Um analista cola o histórico de negociação com um cliente importante em um chatbot público de inteligência artificial, só para pedir ajuda a organizar melhor uma proposta comercial. Nenhum alarme dispara, nenhum log de segurança registra nada de anormal, e a empresa nunca vai saber que aquele dado sensível acabou de sair do próprio perímetro de proteção. Rolando Bonaccorsi, diretor de operações da Vert Analytics, descreve esse cenário como cada vez mais comum dentro de empresas brasileiras de todos os portes.
O fenômeno tem nome: shadow AI, uso de ferramentas de inteligência artificial generativa por colaboradores sem qualquer conhecimento ou autorização formal da área de tecnologia. A resposta mais instintiva de muitas empresas, proibir explicitamente o uso dessas ferramentas, raramente funciona da forma que a liderança imagina.
O vazamento que não dispara alarme nenhum
Diferente de um ataque externo, que normalmente deixa rastros técnicos identificáveis, um funcionário colando dados sensíveis em um chatbot público não gera qualquer evidência dentro dos sistemas internos de monitoramento tradicionalmente usados pelas equipes de segurança da informação, transmite Rolando Bonaccorsi.
Essa invisibilidade é justamente o que torna o problema tão perigoso: a maioria das empresas simplesmente não sabe, com qualquer precisão, quais dados corporativos já foram compartilhados com ferramentas externas de inteligência artificial ao longo dos últimos meses de uso cotidiano por parte de suas equipes.
Contratos, planilhas de clientes e trechos de código proprietário estão entre os tipos de informação mais frequentemente compartilhados dessa forma, geralmente com boa intenção, sem qualquer percepção por parte do colaborador de que aquele gesto simples representa, tecnicamente, transferência de um ativo sensível da empresa para fora de qualquer perímetro de segurança conhecido.
Por que proibir só empurra o problema para mais escondido?
Bloquear tecnicamente o acesso a ferramentas populares de IA generativa, sem oferecer alternativa viável para a mesma necessidade que motivou aquele uso, tende a apenas deslocar o comportamento: funcionários passam a usar aplicativos pessoais no próprio celular, fora de qualquer rede corporativa monitorada.
Rolando Bonaccorsi pondera que essa dinâmica se assemelha ao antigo problema de shadow IT, quando equipes adotavam softwares não aprovados por conta própria, com a diferença de que ferramentas de IA generativa entregam valor imediato tão evidente que proibição pura, sem alternativa, raramente sobrevive ao primeiro prazo apertado enfrentado por qualquer colaborador comum.
O que realmente reduz o uso não autorizado
Empresas que oferecem uma ferramenta interna de IA, bem integrada aos próprios dados corporativos, mais precisa e mais contextualizada do que qualquer alternativa pública genérica, observam queda significativa no uso de ferramentas externas não aprovadas pelos colaboradores.
Rolando Bonaccorsi resume a lógica por trás desse resultado: pessoas buscam o caminho mais fácil disponível para completar uma tarefa. Quando a opção segura é também a mais conveniente, a motivação para contornar controles simplesmente desaparece, sem exigir fiscalização constante ou ameaça disciplinar direcionada a cada colaborador individualmente.
A pergunta certa não é se, é quanto
Para qualquer liderança técnica, a pergunta mais honesta a se fazer não é se colaboradores estão usando inteligência artificial generativa fora dos canais autorizados, já que a resposta é praticamente sempre afirmativa. A pergunta útil é quanto dano potencial esse uso não controlado já representa para a empresa.
Rolando Bonaccorsi considera essa mudança de pergunta o primeiro passo real para qualquer estratégia de governança eficaz: partir do pressuposto de que o uso já acontece, mapear onde ele é mais provável e mais arriscado, e construir estrutura que torne o caminho seguro também o caminho mais simples para quem só quer terminar o trabalho do dia.
Essa mudança de postura, de reação punitiva para governança proativa, exige investimento real em ferramentas internas e em comunicação clara sobre riscos, mas costuma custar significativamente menos do que lidar com as consequências regulatórias e reputacionais de um vazamento de dados descoberto tarde demais, já espalhado por conversas que a empresa nunca teve como rastrear ou controlar.
