Shadow AI: 43% dos Funcionários Brasileiros Já Usam IA no Trabalho Sem Contar Para Ninguém e Isso É Um Problema de Governança, Não de TI

Existe um experimento que qualquer gestor pode fazer agora mesmo. Pergunte para alguém do seu time se eles já usaram ChatGPT, Gemini, Claude ou qualquer outra ferramenta de IA para resolver um problema de trabalho usando dados da empresa. Sem aviso prévio, sem julgamento.

Na maior parte dos casos, a resposta honesta será sim.

Um estudo inédito da WeWork revelou que 43% dos colaboradores brasileiros utilizam IA por iniciativa própria no trabalho, sem autorização formal ou conhecimento da empresa. Uma pesquisa da Netskope com base em telemetria de milhões de usuários corporativos ao redor do mundo encontrou um número ainda mais perturbador: a empresa média registra 223 incidentes de violação de políticas de dados relacionados à inteligência artificial generativa por mês. E esses incidentes mais que dobraram em relação ao ano anterior.

Esse fenômeno tem nome. Chama-se Shadow AI. E em 2026, se tornou o maior desafio de governança corporativa que a maioria das empresas brasileiras ainda não reconheceu como prioridade.

O que é Shadow AI e por que é diferente do Shadow IT

Shadow IT, o fenômeno de colaboradores instalando softwares ou usando serviços em nuvem sem aprovação da área de TI, existia há décadas. Era problemático, mas relativamente rastreável. Um arquivo no Dropbox pessoal ou um software não licenciado tinham escopo limitado de dano.

Shadow AI opera em uma escala de risco completamente diferente.

Quando um colaborador usa o ChatGPT pessoal para redigir um documento jurídico com cláusulas contratuais da empresa, quando alguém cola uma lista de clientes em um assistente de IA para gerar um relatório mais rápido, quando um desenvolvedor usa Copilot em uma conta pessoal para trabalhar em código proprietário, esses dados saem da empresa. Vão para servidores de terceiros. Podem alimentar modelos de linguagem futuros. Podem ser acessados por pessoas que não deveriam ter acesso.

O Gartner foi diretamente ao ponto em uma pesquisa com 302 líderes de cibersegurança: 69% afirmam suspeitar ou ter evidências de que funcionários usam ferramentas públicas de IA generativa proibidas pela empresa. Mais da metade dos colaboradores brasileiros já colou dados corporativos em uma ferramenta de IA generativa sem autorização, segundo dados consolidados do setor de segurança. Contratos, relatórios financeiros, código-fonte, listas de clientes, informações de pacientes.

Incidentes em que Shadow AI é fator contribuinte custam, em média, US$ 670 mil a mais do que um vazamento de dados típico, segundo estudo da IBM sobre custo de incidentes.

Por que proibir não funciona

A resposta instintiva de muitas áreas de TI e jurídico quando descobrem a dimensão do problema é proibir. Bloquear o acesso a ferramentas de IA generativa na rede corporativa, criar políticas de uso que restringem ou proíbem o uso de IA externa.

O problema é que proibir não funciona. Os dados mostram isso com clareza.

Uma pesquisa da Cisco com 2.600 profissionais de segurança e privacidade em 12 países revelou que 27% das organizações baniram totalmente ferramentas de IA generativa. Mesmo assim, 48% dos funcionários dessas mesmas empresas admitiram ter inserido informações não públicas nessas ferramentas. Quando o colaborador não tem acesso na rede corporativa, usa o celular pessoal. Quando o celular é restrito, usa o computador de casa.

O Gartner projeta que, até 2027, mais de 75% dos funcionários de grandes empresas estarão usando IA não aprovada como parte da rotina, independentemente de haver política formal contrária. A realidade tecnológica e a demanda por produtividade são mais fortes do que qualquer proibição que não seja acompanhada de uma alternativa real.

O risco específico para empresas brasileiras: LGPD

Para empresas brasileiras, o Shadow AI não é apenas um risco operacional. É um risco jurídico concreto.

A LGPD estabelece que a empresa é responsável pelo tratamento de dados pessoais que coleta e processa, independentemente de quem dentro da organização realizou o tratamento. Quando um colaborador cola dados de clientes em uma ferramenta de IA pública sem autorização, a empresa pode ser responsabilizada pelo tratamento irregular desses dados.

A ANPD está aumentando a frequência das fiscalizações em 2026. Multas por violação da LGPD podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração. Mas o impacto reputacional de um vazamento associado a uso não autorizado de IA pode ser muito mais caro do que qualquer multa.

Além disso, a entrada em vigor do Marco Legal da IA vai criar uma camada adicional de exigência sobre rastreabilidade e auditabilidade de sistemas de IA usados nas empresas. Shadow AI, por definição, não tem rastreabilidade nem auditabilidade.

O que está por trás do comportamento: o colaborador não é o vilão

Existe uma armadilha frequente na discussão sobre Shadow AI: tratar o colaborador que usa ferramentas não autorizadas como o problema. Ele não é.

O colaborador que usa IA generativa sem autorização está sendo produtivo. Está resolvendo problemas reais com ferramentas que funcionam. O problema não é o comportamento dele. É a ausência de uma alternativa corporativa à altura.

Três gatilhos explicam a explosão do Shadow AI nas empresas brasileiras.

Atrito com o processo formal. O colaborador não está disposto a esperar seis semanas de avaliação jurídica e aprovação de TI para usar uma ferramenta que resolve seu problema em minutos. Enquanto a burocracia corporativa se move em meses, a tecnologia se move em semanas.

Ferramentas corporativas inferiores. Quando o ChatGPT público entrega resultados significativamente melhores do que a ferramenta de IA aprovada pela empresa, a escolha do colaborador é previsível. A produtividade vence a conformidade quando não existe alternativa comparável.

Ausência de educação sobre os riscos. A maioria dos colaboradores que usa ferramentas de IA não autorizadas não tem consciência plena do que acontece com os dados que insere. Não é má-fé. É falta de alfabetização em segurança de dados adaptada ao contexto da IA.

Como resolver o problema de forma estruturada

A saída que funciona combina três frentes simultaneamente.

Oferecer uma alternativa corporativa à altura. Quando a empresa fornece uma plataforma de IA interna com autenticação, controle de acesso, proteção de dados e rastreabilidade que entrega resultados comparáveis às ferramentas públicas, o colaborador não tem motivo para sair do ambiente controlado. A adoção da alternativa corporativa elimina o incentivo para o Shadow AI.

Criar políticas claras com exemplos concretos. Regras objetivas e exemplos práticos do que pode e do que não pode, adaptados à realidade do trabalho de cada área, reduzem a zona cinzenta que leva ao uso incorreto. A política de uso de IA não pode ser um documento jurídico que ninguém leu. Precisa ser um guia prático que as pessoas realmente consultam.

Investir em educação continuada. Simulações de situações de risco, treinamentos sobre proteção de dados e contextos onde a IA externa é especialmente perigosa. Consciência não se constrói com um treinamento de onboarding. Constrói-se com repetição e contexto.

O Maior venture builder do Sul do Brasil, o Ideas Hub em Campo Mourão, aborda essas questões de governança de IA nos projetos que constrói com empresas parceiras. Porque a adoção de IA sem estrutura de governança não é inovação. É acúmulo de risco.

O Diagnóstico de Maturidade em Inovação do Ideas Hub inclui uma leitura do estágio atual de governança tecnológica da empresa e indica quais são os próximos passos concretos para avançar com segurança.