O funcionário abre um chatbot de inteligência artificial no navegador, cola um contrato ou uma planilha e pede um resumo. A cena é cada vez mais comum e, muitas vezes, acontece sem que a empresa saiba. O fenômeno já tem nome: shadow AI, o uso de ferramentas de IA fora dos canais aprovados pela organização.
Os números mostram o tamanho da questão. Em pesquisa com 302 líderes de cibersegurança, o Gartner identificou que 69% das organizações suspeitam ou têm evidências de que funcionários usam ferramentas públicas de IA generativa proibidas. A consultoria projeta que, até 2030, mais de 40% das empresas no mundo vão enfrentar incidentes de segurança ou de conformidade ligados a esse uso não autorizado.
Por que proibir não resolve
Para a White Cube, consultoria de dados e IA, bloquear tudo costuma ter o efeito contrário ao esperado. O atrito e a frustração levam as equipes a migrar, sem alarde, para contas pessoais, e o uso volta exatamente para a sombra que se queria eliminar.
O caso da Samsung virou referência. Em 2023, a empresa restringiu o uso de IA generativa em dispositivos e redes corporativos depois que engenheiros enviaram código-fonte a um chatbot público. A proibição foi a resposta mais rápida, mas não necessariamente a mais eficaz.
Trazer o uso para dentro
A proposta da White Cube é oferecer um ambiente aprovado e acompanhar o que acontece nele. Na plataforma White Conductor, desenvolvida pela empresa, os controles de segurança, chamados guardrails, avaliam cada mensagem antes que ela chegue ao modelo de IA, com base em regras definidas pela própria organização.
No modo shadow, a mensagem é processada normalmente, mas o administrador recebe um alerta sempre que uma regra é tensionada. Apesar do nome, esse modo funciona como o oposto da shadow AI: em vez de deixar o uso escondido, mostra ao gestor quais áreas e quais temas concentram os desvios. Já o modo block impede o envio do que não admite exceção, como dados pessoais sensíveis ou código-fonte proprietário.
As regras são escritas pelo próprio administrador em linguagem natural, como se fossem trechos da política interna, e a plataforma avalia a intenção e o conteúdo da mensagem, não apenas palavras-chave. Isso evita que o controle seja driblado com a troca de um termo. Um exemplo de regra que gera alerta, sem bloquear: “Sinalizar pedidos de avaliação de desempenho ou de comparação salarial envolvendo colaboradores identificados pelo nome.”
Como a avaliação em linguagem natural é probabilística, o modo shadow também serve para testar uma regra nova e medir quantos falsos positivos ela gera antes de transformá-la em bloqueio.
Uso que só cresce
A atenção ao tema acompanha a velocidade da adoção. Segundo estudo da IDC feito a pedido da ABES (Associação Brasileira das Empresas de Software), 86% das empresas brasileiras já usam IA generativa em suas operações, mas apenas 48% afirmam ter dados bem estruturados e governados.
O acompanhamento também tem limites. O alerta que chega ao administrador é tratamento de dados pessoais dos colaboradores e, por isso, deve ser transparente, proporcional e previsto na política interna.
Identificar a shadow AI na empresa, portanto, começa por dar ao funcionário uma ferramenta aprovada e ao gestor visibilidade sobre o uso: alertas que mostram onde a política está sendo testada e indicam onde treinar a equipe ou ajustar regras, como parte de uma estratégia de governança de IA.
O post Shadow AI: como a empresa descobre que os funcionários já usam IA sem autorização apareceu primeiro em UAI Notícias.