O uso não autorizado de IA já ocorre, ao menos ocasionalmente, em 82% das empresas brasileiras pesquisadas pela SAP em parceria com a Oxford Economics. Funcionários utilizam ferramentas de inteligência artificial de terceiros sem aprovação ou supervisão formal para produzir textos, analisar documentos, elaborar relatórios, trabalhar com códigos e executar outras tarefas corporativas.
A prática ganhou um nome: shadow AI, ou IA paralela.
O problema não está simplesmente no fato de um profissional usar inteligência artificial para trabalhar. A preocupação surge quando documentos, dados de clientes, contratos, informações financeiras ou conteúdos estratégicos deixam o ambiente controlado da empresa e entram em plataformas que o setor de tecnologia, jurídico e compliance não avaliaram.
Além disso, os impactos já aparecem nas organizações pesquisadas. No Brasil, 43% relatam vazamento de dados ou exposição de propriedade intelectual relacionados ao uso dessas ferramentas, 32% apontam vulnerabilidades de segurança e 31% mencionam violações de compliance.
Portanto, a pergunta para as empresas deixou de ser apenas “nossos funcionários usam IA?”.
Agora também é necessário perguntar:
“Quais informações eles estão colocando dentro dessas ferramentas?”
O que é shadow AI?
Shadow AI é o uso de sistemas de inteligência artificial dentro de uma organização sem aprovação, controle ou supervisão formal da empresa.
O fenômeno segue uma lógica semelhante à chamada shadow IT, situação em que colaboradores instalam softwares, aplicativos ou serviços de tecnologia sem autorização da área responsável.
Entretanto, a inteligência artificial amplia o risco.
Um funcionário não precisa instalar um programa no computador corporativo. Muitas ferramentas funcionam diretamente pelo navegador e podem ser contratadas individualmente.
Consequentemente, a área de TI pode nem perceber que determinado serviço entrou no fluxo de trabalho.
Segundo a pesquisa, a IA já auxilia 26% das tarefas nas empresas brasileiras, enquanto apenas 18% adotam a tecnologia de forma estratégica e integrada. A implementação por projetos isolados ainda aparece como modelo predominante, citado por 48% das organizações.
Por que o uso não autorizado de IA pode causar vazamento de dados?
Imagine que um funcionário precise resumir um contrato de 80 páginas.
Para economizar tempo, ele copia o documento e o envia a uma ferramenta pública de IA.
O contrato pode conter:
- nomes e CPF;
- dados de clientes;
- valores comerciais;
- estratégias de negociação;
- informações financeiras;
- propriedade intelectual;
- cláusulas confidenciais;
- segredos empresariais.
A partir desse momento, informações corporativas passaram por uma infraestrutura que talvez a empresa nunca tenha analisado.
Por isso, o uso não autorizado de IA pode criar uma forma diferente de exposição.
Não existe necessariamente um hacker invadindo a rede ou um malware roubando arquivos.
O próprio colaborador pode retirar informações do ambiente protegido enquanto tenta aumentar sua produtividade.
43% das empresas brasileiras sofreram vazamento por IA?
É importante interpretar o dado corretamente.
A pesquisa informa que 43% dos participantes apontaram vazamento de dados ou exposição de propriedade intelectual relacionados ao uso dessas ferramentas. Isso não significa que 43% de todas as empresas brasileiras tenham sofrido um incidente de segurança causado exclusivamente pela IA.
O levantamento ouviu 2.600 líderes empresariais em 13 países, incluindo 200 respondentes no Brasil. Portanto, os percentuais representam as organizações participantes dessa amostra.
Essa distinção evita transformar uma pesquisa relevante em uma afirmação maior do que os dados realmente demonstram.
Ainda assim, o cenário merece atenção.
Shadow AI pode aumentar o custo de um vazamento
Outro estudo ajuda a dimensionar o problema.
O relatório Cost of a Data Breach 2025, da IBM, analisou 600 organizações que sofreram violações de dados. Entre as organizações com altos níveis de shadow AI, o custo médio do incidente ficou aproximadamente US$ 670 mil maior em comparação com empresas com pouco ou nenhum uso não autorizado de IA.
Além disso, a IBM constatou que uma em cada cinco organizações pesquisadas relatou uma violação relacionada à shadow AI.
Esse dado mostra que governança de IA não representa apenas uma preocupação teórica.
Ela passou a integrar a própria estratégia de cibersegurança e proteção de dados.
O uso de IA também envolve LGPD?
Sim.
Quando o funcionário insere dados pessoais em uma ferramenta de inteligência artificial, existe tratamento de dados.
Consequentemente, a organização precisa avaliar questões como finalidade, necessidade, segurança, compartilhamento e responsabilidades envolvidas naquele processamento.
A LGPD determina que agentes de tratamento adotem medidas técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas.
Além disso, infrações à legislação podem resultar em sanções administrativas. Entre elas, a ANPD pode aplicar multa simples de até 2% do faturamento da pessoa jurídica no Brasil, limitada a R$ 50 milhões por infração, conforme os critérios legais e o devido processo administrativo.
Portanto, uma política corporativa de IA também precisa conversar com o programa de compliance e proteção de dados.
Escritórios de advocacia precisam de atenção redobrada
O problema ganha uma dimensão particular em escritórios de advocacia.
Contratos, processos, estratégias jurídicas, documentos de clientes e informações protegidas por sigilo profissional não deveriam entrar indiscriminadamente em qualquer sistema de IA.
Nesse cenário, não basta perguntar se a ferramenta “é boa”.
O escritório precisa saber:
- quem fornece o serviço;
- onde os dados são processados;
- quais informações são armazenadas;
- qual contrato regula o tratamento;
- se os dados podem ser reutilizados;
- quais controles de acesso existem;
- se há registro das ferramentas utilizadas.
A Forbes destaca justamente esse risco ao observar que, em atividades baseadas em confidencialidade, a exposição pode atingir o próprio núcleo do serviço prestado.
Por isso, segurança da informação e dever profissional precisam caminhar juntos.
Funcionário pode ser demitido por usar IA não autorizada?
Não existe uma resposta automática.
O simples uso de inteligência artificial não gera, por si só, justa causa.
Entretanto, determinadas condutas podem produzir consequências trabalhistas quando envolvem violação de regras conhecidas, quebra de confidencialidade, exposição de dados ou segredo empresarial.
A Justiça do Trabalho já analisou casos, ainda que sem relação específica com IA, envolvendo retirada de informações de ambientes corporativos.
Em 2025, por exemplo, a 12ª Vara do Trabalho da Zona Sul de São Paulo confirmou uma justa causa após uma trabalhadora enviar, ainda que por engano, dados sigilosos de mais de 350 profissionais para um cliente. A decisão considerou que ela conhecia as políticas internas de segurança e tratamento de dados.
Em outro precedente, o TRT de Minas Gerais manteve a justa causa de uma bancária que enviou dados sigilosos de clientes para seu e-mail pessoal, contrariando regras internas conhecidas pela trabalhadora.
Portanto, cada situação depende das circunstâncias, da gravidade, das políticas existentes e das provas produzidas.
Proibir ChatGPT e outras IAs resolve?
Provavelmente não.
Bloquear ferramentas pode reduzir determinados riscos, mas dificilmente elimina sozinho o comportamento.
A própria Forbes cita pesquisa da Cisco em que 27% das organizações haviam proibido temporariamente IA generativa, enquanto 48% dos participantes admitiram inserir informações não públicas das empresas nessas ferramentas. Os grupos não são necessariamente os mesmos, mas o dado demonstra os limites de uma estratégia baseada apenas em proibição.
Por isso, governança precisa combinar regra, tecnologia e treinamento.
A empresa também deve oferecer alternativas autorizadas.
Caso contrário, o funcionário continuará procurando ferramentas externas para resolver problemas reais de produtividade.
Como controlar o uso não autorizado de IA?
Uma política eficiente pode começar com algumas medidas práticas:
- criar uma política formal de uso de inteligência artificial;
- definir quais ferramentas estão autorizadas;
- estabelecer quais informações nunca podem ser inseridas;
- disponibilizar contas corporativas e ambientes governados;
- aplicar controles de acesso;
- manter inventário das soluções utilizadas;
- treinar funcionários;
- monitorar riscos sem violar a privacidade dos trabalhadores;
- criar procedimento para incidentes;
- revisar contratos com fornecedores de IA.
Além disso, áreas como TI, jurídico, segurança da informação, proteção de dados e Recursos Humanos precisam participar da governança.
A M A Segurança Digital já analisou esse problema no conteúdo sobre governança de IA e os riscos do uso de ChatGPT e outras ferramentas dentro das empresas.
Governança ainda está atrás da adoção
Os números da pesquisa ajudam a compreender o descompasso.
Apenas 12% das empresas brasileiras afirmam que suas competências estão totalmente preparadas para governar IA, enquanto 15% consideram seus processos e estruturas totalmente preparados. Além disso, 29% não possuem controles de permissão e acesso para agentes de IA e somente metade mantém registro formal dos agentes utilizados no negócio.
Ao mesmo tempo, 80% relataram resultados de baixa qualidade gerados por IA ao menos ocasionalmente, causando retrabalho, atrasos ou acúmulo de demandas.
Portanto, adoção rápida não significa adoção madura.
Conclusão: a IA que a empresa não enxerga pode ser a mais perigosa
O uso não autorizado de IA mostra uma mudança importante no risco corporativo.
Durante anos, as empresas aprenderam a controlar servidores, notebooks, softwares, credenciais e acessos.
Agora, um colaborador pode levar informações confidenciais para fora desse ambiente simplesmente abrindo uma nova aba no navegador.
Isso não significa que as organizações devam combater a inteligência artificial.
Significa que precisam governá-la.
O maior risco da shadow AI não é o funcionário usar inteligência artificial. É a empresa não saber qual ferramenta está sendo usada, quais dados estão entrando nela e o que acontece com essas informações depois.
Por isso, inovação, cibersegurança, LGPD, segurança da informação e compliance precisam fazer parte da mesma estratégia.
A M A Segurança Digital atua com palestras, capacitações e orientação em inteligência artificial, segurança digital, proteção de dados e prevenção de riscos corporativos.
Por Marco Aurélio – Perito em Segurança Digital | M A Segurança Digital
Advogado e Formado em Segurança Pública, é Especialista em Perícia Digital Forense e Direito Digital, Marco Aurélio atua como palestrante em Segurança Digital, com foco na prevenção e análise de incidentes cibernéticos, proteção de dados e compliance digital. Criador da M A Segurança Digital e autor do livro “Filhos Conectados, Pais Preparados”, dedica-se a traduzir a tecnologia em linguagem jurídica e prática para empresas e profissionais do Direito.
Fontes consultadas
A Forbes Brasil detalhou o recorte brasileiro da pesquisa, os riscos da shadow AI e os impactos jurídicos e empresariais do uso não autorizado de ferramentas.
A SAP Brasil publicou os resultados oficiais do estudo The Value of AI: Brazil 2026, incluindo dados sobre adoção, governança, qualidade das respostas e uso não autorizado.
A Oxford Economics confirma que a pesquisa global ouviu 2.600 líderes empresariais em 13 países.
A IBM analisou o impacto da shadow AI nos custos e na ocorrência de violações de dados em seu Cost of a Data Breach Report.
