VKSECURITY 82% das empresas já têm IA na sombra — e a conta, se vazar, é da empresa
Uma pesquisa mostra que 82% das empresas brasileiras sabem que seus colaboradores usam ferramentas de IA de terceiros sem aprovação. Quando um dado de cliente entra num chat público, a responsabilidade continua sendo da empresa, e a multa pode chegar a R$ 50 milhões. O caminho não é proibir — é dar a alternativa certa.
Chama-se IA na sombra (ou shadow AI): o uso de ferramentas de inteligência artificial pelos colaboradores sem aprovação nem supervisão da empresa. Não é um fenômeno de exceção. Segundo levantamento citado em análise publicada nesta semana, 82% das empresas brasileiras reconhecem que seus colaboradores usam ferramentas de IA de terceiros sem aprovação, ao menos ocasionalmente.
Os números que acompanham explicam por que isso virou assunto jurídico:
- 43% apontam vazamento de dados ou exposição de propriedade intelectual;
- 32% identificam vulnerabilidades de segurança;
- 31% registram violações de conformidade;
- 50% relatam respostas inconsistentes ou imprecisas vindas dessas ferramentas.
E o motivo é quase sempre o mesmo: 39% dos profissionais não têm acesso a uma solução corporativa oficial, então recorrem à ferramenta que encontram.
Onde está o risco jurídico
A parte desconfortável é que o problema não fica com o funcionário:
- LGPD. Quando alguém cola dados de clientes num chat público, a empresa continua sendo a controladora desses dados. A responsabilidade pela base legal, pela segurança e pela transferência internacional é dela. A sanção pode chegar a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.
- Segredo de negócio. A Lei de Propriedade Industrial criminaliza a divulgação não autorizada de informação confidencial. E há um efeito colateral pouco lembrado: sem governança documentada, fica difícil sustentar depois, num litígio, que aquela informação era mesmo secreta.
- Contratos com clientes. Inserir dado de cliente numa plataforma não homologada pode configurar descumprimento contratual, com dever de indenizar.
- Responsabilidade dos administradores. Quando 82% das empresas convivem com o risco, ele deixa de ser imprevisível. A lei exige diligência documentada de quem administra.
Proibir não funciona
A reação instintiva é bloquear tudo. Na prática, isso empurra o uso para o celular pessoal, onde a empresa não enxerga nada — e o dado continua saindo.
O caminho que funciona tem sete passos, e nenhum é caro:
- Diagnóstico. Mapear o que já está em uso, por quem e com quais dados. Sem susto e sem punição nessa etapa.
- Política escrita e específica. Classificar a informação (pública, interna, confidencial, dado pessoal, dado sensível) e dizer, para cada nível, o que pode entrar em qual ferramenta. Regra genérica do tipo “use com bom senso” não protege ninguém.
- Alternativa homologada. Este é o item decisivo. Se a empresa oferece uma ferramenta corporativa — com contrato que veda treinamento com os dados, transferência internacional regular, login corporativo e registro de uso —, o uso paralelo despenca sozinho.
- Comitê com jurídico, encarregado de dados, segurança, TI, RH e negócio, para aprovar ferramentas e casos de uso.
- Capacitação por função, com exemplos reais do dia a dia. Genérico não muda comportamento.
- Canal de regularização sem punição, para quem já usa declarar o que usa. É o que transforma sombra em inventário.
- Contratos revisados com clientes e fornecedores, disciplinando o uso de IA na cadeia.
Como referência técnica, a ISO/IEC 42001:2023 e o NIST AI Risk Management Framework dão estrutura reconhecida para montar essa governança.
O ponto que resume tudo
IA na sombra não é indisciplina; é sintoma. As pessoas usam porque a ferramenta resolve o trabalho delas — e porque a empresa não ofereceu um caminho oficial. Enquanto a alternativa homologada não existir, a política mais rígida do mundo vai concorrer com o celular no bolso — e perder.
Quem trata o tema como oportunidade sai na frente duas vezes: reduz o risco jurídico e ainda descobre, no diagnóstico, onde a IA está de fato fazendo diferença no trabalho.
Fontes
- Lei nº 13.709/2018 (LGPD) — bases legais, segurança e responsabilidade do controlador: planalto.gov.br
- Lei nº 9.279/1996 — art. 195 (concorrência desleal e segredo de negócio): planalto.gov.br
- ISO/IEC 42001:2023 — sistema de gestão de inteligência artificial: iso.org
- NIST — AI Risk Management Framework: nist.gov/itl/ai-risk-management-framework
- Foto de capa: logotipo do ChatGPT, uma das ferramentas mais usadas sem aprovação formal — OpenAI, domínio público, via Wikimedia Commons
- Segunda imagem: estação de trabalho individual — David Wellbeloved, CC BY 2.0, via Wikimedia Commons
