Segurança · 6 min de leitura
Shadow AI: o que o seu time está colando no ChatGPT hoje
Planilha de cliente colada no chat, contrato inteiro enviado para resumir, tabela de preço em ferramenta gratuita. Isso já acontece na sua empresa e não se resolve com proibição.
Renan Viglioni Fundador da Venci
Toda vez que eu faço um diagnóstico, faço a mesma pergunta para as áreas: quem aqui já usou alguma ferramenta de IA para adiantar o trabalho? Quase todo mundo levanta a mão. Depois eu pergunto quem pediu autorização. O silêncio é sempre o mesmo.
Isso tem nome: shadow AI. É o uso de inteligência artificial fora do controle da empresa, feito por gente bem-intencionada que só quer entregar mais rápido.
O problema não é a ferramenta, é o que sai de casa
Na prática, o que eu mais vejo:
- Vendedor colando a lista de clientes com faturamento para pedir um resumo por potencial de compra.
- Analista jogando o contrato inteiro em uma ferramenta gratuita para extrair prazos.
- Financeiro subindo o relatório de margem por produto para gerar uma explicação bonitinha.
- RH colando currículos, com dado pessoal, para comparar candidatos.
Em nenhum desses casos a pessoa quis prejudicar a empresa. Ela quis ganhar tempo. O que ninguém contou para ela é que aquele dado saiu do controle da organização.
Proibir não resolve. Só empurra o uso para o celular pessoal, onde você não enxerga nada.
Por que a proibição falha
Quando a empresa bloqueia o acesso, três coisas acontecem: o uso migra para o aparelho pessoal, a empresa perde a visibilidade que tinha, e quem estava tentando melhorar o próprio trabalho passa a se sentir errado por isso. Você troca um risco visível por um risco invisível.
A saída não é permitir tudo nem proibir tudo. É definir onde pode, com o quê e com qual dado.
Os controles mínimos
1. Uma política de uma página
Não precisa de manual de quarenta páginas. Precisa responder três perguntas: quais ferramentas são aprovadas, que tipo de dado nunca pode ser colado (dado pessoal de cliente, informação financeira não pública, contrato assinado, código proprietário) e a quem perguntar na dúvida.
2. Uma conta corporativa de verdade
Ferramenta paga com conta corporativa costuma permitir desativar o uso dos dados para treinamento e dá administração central. É a diferença entre o dado circular sob contrato e circular sem contrato nenhum.
3. Acesso por pessoa e registro de uso
Cada um com o próprio acesso, sem conta compartilhada. Assim existe rastro de quem usou o quê, e o desligamento de alguém não vira porta aberta.
4. Um canal para pedir
Se pedir uma ferramenta nova demora três semanas, ninguém pede. Um canal simples, com resposta rápida, elimina metade do shadow AI sozinho.
5. Treinamento curto, com exemplo da própria área
Uma hora por área, mostrando o que pode e o que não pode com casos reais do dia a dia daquela equipe. Genérico não gruda.
Como saber o tamanho do problema hoje
Antes de escrever qualquer política, meça. Duas perguntas em uma pesquisa interna anônima costumam bastar: você já usou alguma ferramenta de IA para tarefas do trabalho? Se usou, chegou a colar algum dado da empresa ou de cliente?
O resultado costuma assustar a liderança, e é justamente esse susto que destrava orçamento para fazer a coisa direito.
Onde isso se conecta com governança
Shadow AI é o sintoma mais visível de uma ausência maior: a empresa não definiu como usa IA. As referências que eu uso para estruturar isso são o OWASP Top 10 para aplicações de LLM, que descreve os riscos técnicos, e o NIST AI Risk Management Framework, que organiza a gestão de risco. No Brasil, o filtro adicional é a LGPD, principalmente quando há dado pessoal envolvido.
Nada disso exige virar especialista em segurança. Exige decidir, escrever e comunicar.
Quer saber o tamanho disso na sua empresa?
Na conversa inicial de 30 minutos a gente mapeia onde está a exposição hoje e qual o primeiro controle a implantar. Sem custo e sem apresentação institucional.
Agendar conversa