82% das empresas brasileiras já têm funcionários usando ferramentas de IA generativa sem aprovação da TI, segundo levantamentos recentes do setor. O problema não é a IA em si — é que ninguém sabe o que está sendo colado nela.

O Que É Shadow AI

Shadow AI é o uso de ferramentas de inteligência artificial — ChatGPT, Gemini, Copilot, assistentes de IA em extensões de navegador — por funcionários, sem que a empresa tenha aprovado, cadastrado ou monitorado essas ferramentas. É a mesma lógica do Shadow IT de sempre, só que agora o funcionário não está instalando um software não autorizado: ele está colando dados confidenciais em uma caixa de texto fora do controle da empresa.

O padrão é sempre parecido: um analista financeiro cola uma planilha de margens em uma IA para gerar um resumo rápido. Um advogado interno pede para "revisar" um contrato com um cliente. Um desenvolvedor cola um trecho de código com uma chave de API embutida para pedir ajuda a depurar um erro. Nenhum desses casos passa por aprovação, DLP ou revisão de segurança — simplesmente acontece, todos os dias, em milhares de empresas.

Por Que Isso Virou um Problema Real em 2026

Os números deixaram de ser hipotéticos. Pesquisas setoriais publicadas neste ano apontam que empresas brasileiras registram, em média, centenas de eventos de possível vazamento de dados via ferramentas de IA por mês — e a maioria das organizações não tem visibilidade nenhuma sobre isso. Outro dado relevante: a maior parte das empresas que ainda não tem uma política formal de uso de IA (regras escritas sobre quais ferramentas podem ser usadas, com quais dados e sob qual aprovação) está mais exposta à fiscalização do PL 2338, o projeto de lei que regula o uso de inteligência artificial no Brasil.

Isso cria um problema em duas camadas. A primeira é técnica: dado confidencial saindo da empresa para um provedor terceiro, sem contrato de confidencialidade, sem saber onde esse dado é armazenado ou se é usado para treinar outros modelos. A segunda é regulatória: se esse dado inclui informação pessoal de clientes ou funcionários, a empresa pode estar violando a LGPD mesmo sem perceber — porque o vazamento não parece um "incidente", parece só alguém sendo produtivo.

Como o Vazamento Acontece na Prática

• Resumo de documentos sensíveis: contratos, propostas comerciais ou laudos jurídicos colados inteiros em uma IA pública para gerar um resumo ou tradução.
• Análise de dados financeiros: planilhas com receita, margem ou dados de clientes enviadas para "identificar tendências" ou montar um gráfico.
• Código-fonte e credenciais: desenvolvedores colando trechos de código com chaves de API, strings de conexão com banco de dados ou tokens de autenticação para pedir ajuda a corrigir um bug.
• Atendimento ao cliente: dados pessoais de clientes (nome, CPF, histórico de compra) colados em uma IA para "redigir uma resposta melhor" a um chamado.
• Extensões de navegador não auditadas: plugins de IA instalados no Chrome que têm acesso a tudo o que o funcionário vê e digita, inclusive em sistemas internos.

Nenhum desses casos passa por um firewall ou por uma regra de DLP tradicional, porque tecnicamente não é um "vazamento" no sentido clássico — é o próprio funcionário enviando o dado, de boa-fé, para fora da empresa.

Como Mapear e Controlar o Uso de IA na Sua Empresa

1. Faça um inventário real de uso: levante quais ferramentas de IA já estão sendo usadas hoje, mesmo sem aprovação — via análise de tráfego de rede, logs de proxy ou pesquisa direta com as equipes.
2. Defina uma política de uso de IA por escrito: quais ferramentas são permitidas, quais tipos de dado nunca podem ser inseridos nelas (dados pessoais, financeiros, código com credenciais) e quem aprova exceções.
3. Bloqueie ou limite ferramentas não aprovadas: use filtros de rede e políticas de navegador para restringir acesso a IAs públicas em estações que lidam com dado sensível, oferecendo uma alternativa aprovada no lugar.
4. Treine as equipes com exemplos concretos: a maioria dos funcionários não tem ideia de que colar um contrato em um chatbot é um risco de segurança — o problema é educação, não má-fé.
5. Audite periodicamente: revisite o inventário e os logs a cada trimestre, porque novas ferramentas de IA aparecem constantemente e a lista de "shadow" nunca para de crescer sozinha.

Shadow AI e Governança: Por Que Isso Também É Pauta de Contrato

Empresas que vendem para outras empresas (B2B) estão sentindo esse problema de um ângulo diferente: contratos corporativos já cobram comprovação de governança sobre uso de IA como pré-requisito para fechar negócio, especialmente em setores regulados. Não ter visibilidade sobre Shadow AI deixa de ser só um risco técnico interno e passa a ser um motivo real de perda de contrato. Esse é exatamente o ponto em que compliance de IA e segurança da informação se encontram — um tema que detalhamos no artigo sobre ISO 42001 e governança de IA.

E quando a própria empresa constrói aplicações com IA — chatbots, assistentes internos, automações com LLM — o risco se soma: além do uso descontrolado por funcionários, existe a superfície de ataque da aplicação de IA em si, que exige um tipo de teste diferente do pentest tradicional. Cobrimos isso em detalhe no post sobre pentest em aplicações de IA e LLMs.

Mapear o uso de IA, formalizar uma política e validar se os controles realmente funcionam na prática é, hoje, parte do mesmo trabalho de governança de segurança que a LDL Security já faz para LGPD, ISO 27001 e outras certificações.

Fale com a LDL Security sobre governança e compliance de segurança →