Funcionários utilizam ferramentas de IA generativa sem aprovação da empresa, ampliando riscos de vazamento de dados, LGPD e governança. Especialista Eder Souza, CTSO da e-Safer, explica por que proibir o uso da IA não é mais suficiente.
A Inteligência Artificial generativa transformou rapidamente a forma como profissionais trabalham. Ferramentas capazes de criar textos, resumir documentos, desenvolver códigos e automatizar tarefas passaram a fazer parte da rotina corporativa em poucos meses, impulsionando produtividade e acelerando processos.
Mas essa mesma velocidade trouxe um desafio que preocupa cada vez mais as áreas de Tecnologia, Segurança da Informação e Compliance: o crescimento da chamada Shadow AI, ou IA Oculta.
O termo descreve o uso de plataformas de IA generativa sem aprovação, monitoramento ou conhecimento da organização. Na prática, colaboradores recorrem a assistentes inteligentes, chatbots e outras aplicações para facilitar atividades do dia a dia, muitas vezes compartilhando informações corporativas sem perceber os riscos envolvidos.
Segundo o Salesforce AI Workplace Report, 69% dos líderes acreditam que colaboradores utilizam IA generativa sem autorização formal da empresa. Já o Microsoft Work Trend Index revela que mais de 75% dos profissionais já utilizam IA no ambiente de trabalho, frequentemente sem políticas claras de segurança.
Esse cenário evidencia uma mudança importante: a adoção da IA está acontecendo mais rapidamente do que a capacidade das organizações de criar mecanismos de governança.
O problema não é a IA, mas a falta de controle
Para Eder, a preocupação não está na tecnologia em si, mas na ausência de políticas capazes de orientar seu uso dentro das empresas.
“A IA generativa começou a ser utilizada no ambiente corporativo de forma muito rápida, muitas vezes antes que as empresas conseguissem definir políticas, controles e modelos de governança. Colaboradores passaram a usar ferramentas públicas para ganhar produtividade sem entender os riscos envolvidos ao inserir dados internos, informações de clientes, códigos, documentos estratégicos ou conteúdos confidenciais.”
Segundo ele, quando esse processo acontece sem supervisão, a organização perde visibilidade sobre seus próprios dados.
“Esse uso sem controle cria um ponto cego para segurança, compliance e governança. A empresa deixa de saber quais dados estão sendo compartilhados, com quais plataformas, sob quais termos de uso e com qual nível de proteção. O problema não é a IA em si, mas o uso descontrolado, sem critérios claros, sem gestão de risco e sem responsabilidade definida.”
Bloquear a IA pode aumentar a Shadow AI
Diante desse cenário, muitas organizações ainda cogitam restringir ou bloquear completamente ferramentas de IA generativa. Entretanto, especialistas apontam que essa estratégia costuma gerar o efeito contrário.
De acordo com a Harvard Business Review, proibir o uso da IA tende a estimular ainda mais o Shadow AI, já que colaboradores continuam buscando formas de aumentar sua produtividade por meio de aplicações não autorizadas.
Eder reforça essa visão.
“Bloquear completamente pode até reduzir parte do risco imediato, mas raramente resolve o problema de forma sustentável. Na prática, quando existe uma demanda real por produtividade, automação e apoio à tomada de decisão, os colaboradores tendem a buscar caminhos alternativos caso a empresa não ofereça opções seguras e aprovadas.”
Para ele, o caminho mais eficiente passa por oferecer soluções corporativas acompanhadas de regras claras de utilização.
“O melhor caminho é combinar controle com fornecimento seguro, definindo as ferramentas permitidas, criando políticas claras, orientando os colaboradores, classificando os dados que podem ou não ser usados, além de disponibilizar soluções corporativas de IA com monitoramento, governança e proteção adequada.”
Vazamento de dados está entre os principais riscos
O uso não autorizado da IA também amplia significativamente os riscos relacionados à proteção das informações corporativas.
O IBM Global AI Adoption Index mostra que o compartilhamento de dados sensíveis em ferramentas públicas de IA figura entre as maiores preocupações das empresas. Casos reais, como o vazamento de código-fonte por colaboradores da Samsung após o uso do ChatGPT, demonstram que informações estratégicas podem ser expostas sem qualquer intenção maliciosa.
Segundo Eder, os impactos vão muito além da segurança da informação.
“Os principais riscos envolvem vazamento de dados, exposição de informações confidenciais, uso indevido de dados pessoais, violação da LGPD, perda de propriedade intelectual e geração de respostas incorretas que podem ser usadas em decisões de negócio.”
Além da possibilidade de vazamento de dados estratégicos, organizações também precisam considerar riscos relacionados à conformidade regulatória, reputação da empresa e uso malicioso da IA por cibercriminosos. O OWASP Top 10 for LLM Applications, por exemplo, alerta para ameaças envolvendo phishing, engenharia social e exploração de aplicações baseadas em modelos de linguagem.
Governança passa a ser prioridade
À medida que a IA se consolida como ferramenta de produtividade, cresce também a necessidade de estabelecer políticas específicas para seu uso.
Segundo o Deloitte AI Governance Report, menos de 30% das organizações possuem modelos maduros de governança para Inteligência Artificial, demonstrando que a maioria ainda está estruturando processos internos para lidar com essa nova realidade.
Na avaliação de Eder, o equilíbrio entre inovação e segurança depende de enxergar a IA como um tema estratégico da empresa.
“O equilíbrio passa por tratar o uso da IA como um tema de governança corporativa, e não apenas como uma decisão tecnológica. As empresas precisam criar uma política clara de uso de IA, definir casos de uso permitidos, estabelecer critérios para classificação de dados e orientar os colaboradores sobre o que pode ou não ser compartilhado com essas ferramentas.
Também é importante oferecer alternativas corporativas seguras, com autenticação, controle de acesso, registros de uso, proteção contra vazamento de dados e avaliação jurídica dos contratos com fornecedores. A inovação deve ser incentivada, mas dentro de limites bem definidos.”
Esse movimento também é observado pela PwC, que identifica uma mudança na forma como as organizações lidam com a Inteligência Artificial. Em vez de adotar uma postura exclusivamente restritiva, empresas mais maduras vêm investindo em modelos de uso seguro, monitoramento contínuo, conscientização dos colaboradores e governança, incorporando a IA às estratégias de gestão de riscos e compliance.
Fonte: Pesquisa de IA Responsável da PwC nos EUA de 2025
Isso envolve definir casos de uso permitidos, estabelecer critérios para classificação de dados, orientar os colaboradores e disponibilizar plataformas corporativas que contem com autenticação, controle de acesso, monitoramento e proteção contra vazamento de informações.
Segurança deixa de ser barreira e passa a habilitar a inovação
A chegada da IA generativa também transforma o papel das equipes de Segurança da Informação.
Em vez de atuar apenas restringindo tecnologias, essas áreas passam a assumir uma posição mais estratégica, trabalhando em conjunto com tecnologia, jurídico, compliance, recursos humanos e áreas de negócio.
“As áreas de segurança terão que evoluir, mais uma vez, de uma postura apenas restritiva para uma atuação mais estratégica. O papel da segurança será ajudar a viabilizar o uso seguro da IA, criando controles proporcionais ao risco e permitindo que a empresa aproveite os ganhos de produtividade sem abrir mão da proteção dos dados.”
Na prática, Eder acredita que as organizações investirão cada vez mais em inventário de ferramentas de IA, classificação de riscos por caso de uso, monitoramento de dados sensíveis, conscientização dos colaboradores e plataformas corporativas com governança integrada. Além disso, as equipes precisarão desenvolver competências específicas para avaliar modelos de IA, riscos associados a prompts, integrações com terceiros, proteção de informações e conformidade regulatória.
“A tendência é que a IA deixe de ser tratada como uma ferramenta isolada e passe a fazer parte da estratégia formal de segurança, governança de dados e gestão de riscos das organizações.”
O futuro passa pela IA segura
A IA generativa já é considerada uma das tecnologias de adoção mais rápida da história, segundo o McKinsey State of AI Report. Paralelamente, empresas vêm incorporando controles específicos para IA em estratégias de Data Loss Prevention (DLP), Zero Trust e proteção de identidade, conforme aponta a Palo Alto Networks.
Isso demonstra que o debate deixou de ser sobre impedir o uso da Inteligência Artificial.
A verdadeira questão passa a ser como permitir sua utilização de forma segura, responsável e alinhada às políticas corporativas.
Empresas que conseguirem equilibrar inovação, governança e proteção de dados estarão mais preparadas para aproveitar todo o potencial da IA generativa sem comprometer a segurança, a conformidade regulatória e a confiança de clientes, parceiros e do próprio negócio.
