Shadow AI: quase metade do uso de IA nas empresas acontece em contas pessoais
Um novo relatório da Akamai escancara um problema que muita organização ainda subestima: 47% do uso corporativo de ferramentas de inteligência artificial acontece em contas pessoais de funcionários. Ou seja, quase metade das interações que envolvem dados, processos e decisões da empresa ocorre fora do alcance direto da área de TI e de segurança.
Esse fenômeno, conhecido como shadow AI, não está ligado apenas à escolha da ferramenta, mas sobretudo ao que é compartilhado com ela: documentos, planilhas, bases de clientes, trechos de código, capturas de tela, planos estratégicos e outras informações sensíveis que passam a trafegar por plataformas que a empresa não monitora, não controla e, muitas vezes, sequer sabe que estão em uso.
Uso descentralizado e perda de visibilidade
De acordo com o relatório State of the Internet (SOTI): The Enterprise AI Usage Risk Report 2026, da Akamai, a adoção de IA nas empresas tem sido muito mais rápida do que a criação de mecanismos de governança, políticas e controles. O resultado é um ecossistema fragmentado de ferramentas, extensões de navegador, apps e contas individuais, utilizado para acelerar tarefas do dia a dia – mas sem um mínimo de visibilidade centralizada.
Funcionários recorrem a diferentes plataformas para redigir documentos, resumir reuniões, analisar dados, gerar código, traduzir textos, criar apresentações e até apoiar decisões de negócio. Quando isso ocorre em contas pessoais, com logins privados e fora do domínio corporativo, a organização perde a capacidade de saber:
– quais ferramentas de IA estão em uso;
– que tipo de dado está sendo inserido nos prompts;
– onde essas informações ficam armazenadas;
– quem mais pode ter acesso a esse conteúdo.
Essas lacunas de visibilidade abrem espaço para vazamento de dados, exposição acidental de segredos de negócio, uso de extensões vulneráveis e novas superfícies de ataque para cibercriminosos.
Novos caminhos para dados sensíveis
O relatório destaca que a IA criou uma nova rota de circulação de dados corporativos. Hoje, informações estratégicas podem ser enviadas a modelos de IA por múltiplos caminhos:
– prompts de texto com detalhes de projetos, contratos ou negociações;
– uploads de arquivos contendo dados pessoais, financeiros ou de clientes;
– envios de trechos de código com chaves de API, credenciais ou lógicas de negócio;
– capturas de tela de painéis internos, CRMs ou dashboards de gestão;
– integrações e plugins que conectam sistemas internos diretamente à IA.
Quando tudo isso é feito a partir de contas pessoais, sem política clara de uso, a organização perde o controle sobre o ciclo de vida desses dados. Em muitos casos, o colaborador nem percebe que está violando normas internas ou leis de proteção de dados – apenas tenta ganhar produtividade.
Shadow AI: quando a IA opera nas sombras
Shadow AI é o termo usado para descrever o uso de ferramentas de inteligência artificial sem o conhecimento, aprovação ou monitoramento das áreas de TI e segurança. É uma evolução do antigo conceito de shadow IT, mas com um agravante: agora, além da ferramenta, os próprios dados e decisões passam a ser mediados por modelos de IA.
O problema não é o colaborador utilizar IA para ser mais eficiente. O risco está em fazer isso com:
– contas pessoais de e-mail ou plataformas;
– aplicações não avaliadas do ponto de vista de segurança;
– extensões de navegador de origem duvidosa;
– configurações padrão, sem qualquer ajuste de privacidade.
Nesse cenário, a organização não consegue saber se os dados enviados serão usados para treinar o modelo, se podem ser acessados por terceiros, quanto tempo permanecerão armazenados ou se há mecanismos robustos de exclusão.
Agentes autônomos como nova identidade corporativa
Outro alerta da Akamai é a rápida evolução dos agentes autônomos e navegadores com IA, capazes de interagir diretamente com sistemas internos, fluxos de trabalho e bases de dados corporativas. Em vez de apenas responder perguntas, essas soluções passam a executar ações: criar tickets, alterar registros, disparar e-mails, configurar serviços e muito mais.
À medida que esses agentes ganham autonomia, a recomendação é tratá-los como uma nova classe de identidade corporativa. Isso implica:
– conceder a eles credenciais próprias, não compartilhadas com usuários humanos;
– aplicar princípios de mínimo privilégio e separação de funções;
– monitorar suas ações da mesma forma que contas de usuários e serviços;
– registrar trilhas de auditoria para toda decisão ou alteração realizada pela IA.
Ignorar esse movimento é abrir espaço para fraudes, alterações indevidas e exploração de contas de agentes por atacantes, especialmente se essas identidades não estiverem sob o mesmo regime de governança que as demais.
Restringir ou governar? O verdadeiro dilema das empresas
Para a Akamai, tentar simplesmente proibir ou bloquear o uso de IA não é uma estratégia realista. Os ganhos de produtividade e a pressão competitiva fazem com que colaboradores encontrem meios alternativos de usar essas tecnologias, mesmo à revelia das políticas internas.
O foco, portanto, não deve ser banir, mas criar visibilidade e governança. As empresas que tratam IA apenas como “mais uma moda” tendem a acumular riscos silenciosos: dados espalhados por múltiplas plataformas, dependência de contas pessoais e ausência de trilhas de auditoria sobre decisões importantes mediadas por algoritmos.
Por outro lado, organizações que assumem uma postura proativa trabalham para entender como a IA já está sendo usada internamente, quais necessidades reais ela está suprindo e como trazer esse uso para um ambiente controlado.
Como reduzir os riscos do uso de IA nas empresas
Embora o relatório da Akamai destaque o desafio, ele também aponta um caminho de mitigação. Entre as principais recomendações práticas que podem ser adotadas pelas organizações estão:
1. Mapear o uso real de IA
Antes de criar regras, é essencial descobrir o que já está acontecendo. Monitorar tráfego para serviços populares de IA, fazer entrevistas com equipes e identificar extensões de navegador em uso ajuda a construir um inventário inicial de ferramentas e casos de uso.
2. Definir uma política clara de uso de IA
A empresa precisa estabelecer, por escrito, o que é permitido, o que é proibido e em quais condições a IA pode ser utilizada. Isso inclui diretrizes sobre: tipos de dados que podem ou não ser compartilhados, uso de contas pessoais, aprovação de novas ferramentas e responsabilidades de cada área.
3. Oferecer soluções corporativas seguras
Se a organização não disponibiliza alternativas oficiais, o colaborador vai buscar as próprias soluções. Disponibilizar plataformas de IA aprovadas, com contas corporativas e configurações de privacidade ajustadas, reduz a tentação de usar contas pessoais e serviços paralelos.
4. Implementar controles de acesso e monitoramento
Toda ferramenta de IA integrada a sistemas internos deve seguir o mesmo padrão de segurança das demais aplicações: autenticação forte, gestão de privilégios, logs detalhados e monitoramento contínuo de atividades suspeitas.
5. Treinar colaboradores sobre riscos e boas práticas
Muitos incidentes de vazamento começam com um simples “copiar e colar”. Capacitar as equipes para entender o que é dado sensível, como funciona o treinamento de modelos, quais informações nunca devem ser inseridas em prompts e como usar IA de forma responsável é fundamental para reduzir a superfície de risco.
6. Tratar agentes de IA como identidades completas
Sempre que um agente ou assistente de IA puder executar ações em sistemas internos, ele deve possuir credenciais específicas, com permissões limitadas, revisão periódica de acessos e logs próprios para auditoria.
7. Revisar processos à luz da LGPD e outras normas
Se a empresa lida com dados pessoais, o uso de IA precisa ser alinhado à legislação de proteção de dados. Isso inclui avaliar bases legais para tratamento, garantir transparência, implementar medidas de segurança proporcionais ao risco e manter registros das operações realizadas com suporte de IA.
Shadow AI e LGPD: onde as empresas mais escorregam
O uso de IA em contas pessoais aumenta a chance de descumprir obrigações legais sem que a empresa sequer perceba. Quando dados pessoais de clientes, colaboradores ou parceiros são inseridos em ferramentas de IA fora do controle da organização, podem surgir problemas como:
– ausência de base legal clara para aquele compartilhamento;
– transferência internacional de dados sem avaliação adequada;
– dificuldade de atender pedidos de acesso, correção ou exclusão;
– falta de registro das operações de tratamento realizadas por meio de IA.
Além de multas e sanções, isso pode gerar danos reputacionais significativos, especialmente se vier à tona que informações sensíveis foram expostas por descuido ou falta de controle interno.
Como transformar a IA de ameaça em aliada
Apesar dos riscos, a IA pode – e deve – ser uma aliada da segurança e da conformidade, desde que seu uso seja planejado. É possível, por exemplo, utilizar modelos de IA para:
– detectar comportamentos anômalos em acessos e transações;
– apoiar a análise de logs e eventos de segurança;
– automatizar respostas a incidentes de baixa complexidade;
– ajudar na classificação de dados e identificação de informações sensíveis;
– apoiar revisões de código sob a ótica de segurança.
Ao trazer a IA para dentro de um arcabouço de governança, a organização deixa de combater o uso da tecnologia e passa a direcioná-la para objetivos estratégicos, inclusive na própria proteção contra os riscos que ela mesma pode introduzir.
Passos práticos para começar hoje
Empresas que ainda não endereçaram o tema podem iniciar com algumas ações rápidas:
– criar um grupo de trabalho envolvendo TI, segurança, jurídico, RH e áreas de negócio para discutir diretrizes de IA;
– emitir uma comunicação interna inicial orientando sobre o risco de usar contas pessoais e ferramentas não aprovadas;
– identificar, com base em amostras ou entrevistas, os casos de uso mais comuns e priorizá-los para formalização;
– escolher uma ou mais soluções corporativas de IA para testes controlados, sob supervisão da área de segurança.
A partir daí, é possível evoluir para uma estratégia mais ampla, integrando IA à gestão de riscos, à arquitetura de segurança e às políticas de proteção de dados.
—
O relatório da Akamai deixa claro que o problema não é a inteligência artificial em si, mas a forma como ela é adotada. Em um cenário em que 47% do uso corporativo de IA já acontece em contas pessoais, ignorar o shadow AI é aceitar que dados estratégicos circulem nas sombras. As organizações que assumirem o controle agora terão vantagem não apenas em segurança, mas também em inovação e competitividade.