Enquanto a adoção de IA nas empresas brasileiras saltou de 20% para 51% em apenas 12 meses, um problema invisível cresce na mesma velocidade: três em cada quatro profissionais já usam assistentes de IA pessoais no trabalho, mas apenas 30% das empresas possuem políticas claras sobre essa prática.
O resultado é o aumento exponencial do Shadow AI, o uso de ferramentas de inteligência artificial sem aprovação ou governança corporativa, que coloca dados sensíveis em risco, expõe empresas a violações da LGPD e pode custar até US$ 670 mil a mais por incidente de segurança.
Dispositivos corporativos: a porta de entrada do Shadow AI
Os números vêm do Índice de Transformação Digital Brasil 2025 (PwC Brasil) e do estudo Work:InProgress (Google Workspace). Juntos, eles mostram que a adoção da IA acontece nos dispositivos corporativos, na maioria das vezes, sem qualquer visibilidade da área de TI.
É nesse ponto cego entre distribuição de hardware e governança de software que o Shadow AI se instala.
Para Vinícius Olivério, CTO da Urmobo, plataforma especializada em gestão e segurança de dispositivos corporativos, o Shadow AI é, antes de tudo, um problema de visibilidade. "Quando falamos de Shadow AI, estamos falando de aplicativos instalados em smartphones, tablets e notebooks corporativos sem qualquer controle do TI. A empresa sabe quantos dispositivos tem, mas não sabe o que está rodando neles", afirma.
Segundo Olivério, a resposta seria ampliar a visibilidade sobre os dispositivos antes que o problema se torne um incidente. Plataformas de gerenciamento centralizadas podem identificar quais ferramentas estão instaladas, quem as utiliza e quais dados estão sendo acessados, para que seja possível agir antes que ocorram vazamentos.
Governança sem bloquear a inovação
Mas a falta de visibilidade é apenas parte do problema. Para os especialistas, a adoção da IA ocorreu mais rápido do que a criação de políticas internas capazes de orientar seu uso.
Rodrigo Hülsenbeck, CEO da Premiersoft, especializada em desenvolvimento de software e alocação estratégica de profissionais para grandes corporações, resume que o desafio está na ausência de regras. "Governança em IA não significa burocratizar a inovação. Quando não há políticas claras, ferramentas homologadas e orientação, não há controle sobre quais dados são compartilhados e quais riscos são assumidos".
Para Marcos Gomes, sócio-fundador da Dédalo, consultoria especializada em certificações ISO e normas de Segurança e Privacidade, a tecnologia precisa caminhar junto com a conscientização das equipes. "A maioria dos colaboradores não tem intenção maliciosa, apenas desconhece os riscos técnicos envolvidos. Contudo, o Shadow AI não é apenas um problema de TI, mas um risco de compliance e governança. Empresas sem protocolos claros operam com uma vulnerabilidade crítica", alerta Gomes.
Na prática, essa governança depende menos de bloqueios e mais da criação de alternativas seguras para os colaboradores.
A avaliação é compartilhada por Daniel Torres, CEO da Roboteasy, especializada em automação e inteligência artificial para empresas: "Proibir não funciona. Assim como aconteceu com o Shadow IT, bloquear as ferramentas apenas aumenta o uso invisível", afirma.
Segundo o executivo, oferecer plataformas corporativas homologadas, definir políticas simples e investir na capacitação contínua reduz a necessidade de soluções paralelas.
Como transformar políticas em controles reais
Especialistas defendem que a governança só se torna efetiva quando deixa de depender exclusivamente do comportamento dos colaboradores e passa a fazer parte da própria infraestrutura tecnológica.
Bernardo Rachadel, diretor de IA da Zucchetti Brasil, provedora de software de gestão empresarial, afirma que isso exige combinar diretrizes organizacionais com mecanismos técnicos de proteção.
"A governança precisa estar incorporada à própria arquitetura da tecnologia, tornando determinadas violações impossíveis por padrão. Assim, existe a liberdade para inovar, mas dentro dos limites da governança", reforça.
Shadow Knowledge: o risco de perder conhecimento estratégico
Além do risco de vazamentos de dados, especialistas alertam para outro efeito menos discutido: a perda de conhecimento gerado dentro das próprias ferramentas de IA.
Para Carlos Eduardo Nascimento Guimarães, gerente de governança corporativa da Mirante Tecnologia, empresa especializada em modernização de sistemas e cocriação, muitas empresas ainda restringem o debate à segurança da informação, mas existe outra vulnerabilidade importante: o Shadow Knowledge.
"Os funcionários passaram a utilizar soluções de IA em seus próprios dispositivos e muito conhecimento é produzido dentro de chats pessoais. Quando um colaborador deixa a empresa, perde-se todo aquele know-how, pois ele nunca foi registrado em sistemas corporativos", explica Carlos.
Segundo ele, reconhecer o Shadow AI como um risco corporativo e criar um ambiente com ferramentas homologadas, critérios claros e capacitação contínua é o primeiro passo para enfrentar esse cenário.
O Shadow AI como sintoma da transformação
Para Rodrigo Perenha, diretor de tecnologia da Kamino, plataforma de automação financeira, o Shadow AI também deve ser entendido como um reflexo da transformação no ambiente de trabalho.
"Historicamente, toda vez que uma tecnologia aumenta muito a produtividade, as pessoas encontram um jeito de utilizá-la", afirma.
Na avaliação do executivo, o uso não autorizado revela uma demanda que as empresas ainda não conseguiram atender. "O Shadow AI é, na verdade, muito mais um sintoma do que o problema em si. Quando um colaborador utiliza uma ferramenta de IA sem autorização, normalmente não está tentando burlar a empresa, mas sim tentando ser mais produtivo", sinaliza.
Da visibilidade à ação
Para especialistas, o caminho está em transformar o Shadow AI de problema invisível em oportunidade de estruturação. Isso passa por três frentes: criar visibilidade técnica sobre o que está rodando nos dispositivos corporativos, oferecer alternativas seguras homologadas pela empresa e estabelecer políticas claras que orientem o uso sem burocratizar a inovação.
Fabio Brodbeck, cofundador e CGO da OSTEC, empresa referência em soluções de cibersegurança, reforça que o desafio não é impedir o uso da inteligência artificial, mas criar uma estrutura que permita sua adoção de forma segura. "O problema central não está na tecnologia em si, mas na ausência de governança sobre as informações compartilhadas. Quanto mais rápido as empresas estruturarem essa governança, menor será o custo de gerenciar o risco", conclui.
