Um analista fecha uma proposta comercial de madrugada. Para ganhar tempo, cola o briefing do cliente numa ferramenta de IA gratuita, ajusta o texto em poucos minutos e entrega no prazo combinado. Ninguém da área de TI fica sabendo. Essa cena se repete, todos os dias, dentro da maioria das empresas brasileiras.
A SAP, em parceria com a Oxford Economics, ouviu 2.600 líderes empresariais em 13 países, 200 deles no Brasil. O resultado, noticiado pela Forbes Brasil em setembro de 2026, mostra que 82% admitem que colaboradores usam ferramentas de inteligência artificial sem aprovação formal da empresa. Esse comportamento ganhou nome técnico, shadow AI, e deixou de ser exceção para virar padrão dentro da operação de qualquer PME.
Bloquear o acesso parece a resposta mais simples diante desses números. Os próprios dados mostram outra coisa. Quando a proibição chega sem estrutura por trás, o uso não desaparece, só migra para um lugar que a TI não vê. A saída real passa por montar uma governança de IA do tamanho da empresa, não por fingir que o problema ainda não chegou.
O que é shadow AI, na prática?
Shadow AI é o uso de ferramentas, modelos ou assistentes de inteligência artificial dentro da empresa sem passar pela aprovação ou pelo conhecimento da área de TI. O termo nasce de um conceito mais antigo, o shadow IT, só que aplicado a um tipo de sistema que recebe, processa e, em boa parte dos casos, guarda o próprio dado que o usuário entrega a ele.
A diferença para uma planilha paralela rodando fora do sistema de gestão está no destino da informação. Um aplicativo de IA generativa pode usar o texto recebido para treinar o próprio modelo, repassar trechos a terceiros ou manter o conteúdo num servidor fora do Brasil. Nada disso passa por um contrato de confidencialidade equivalente ao que a empresa teria com um fornecedor homologado.
Como o shadow AI aparece no dia a dia de uma PME
Na prática, o shadow AI assume alguns formatos recorrentes dentro de uma empresa pequena ou média.
- Conta pessoal de IA generativa. O colaborador resume contrato, revisa e-mail ou escreve peça de marketing dentro do ChatGPT, do Gemini ou do Copilot pessoal, colando o dado real do cliente direto na conversa.
- Extensão de navegador com IA embutida. Instalada pelo próprio usuário para transcrever reunião ou resumir página, a extensão enxerga tudo que aparece na tela, inclusive um sistema interno aberto na aba ao lado.
- Recurso de IA ligado por padrão dentro do software que a empresa já paga. O CRM, o ERP ou o pacote de produtividade ganham um botão novo de inteligência artificial, e ele passa a processar dado do cliente num servidor que a TI nunca avaliou.
- Chave de API pessoal. Quem entende um pouco de automação conecta uma planilha ou um bot de WhatsApp a um modelo de IA usando credencial própria, fora de qualquer inventário de integração da empresa.
Esse mesmo movimento, a IA entrando dentro de ferramentas que a empresa já usa, aparece também do lado bom da operação. Já mostramos como a inteligência artificial chega às operações de TI de forma monitorada, com ganho real de produtividade. A diferença entre as duas situações está no controle e na visibilidade.
Os formatos acima têm um ponto em comum. Nenhum passou por uma pergunta simples antes do uso. Qual dado está entrando ali, e quem responde se ele sair do lugar errado?
Os números que mostram o tamanho real do problema
A pesquisa da SAP com a Oxford Economics revela um retrato brasileiro mais exposto que a média global, com uma lacuna grande entre o risco já instalado na operação e a estrutura disponível para lidar com ele.
| Indicador | Resultado | Fonte |
|---|---|---|
| Empresas brasileiras com uso de IA sem aprovação formal | 82% | SAP e Oxford Economics, via Forbes Brasil, set/2026 |
| Empresas que já relataram vazamento de dado ligado a IA não homologada | 43% | SAP e Oxford Economics |
| Empresas que apontam vulnerabilidade de segurança criada por IA sem controle | 32% | SAP e Oxford Economics |
| Empresas que citam violação de compliance associada ao uso não autorizado | 31% | SAP e Oxford Economics |
| Empresas com processo de governança de IA totalmente estruturado | 15% | SAP e Oxford Economics |
| Agentes de IA em produção sem controle de permissão ou acesso definido | 29% | SAP e Oxford Economics |
| Custo médio de uma violação de dados no Brasil em 2025 | R$ 7,19 milhões | IBM |
Dois números da tabela pedem leitura conjunta. Só 15% das empresas pesquisadas têm um processo de governança de IA pronto, enquanto 82% já convivem com o uso sem controle todos os dias. A distância entre esses dois percentuais é exatamente o espaço que a shadow AI ocupa hoje dentro da operação.
Por que o antivírus e o firewall não veem esse risco
A maior parte das PMEs protege a rede contra o problema de uma década atrás, como arquivo infectado, link malicioso ou acesso indevido a um sistema. O shadow AI escapa desse radar porque, tecnicamente, não configura uma invasão. É um colaborador autorizado, no próprio computador de trabalho, colando texto numa caixa de chat que atende por HTTPS, o mesmo protocolo de qualquer site confiável.
A situação piora quando a ferramenta chega disfarçada de recurso de produtividade dentro de um software que a empresa já contratou. O CRM ganha um botão para resumir com IA, o editor de texto sugere o parágrafo inteiro, e ninguém pede autorização para usar um recurso que já vem dentro do próprio contrato.
O que está em jogo quando o dado sai do perímetro da empresa
- Exposição de dado sensível. Contrato, planilha financeira, ficha de cliente ou trecho de código, uma vez dentro de uma ferramenta gratuita, saem do controle da empresa sobre onde serão guardados e processados depois.
- Perda de propriedade intelectual. Um documento estratégico colado numa conta pessoal deixa o perímetro legal da empresa sem o contrato de confidencialidade que existiria com um fornecedor formal.
- Decisão sem explicação possível. Quando um agente de IA participa da triagem de um chamado, de um currículo ou de uma análise de crédito sem registro formal, a empresa perde a capacidade de mostrar como aquela decisão foi tomada. O artigo 20 da LGPD já garante ao titular do dado o direito de pedir revisão de uma decisão automatizada que o afete, e a empresa precisa ter como responder.
- Risco regulatório em expansão. A ANPD recebeu, por projeto de lei complementar enviado pelo Executivo em dezembro de 2025, o papel de autoridade reguladora residual do Sistema Nacional de Inteligência Artificial, e colocou IA e tecnologias emergentes como um dos quatro eixos prioritários de fiscalização no biênio 2026-2027. O PL 2338/2023, aprovado no Senado em dezembro de 2024, segue em tramitação na Câmara, com votação adiada para depois das eleições de outubro deste ano. Isso não muda uma coisa, porém. A LGPD já vale hoje para qualquer uso de IA que processe dado pessoal, homologado ou não.
A mesma lógica apareceu quando tratamos dos indicadores de TI que a diretoria deve acompanhar. O que não é medido não entra na pauta da diretoria. O uso de IA sem controle é exatamente isso, um gasto e um risco que ficam invisíveis até aparecerem na conta errada.
Por que proibir simplesmente não resolve
O instinto mais comum diante desses números é bloquear o domínio no firewall ou publicar uma política proibindo o uso de IA sem autorização. A lógica parte de um raciocínio correto, incompleto apenas numa parte importante. O colaborador não recorre à ferramenta pessoal porque gosta de burlar regra. Ele recorre porque o processo formal de avaliação de uma ferramenta nova costuma levar semanas, e a versão gratuita resolve o problema dele em minutos.
Bloquear o acesso pela rede corporativa não elimina a pressão por produtividade que gerou a busca. Ela só migra para o celular pessoal do colaborador, fora de qualquer visibilidade da TI.
Enquanto isso, a mesma pesquisa da SAP mostra 29% das empresas já com agente de IA em produção sem controle de acesso definido. Esse número sugere que o problema de governança não para na ponta do colaborador. Ele sobe até decisões de diretoria sobre ferramentas que a própria empresa contratou.
Como estruturar a governança de IA sem precisar de um departamento de compliance
O NIST, órgão de padrões técnicos do governo americano, publicou o AI Risk Management Framework com quatro funções contínuas, pensadas para empresas de qualquer porte, mesmo sem meta de certificação formal.
- Governar. Alguém dentro da empresa, não precisa ser um cargo novo, assume a responsabilidade de aprovar ou recusar o uso de cada ferramenta de IA.
- Mapear. Um levantamento simples de onde a IA já está sendo usada hoje, inclusive nas sombras, antes de escrever qualquer regra nova.
- Medir. Para cada uso identificado, avaliar que tipo de dado passa por ali e qual o risco real se esse dado sair do lugar.
- Gerenciar. Tratar o risco encontrado, aprovando com ressalva, exigindo ajuste de contrato ou vetando o uso, e revisar essa lista com frequência fixa, porque ferramenta nova aparece todo mês.
Quando a empresa cresce e decide formalizar esse processo com certificação, existe um padrão internacional específico para isso. A ISO/IEC 42001, publicada em 2023, é a primeira norma internacional de sistema de gestão de inteligência artificial. Para a maioria das PMEs, as quatro funções do NIST aplicadas de forma leve já cobrem o essencial. A ISO entra na conversa quando um cliente grande ou um setor regulado exige evidência formal de conformidade.
O que uma PME pode fazer já nesta semana?
- Pergunte direto à equipe quais ferramentas de IA ela já usa no trabalho, sem tom de investigação. A maior parte dos colaboradores não esconde o uso, só nunca foi perguntada.
- Escreva, em poucas linhas, que tipo de dado nunca pode entrar numa ferramenta não homologada, como dado de cliente, contrato, informação financeira ou código-fonte.
- Ofereça uma alternativa aprovada e rápida. Se a empresa já paga por um CRM ou um pacote de produtividade com IA incluída, formalize o uso dessa IA antes de proibir qualquer outra.
- Marque uma revisão trimestral curta da lista de ferramentas aprovadas, porque uma ferramenta nova surge todo mês e a política que não se atualiza perde valor rápido.
Perguntas frequentes sobre shadow AI
O que é shadow AI?
Shadow AI é o uso de ferramentas ou modelos de inteligência artificial dentro da empresa sem aprovação formal da área de TI. O termo cobre conta pessoal de IA generativa, extensão de navegador, chave de API pessoal e recurso de IA embutido num software que a empresa já usa, processando dado sem avaliação prévia de risco.
Usar IA sem autorização no trabalho é crime?
Não existe um crime específico só pelo uso. O risco é regulatório. A LGPD já exige que a empresa explique decisões automatizadas e proteja dado pessoal, e a ANPD colocou inteligência artificial como prioridade de fiscalização para o biênio 2026 e 2027. O uso sem controle aumenta a chance de a empresa não conseguir provar que cumpriu a lei.
Bloquear o acesso a ferramentas de IA no computador da empresa resolve o problema?
Reduz parte do uso, mas não resolve por completo. Empresas com política rígida ainda registram uso não autorizado, porque o bloqueio não elimina a pressão por produtividade que levou o colaborador a buscar a ferramenta. Ela só migra para o celular pessoal, fora do controle da área de TI.
Minha empresa pequena precisa seguir a NIST ou a ISO 42001?
Não precisa adotar o framework inteiro nem buscar certificação para começar. As quatro funções do NIST AI RMF, governar, mapear, medir e gerenciar, funcionam como guia prático mesmo numa aplicação simples, sem departamento de compliance. A ISO 42001 entra quando o mercado ou um cliente grande exige evidência formal.
Como saber se minha empresa já tem shadow AI?
A forma mais rápida é perguntar direto à equipe quais ferramentas de inteligência artificial ela usa no trabalho, sem tom acusatório. Pesquisa da SAP com a Oxford Economics mostra que 82% das empresas brasileiras já têm esse uso instalado. A pergunta certa está mais no tamanho do uso do que na dúvida sobre se ele existe.
Como a HelpDigital ajuda sua empresa a sair da sombra da IA
Esse uso sem controle aparece quando a empresa ainda não decidiu, de forma formal, o que pode e o que não pode entrar numa ferramenta de inteligência artificial. Essa decisão não exige um departamento de compliance. Exige um processo simples, repetido com disciplina.
Um parceiro de serviços gerenciados de TI atua exatamente nesse ponto. Ele faz o levantamento de onde a IA já está em uso, ajuda a desenhar a política de dado permitido e vetado, monitora o que roda na rede da empresa e mantém essa lista viva, porque ferramenta nova aparece todo mês e a revisão não pode parar.
A HelpDigital é uma rede de franquias de TI com foco em serviços gerenciados, com sede em Goiânia (GO). As unidades franqueadas atendem empresas da própria região usando a metodologia e o suporte da rede, o que inclui apoiar o cliente a estruturar a governança de ferramentas digitais, inclusive as de inteligência artificial, sem travar a produtividade que a equipe já conquistou.
Se a sua empresa quer sair da sombra da IA com uma estrutura real por trás, conheça os serviços da HelpDigital em helpdigitalti.com.br. E se você trabalha com TI e vê essa mesma demanda crescer todos os dias nos seus próprios clientes, vale conhecer o modelo de franquia HelpDigital.
Publicado em 20 de outubro de 2026.
Fernando Aurelio é Founder & CEO da HelpDigital, com mais de 30 anos de experiência em TI e mais de 20 anos à frente de negócios. Lidera a rede de franquias de serviços gerenciados a partir de Goiânia (GO).