Shadow AI é o uso de ferramentas de inteligência artificial pelos funcionários sem aprovação, contrato ou supervisão da empresa. O risco principal é o vazamento de dados: contratos, planilhas de clientes e código-fonte colados em serviços que a empresa não controla. O fenômeno é amplo. Segundo o Work Trend Index 2024, da Microsoft e do LinkedIn, 74% dos usuários de IA no Brasil levam as próprias ferramentas para o trabalho. O custo também é concreto: o relatório Cost of a Data Breach 2025, da IBM, aponta que 20% das organizações pesquisadas sofreram violação ligada a shadow AI. A resposta não é proibir a IA, o que costuma só empurrar o uso para a clandestinidade. A resposta é oferecer ferramentas aprovadas, definir uma política simples de uso, treinar as pessoas e monitorar. Este artigo explica os riscos, o que a LGPD exige e traz um modelo de política de uma página para adaptar.

O que é shadow AI

O termo vem de “shadow IT”, expressão usada há anos para descrever sistemas e aplicativos que os funcionários adotam por conta própria, fora do controle da área de tecnologia. Shadow AI é a mesma ideia aplicada à inteligência artificial: chatbots, assistentes de escrita, geradores de imagem, extensões de navegador e transcritores de reunião usados sem aval da empresa.

Na maioria dos casos, não há má-fé. O funcionário quer terminar o relatório mais rápido, resumir um contrato longo ou revisar um e-mail em inglês. Ele abre uma ferramenta gratuita, cola o texto e resolve o problema em minutos. O que ele não percebe é que o conteúdo pode ser armazenado, usado para treinar modelos ou ficar acessível a terceiros, conforme os termos de uso de cada serviço.

Shadow AI também inclui situações menos óbvias. Uma extensão de navegador que “melhora” textos pode ler tudo o que aparece na tela. Um transcritor de reuniões conectado à agenda corporativa pode gravar conversas com clientes. Um funcionário pode criar uma automação que envia dados do CRM para um serviço de IA externo, sem que ninguém de tecnologia saiba.

O tamanho do fenômeno

Os dados disponíveis mostram que o uso de IA no trabalho chegou antes das regras. A tabela abaixo reúne os principais números.

O Work Trend Index 2024 ouviu 31 mil pessoas em 31 países, segundo o anúncio oficial da Microsoft. O recorte brasileiro, com 83% de uso e 74% de ferramentas próprias, foi divulgado na cobertura do Meio & Mensagem. O dado de treinamento, 39%, está na versão em português do anúncio.

A leitura conjunta é direta. A maioria das pessoas já usa IA, a maioria traz a ferramenta de casa e a minoria recebeu orientação da empresa. É nesse intervalo que a shadow AI acontece.

Por que shadow AI é um risco para a empresa

O risco não está na IA em si, mas no caminho que os dados percorrem sem controle. São cinco os riscos mais comuns.

1. Vazamento de dados confidenciais

O risco mais imediato é o envio de informação sensível para um serviço externo. Contratos, propostas comerciais, dados financeiros, listas de clientes e código-fonte saem do ambiente da empresa e passam a depender das regras do fornecedor da ferramenta. Em contas gratuitas ou pessoais, essas regras costumam ser menos protetivas do que em contratos corporativos.

O relatório Cost of a Data Breach 2025, da IBM, mostra o que costuma vazar. Nos incidentes ligados a shadow AI, dados pessoais de clientes foram comprometidos em 65% dos casos, e propriedade intelectual em 40%.

2. Violação da LGPD

Quando o conteúdo enviado inclui dados pessoais de clientes, funcionários ou parceiros, a empresa continua responsável por eles. A Lei Geral de Proteção de Dados, no artigo 46, obriga os agentes de tratamento a adotar medidas de segurança técnicas e administrativas para proteger dados pessoais. O artigo 33 restringe a transferência internacional de dados a hipóteses específicas, e muitas ferramentas de IA processam dados fora do país.

Se houver incidente com risco ou dano relevante, o artigo 48 da LGPD exige comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares. A Resolução CD/ANPD nº 15/2024, segundo análise do escritório Mattos Filho, fixa o prazo de três dias úteis para essa comunicação e exige que a empresa mantenha registro de todos os incidentes por pelo menos cinco anos. Um vazamento por shadow AI pode passar meses sem ser percebido, o que complica o cumprimento desses prazos. A aplicação dessas regras a cada caso deve ser avaliada com o advogado ou o encarregado de dados da empresa.

3. Incidentes mais caros e mais demorados

A IBM mediu o efeito da shadow AI sobre o custo das violações. Entre as organizações com alto nível de shadow AI, o custo médio de uma violação foi de US$ 4,74 milhões, contra US$ 4,07 milhões nas que tinham nível baixo ou nenhum. A diferença é de US$ 670 mil. O mesmo relatório informa que as violações envolvendo shadow AI levaram, em média, 247 dias para serem identificadas e contidas, contra 241 dias da média geral.

4. Decisões baseadas em respostas erradas

Modelos de IA podem produzir respostas convincentes e incorretas, fenômeno conhecido como alucinação. Quando o uso é oculto, ninguém revisa. Um parecer, uma cotação ou um cálculo gerado por IA pode chegar ao cliente sem que o gestor saiba de onde veio. O problema não é usar IA para rascunhar, e sim usar sem revisão humana e sem registro.

5. Brechas de acesso e de segurança

Extensões de navegador, aplicativos conectados ao e-mail corporativo e automações improvisadas abrem portas de entrada que a equipe de segurança não conhece. A IBM relata que 13% das organizações tiveram incidente de segurança em modelos ou aplicações de IA que resultou em violação. Entre essas, 97% disseram não ter controles de acesso adequados para IA.

Por que proibir não funciona

A primeira reação de muitas empresas é bloquear o acesso às ferramentas de IA mais conhecidas. Em geral, isso reduz o uso visível, não o uso real. O funcionário passa a usar o celular pessoal, o computador de casa ou ferramentas menos conhecidas, que a empresa nem sabe bloquear.

Os números ajudam a entender por quê. Se 83% dos trabalhadores do conhecimento no Brasil já usam IA, segundo o Work Trend Index, a ferramenta virou parte do trabalho. Uma proibição total compete com o ganho de tempo que as pessoas percebem no dia a dia, e costuma perder.

O caminho mais eficaz combina quatro elementos: oferecer uma alternativa aprovada e boa, definir regras claras e curtas, treinar as pessoas e monitorar o uso. A tabela abaixo compara as abordagens mais comuns.

Como montar um programa contra shadow AI

Um programa de governança de IA não precisa começar grande. As empresas que avançam mais rápido seguem uma sequência simples.

1. Descobrir o que já está em uso. Uma pesquisa anônima com os times, combinada com a análise dos registros de acesso à internet e dos aplicativos conectados às contas corporativas, mostra quais ferramentas aparecem e para quê.
2. Classificar os dados da empresa em níveis. Por exemplo: público, interno, confidencial e restrito. A política de uso depende dessa classificação.
3. Escolher e contratar ferramentas aprovadas. Versões corporativas de assistentes de IA costumam ter cláusulas sobre uso de dados para treinamento, retenção e localização. Esses termos devem ser lidos pelo jurídico.
4. Publicar a política de uso, curta e em linguagem simples, com exemplos do dia a dia.
5. Treinar as pessoas, com foco em casos práticos: o que pode, o que não pode e o que fazer em caso de dúvida.
6. Configurar controles técnicos, como bloqueio de ferramentas não aprovadas em equipamentos corporativos, prevenção de perda de dados (DLP) e login único nas ferramentas aprovadas.
7. Criar um canal para pedir novas ferramentas, com resposta rápida. Se aprovar uma ferramenta leva meses, o uso paralelo volta.
8. Revisar a cada seis meses a lista de ferramentas, a política e os incidentes registrados.

Para quem quer estruturar o tema de forma mais ampla, o guia de governança de IA nas empresas apresenta um framework prático. A relação com a proteção de dados está detalhada em LGPD e inteligência artificial em 2026 e no guia de conformidade da IA com a LGPD.

Modelo de política de uso de IA em uma página

O modelo abaixo é um ponto de partida. Ele deve ser adaptado à realidade de cada empresa e revisado pelo jurídico e pelo encarregado de dados antes de ser publicado. Não substitui orientação jurídica.

Política de uso de inteligência artificial

Objetivo. Permitir o uso de ferramentas de IA para ganhar produtividade, protegendo os dados da empresa, dos clientes e dos colaboradores.

A quem se aplica. A todos os colaboradores, estagiários e prestadores de serviço que usem equipamentos, contas ou dados da empresa.

Ferramentas permitidas. Só podem ser usadas as ferramentas da lista oficial, publicada pela área de tecnologia, com login corporativo. Ferramentas fora da lista dependem de pedido formal e aprovação prévia.

Dados que nunca podem ser inseridos em ferramentas de IA, nem nas aprovadas, sem autorização específica:
– dados pessoais sensíveis, como saúde, biometria, religião e origem racial;
– senhas, chaves de acesso, certificados e tokens;
– dados de cartão, conta bancária e documentos de identificação;
– informações classificadas como restritas.

Dados que só podem ser inseridos nas ferramentas aprovadas: dados pessoais comuns de clientes e colaboradores, contratos, propostas, informações financeiras, código-fonte e documentos internos.

Revisão humana. Todo conteúdo gerado por IA que for enviado a clientes, publicado ou usado em decisão deve ser revisado por uma pessoa, que responde por ele.

Transparência. Quando a IA tiver papel relevante em um documento entregue a cliente, o uso deve ser informado conforme a orientação da área responsável.

Automação e integrações. Nenhuma ferramenta de IA pode ser conectada a sistemas, e-mails, agendas ou bases da empresa sem aprovação da área de tecnologia.

Incidentes. Quem inserir por engano dados proibidos em uma ferramenta de IA deve avisar a área de tecnologia ou o encarregado de dados imediatamente. O aviso rápido é tratado como colaboração.

Treinamento. Todos os colaboradores fazem o treinamento de uso de IA ao entrar na empresa e a cada revisão desta política.

Revisão. Esta política é revisada a cada seis meses, ou antes, se houver mudança relevante na lei ou nas ferramentas.

Responsável. Área de tecnologia, com apoio do jurídico e do encarregado de dados.

Como adaptar o modelo

Três ajustes fazem a política funcionar na prática. Primeiro, troque as categorias genéricas de dados por exemplos do próprio negócio, como “ficha do paciente”, “proposta de licitação” ou “tabela de preços de fornecedor”. Segundo, publique a lista de ferramentas aprovadas em um lugar fácil de achar, com o link de acesso. Terceiro, nomeie uma pessoa de contato para dúvidas, com resposta em até um dia útil.

A política também deve conversar com o contrato de trabalho e com o código de conduta. O jurídico precisa avaliar como tratar descumprimentos e como comunicar a política aos colaboradores, incluindo eventual registro de ciência.

A alternativa aprovada: um assistente de IA da própria empresa

A forma mais eficaz de reduzir a shadow AI é oferecer algo melhor do que a ferramenta gratuita. Para muitas tarefas, isso significa um assistente de IA conectado aos documentos e sistemas da própria empresa, com controle de acesso por perfil e registro de uso.

Esse tipo de assistente costuma usar uma técnica chamada RAG (geração aumentada por recuperação). Em vez de treinar um modelo com os dados da empresa, o sistema busca os trechos relevantes nos documentos internos e os entrega ao modelo de IA junto com a pergunta. Os dados ficam em ambiente controlado, e cada resposta pode citar a fonte. O comparativo entre RAG, fine-tuning e engenharia de prompt explica as diferenças.

As vantagens em relação às ferramentas abertas são práticas. O funcionário só vê o que o perfil dele permite. Todas as perguntas ficam registradas. A empresa escolhe o fornecedor do modelo e negocia os termos de uso de dados. E o assistente responde com base nas regras e documentos do negócio, não em conhecimento genérico.

Quanto custa um assistente interno

O custo depende de quantas fontes de dados serão conectadas, do volume de uso e das integrações com sistemas internos.

Metodologia: a Mind Group trabalha, em 2026, com a faixa de 150 a 600 horas para projetos de automação ou integração com IA, o que inclui assistentes internos como o descrito acima. Multiplicadas pelo valor-hora de R$ 110 a R$ 190, conforme a senioridade do time, as horas resultam em R$ 16,5 mil a R$ 114 mil. É uma estimativa de referência: o valor final depende do escopo e não inclui o custo de uso do modelo de IA, cobrado pelo fornecedor conforme o volume.

Para detalhar esse custo, o artigo sobre quanto custa implementar IA na empresa traz as faixas por tipo de projeto. Quem já tem sistemas e quer conectar a IA a eles pode ver o guia sobre como integrar inteligência artificial ao sistema da empresa.

Shadow AI e agentes de IA: o próximo passo do problema

Até aqui, a maior parte da shadow AI envolve pessoas colando texto em chatbots. A próxima etapa envolve agentes de IA, ferramentas que executam tarefas sozinhas: enviam e-mails, alteram planilhas, acessam sistemas. Quando um funcionário conecta um agente desses à conta corporativa sem aprovação, o risco deixa de ser só vazamento e passa a incluir ações não autorizadas.

A pesquisa da ABES com a IDC, publicada em junho de 2026 pela ABES, mostra que 40% das empresas médias e grandes no Brasil já usam agentes inteligentes no dia a dia. A mesma pesquisa indica que só 38% têm estrutura sólida de governança de dados. A combinação de agentes em expansão e governança atrasada é o cenário em que a shadow AI tende a crescer.

Por isso, a política de uso deve tratar agentes explicitamente. Nenhum agente deve ter acesso a sistemas, contas ou dados da empresa sem aprovação, credenciais próprias e permissões mínimas. O guia sobre agentes de IA para empresas explica como implantar agentes com controle.

Sinais de que a empresa já tem shadow AI

Alguns sinais indicam que o uso não autorizado de IA já acontece. Nenhum deles prova sozinho, mas a presença de vários pede atenção.

Textos entregues com padrão de escrita muito diferente do habitual, sem que o autor explique como foram feitos. Tráfego frequente para serviços de IA nos registros de rede. Aplicativos desconhecidos com permissão de leitura no e-mail ou na agenda corporativa. Reuniões com clientes em que aparece um “assistente” de transcrição que ninguém contratou. Pedidos de reembolso de assinaturas de ferramentas de IA em cartões corporativos.

Diante desses sinais, a recomendação é não punir de imediato. O mais produtivo é usar a informação para entender a necessidade real, oferecer a alternativa aprovada e só então reforçar as regras.

Como a Mind Group pode ajudar

A Mind Group é uma software house brasileira, fundada em 2016, que desenvolve sistemas, aplicativos e soluções de inteligência artificial sob medida para empresas de todo o Brasil. Tem mais de 60 desenvolvedores próprios, mais de 500 produtos digitais lançados, nota 5,0 no Clutch com 17 avaliações verificadas de clientes, entrega o código-fonte ao cliente e mantém uma frente de cibersegurança dedicada à correção de vulnerabilidades e à resposta a incidentes.

Contra a shadow AI, a Mind atua nas duas pontas. Na ponta da oferta, desenvolve assistentes e agentes de IA sob medida, conectados aos documentos e sistemas da empresa, com controle de acesso, registro de uso e o código-fonte entregue ao cliente. Na ponta da proteção, a frente de cibersegurança ajuda a mapear integrações não autorizadas, corrigir vulnerabilidades e responder a incidentes quando um dado sai do lugar.

As entregas são quinzenais, com versão para testar, o que permite colocar um primeiro assistente aprovado nas mãos dos times em poucas semanas e ajustar com base no uso real. O guia de cibersegurança para empresas traz os controles básicos que complementam a política de uso.

Atualizado em outubro de 2026.

Perguntas frequentes

O que é shadow AI?

É o uso de ferramentas de inteligência artificial pelos funcionários sem aprovação, contrato ou supervisão da empresa. Inclui chatbots, extensões de navegador, transcritores de reunião e automações conectadas a sistemas corporativos. O principal risco é o envio de dados da empresa para serviços que ela não controla.

Shadow AI é ilegal?

Usar IA não é ilegal, mas enviar dados pessoais de terceiros a ferramentas sem controle pode descumprir a LGPD, que exige medidas de segurança e restringe a transferência internacional de dados. A avaliação de cada situação deve ser feita com o advogado ou o encarregado de dados da empresa.

Quanto custa um incidente causado por shadow AI?

Segundo a IBM, organizações com alto nível de shadow AI tiveram custo médio de violação US$ 670 mil maior do que as com nível baixo ou nenhum. O relatório também mostra que 20% das organizações pesquisadas sofreram violação ligada a shadow AI.

Proibir o ChatGPT e outras ferramentas resolve?

Em geral, não. A proibição tende a empurrar o uso para celulares e computadores pessoais, onde a empresa não tem controle. O caminho mais eficaz é oferecer ferramentas aprovadas, publicar uma política curta, treinar as pessoas e monitorar.

O que uma política de uso de IA deve conter?

Lista de ferramentas aprovadas, tipos de dados proibidos e permitidos, exigência de revisão humana, regras para conectar IA a sistemas, procedimento em caso de incidente, treinamento e periodicidade de revisão. O modelo deste artigo cabe em uma página e deve ser adaptado com o jurídico.

Quanto custa criar um assistente de IA interno para substituir ferramentas não aprovadas?

Pela estimativa de referência da Mind Group, projetos de automação ou integração com IA ficam entre 150 e 600 horas, ou R$ 16,5 mil a R$ 114 mil pelo valor-hora de R$ 110 a R$ 190. O valor depende do número de fontes de dados e integrações e não inclui o custo de uso do modelo.

Quanto tempo a empresa tem para comunicar um vazamento à ANPD?

A Resolução CD/ANPD nº 15/2024 fixa três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, quando houver risco ou dano relevante aos titulares. A empresa também deve manter registro de todos os incidentes por pelo menos cinco anos.

Fontes: Microsoft and LinkedIn release the 2024 Work Trend Index (Microsoft) · Índice de Tendências do Trabalho 2024 (Microsoft América Latina) · Microsoft e LinkedIn: 83% dos trabalhadores no Brasil já usam IA (Meio & Mensagem) · Cost of a Data Breach Report 2025 (IBM, PDF publicado pela Baker Donelson) · Lei nº 13.709/2018, LGPD (Planalto) · ANPD publica regulamento de comunicação de incidente de segurança (Mattos Filho) · IA generativa e agentes inteligentes lideram os investimentos no mercado de software (ABES)