabalha rápido, é educado e nunca reclama. Só tem um detalhe: ninguém sabe para onde ele leva os papéis quando vai embora.

Esse é o Shadow AI. A ferramenta é útil (e é exatamente por isso que as pessoas usam), mas os dados saem pela porta dos fundos sem que ninguém perceba.

Por que isso importa para o empresário

Faça um teste simples! Pergunte ao dono da empresa se a equipe usa IA. A resposta costuma ser “ainda não”. Depois, pergunte à equipe. A resposta costuma ser “todo dia”.

Uma pesquisa do Sebrae deste ano mostrou que mais da metade dos pequenos negócios brasileiros já usa IA – o Brasil adota rápido. O problema é que adota sem regra.

Na prática, o Shadow AI tem cara de rotina:

• A recepcionista da clínica cola a ficha do paciente para “deixar o resumo mais organizado”.
• O financeiro sobe a planilha de inadimplentes para escrever e-mails de cobrança.
• O vendedor instala um aplicativo gratuito que entra nas reuniões e transcreve tudo, inclusive a negociação com o cliente.
• Alguém adiciona ao navegador uma extensão que “resume qualquer página”, com acesso a tudo que aparece na tela.

Nenhuma dessas pessoas é vilã. Todas estão tentando entregar mais em menos tempo. E todas acabaram de enviar dados da empresa para um serviço que ninguém avaliou. Quando há dado pessoal no meio, como CPF, telefone ou informação de saúde, a LGPD entra na conversa e a responsabilidade é da empresa.

Proibir não funciona

A reação instintiva é bloquear. Foi o que a Samsung fez. Só que a proibição costuma empurrar o uso para o celular pessoal, onde a visibilidade é ainda menor. Quem já sentiu o ganho de produtividade não volta ao jeito antigo porque saiu uma circular.

Aqui entra uma tese que repito bastante: a IA só acelera a bagunça. Se a empresa nunca definiu quais dados são sensíveis, por onde eles podem circular e quem responde por eles, a IA não cria esse problema. Ela apenas o multiplica na velocidade de um “copia e cola”. E ainda cria uma fragmentação nova: informação estratégica espalhada em 10 contas pessoais, de 10 ferramentas diferentes, que a empresa não controla e não consegue recuperar quando o funcionário sai.

Toda empresa já tem uma política de IA. A diferença é se foi a direção que escreveu ou se cada funcionário escreveu a sua.

A conta chega

O risco deixa de ser teórico quando aparece no balanço. Um levantamento da IBM mostrou que uma em cada cinco empresas já sofreu um vazamento de dados causado por Shadow AI. E, quando o uso é descontrolado, cada incidente sai em média US$ 670 mil mais caro.

Para uma PME, o prejuízo raramente vem em dólar; vem na forma de um cliente que descobre o próprio contrato circulando, de uma proposta que chega antes ao concorrente ou de uma notificação da ANPD…

O que fazer na próxima semana

A boa notícia: resolver isso não exige um departamento de TI. Exige método. Quatro passos cobrem a maior parte do problema:

1. Descubra o que já está em uso. Faça uma pesquisa anônima com a equipe: quais ferramentas usam e para quê. Anônima, porque ninguém admite aquilo que acha que vai ser punido.

2. Ofereça uma ferramenta oficial. Contrate um plano corporativo de assistente de IA em que os dados não são usados para treinar o modelo. Custa pouco perto do risco, e a equipe deixa de precisar se esconder.

3. Crie um semáforo de dados em uma página (Nada de manual de 40 folhas).

• Verde (pode): textos públicos, rascunhos de post, ideias, revisão de português.
• Amarelo (com cuidado): documentos internos, sem nome de cliente nem valores.
• Vermelho (nunca): CPF, dados de saúde, contratos, senhas, planilhas de clientes e do financeiro.

4. Treine com exemplos reais. Meia hora mostrando o que é verde, amarelo e vermelho no dia a dia de cada área vale mais que qualquer regulamento.

Quando o volume cresce e a IA passa a tocar processos críticos, como atendimento, agenda ou prontuário, aí vale integrar a inteligência artificial aos sistemas da empresa, com acesso controlado, registro de uso e conformidade com a LGPD desde o desenho. É a diferença entre o puxadinho e a obra com projeto.

IA com dono

O Shadow AI é, no fundo, um bom sinal: sua equipe quer trabalhar melhor e já encontrou o caminho. O papel do líder é transformar esse impulso em processo, com ferramenta certa, regra clara e treinamento.

A IA vai entrar na sua empresa de qualquer jeito. A única escolha é se ela entra pela porta da frente.

* Olsen Rodrigo é CEO e fundador da Sintetiza AI. Com 17 anos dedicados à tecnologia em saúde, passando pela Matrix Saúde e por posições C-level (CPO/CTO) no AmorSaúde, hoje aplica inteligência artificial para automatizar e integrar a operação de empresas de diversos setores. É professor de IA aplicada a negócios, conselheiro e coautor de livros sobre liderança, produto e tecnologia. Defende uma IA que amplifica o potencial humano em vez de substituí-lo.