Shadow AI: o uso invisível de inteligência artificial que expõe as empresas
AGÊNCIA DE COMUNICAÇÃO Conteúdo de responsabilidade da empresa 26 de outubro de 2026
Uma planilha de clientes colada em um assistente gratuito para gerar um resumo. Um contrato enviado a uma ferramenta pública para uma revisão rápida. Uma apresentação montada a partir de documentos internos. Isoladamente, cada gesto parece inofensivo e até produtivo. Somados, formam o shadow AI, o uso de inteligência artificial sem conhecimento, aprovação ou controle da empresa. A RZ3 aponta esse fenômeno como uma das frentes menos visíveis do risco corporativo associado à tecnologia.
Um hábito disseminado
O comportamento já aparece em pesquisas. Levantamento internacional da PagerDuty, divulgado em junho de 2026 com 1.250 profissionais, mostrou que 66% haviam usado ferramentas de IA que acreditavam ser proibidas pela própria empresa. Além disso, 88% disseram ter compartilhado informações de trabalho em ferramentas públicas, como mensagens, anotações de reuniões e dados de clientes.
O movimento acompanha a expansão da tecnologia no país. A pesquisa TIC Empresas 2025, do Cetic.br (Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação), registrou que 17% das empresas brasileiras utilizaram aplicações de IA, ante 13% na edição anterior. Na indústria, segundo a PINTEC Semestral do IBGE (Instituto Brasileiro de Geografia e Estatística), o uso chegou a 41,9% das companhias com 100 ou mais empregados em 2024.
Para a RZ3, o shadow AI é a nova geração do shadow IT, com uma diferença importante: ferramentas de IA recebem, processam, armazenam e inferem informações em grande escala, o que amplia o alcance de um único descuido.
Quando o descuido chega ao regulador
Quando o conteúdo inserido nessas ferramentas inclui dados pessoais, a exposição passa a ser também regulatória. A LGPD (Lei Geral de Proteção de Dados) exige finalidade definida, base legal, transparência e segurança no tratamento. Pela Resolução CD/ANPD nº 15/2024, incidentes que possam causar risco ou dano relevante aos titulares precisam ser comunicados à ANPD (Agência Nacional de Proteção de Dados) em até três dias úteis. Entre julho de 2023 e junho de 2025, a agência registrou 723 comunicações de incidentes de segurança e recebeu 9.629 denúncias e petições de titulares.
O tema está no centro da agenda do regulador. A ANPD incluiu, pela primeira vez, um eixo dedicado à inteligência artificial em seu Mapa de Temas Prioritários de fiscalização para 2026 e 2027.
Por que proibir não basta
O próprio dado da PagerDuty mostra o limite da proibição pura e simples: boa parte dos profissionais usou as ferramentas mesmo acreditando que não podia. Na avaliação da RZ3, o caminho é oferecer uma rota oficial e controlada para o uso da tecnologia, apoiada em governança operacional.
Na prática, isso começa por um inventário de onde a IA já está sendo usada, inclusive de forma informal. Em seguida vêm a homologação de ferramentas, políticas claras sobre quais informações podem ou não ser inseridas, treinamento das equipes, definição de responsáveis e registros que permitam auditar o uso. Segundo a RZ3, empresas que estruturarem esse processo poderão usar IA com mais intensidade e segurança, e o ponto de partida é uma pergunta simples para a liderança: quais ferramentas de inteligência artificial a empresa já usa hoje sem saber?
A OESP não é(são) responsável(is) por erros, incorreções, atrasos ou quaisquer decisões tomadas por seus clientes com base nos Conteúdos ora disponibilizados, bem como tais Conteúdos não representam a opinião da OESP e são de inteira responsabilidade da PulseBrand
