Pergunte hoje ao seu time de finanças quantas pessoas usaram alguma ferramenta de inteligência artificial na última semana. Depois pergunte quantos desses usos estão registrados em algum lugar.
A diferença entre as duas respostas é o shadow AI.
Este artigo trata do primeiro problema que qualquer iniciativa de governança de IA precisa enfrentar, porque nenhum controle funciona sobre um uso que ninguém sabe que existe.
O que é shadow AI
Shadow AI, ou uso invisível de IA, é toda utilização de inteligência artificial dentro da empresa que acontece sem conhecimento, autorização ou registro formal da liderança.
O termo vem por analogia ao shadow IT, aquele fenômeno em que áreas contratam software por conta própria fora do controle da TI. A diferença é que o shadow AI tem barreira de entrada praticamente zero. Não exige contrato, orçamento, instalação ou permissão de administrador. Basta abrir o navegador.
Por isso ele se espalha mais rápido e é mais difícil de detectar.
Onde ele começa
A governança não começa quando a empresa compra uma grande plataforma. Ela começa muito antes:
- Quando alguém cola uma planilha de resultados numa ferramenta pública para pedir um resumo
- Quando marketing configura uma resposta automática que atende cliente sem revisão
- Quando finanças usa IA para explicar a variação do mês
- Quando alguém traduz um contrato num serviço gratuito
- Quando um gestor pede à IA uma triagem de currículos
Parte desses usos é oficial. Parte acontece como experimento pontual. E parte simplesmente não é conhecida por ninguém acima daquele nível.
O problema não é experimentar
Vale insistir nisso, porque a reação instintiva de muitas lideranças ao descobrir shadow AI é proibir.
Proibir não funciona e piora o quadro. A equipe que perde o acesso oficial passa a usar no celular pessoal, e o registro que existia desaparece.
Experimentar é como qualquer organização descobre onde a tecnologia agrega valor. O problema é outro: não saber qual informação entrou na ferramenta, qual decisão saiu dela e que impacto isso teve.
Sem esse registro, a empresa não consegue aprender com o que deu certo nem responder pelo que deu errado. Experimentação sem registro não é agilidade, é perda de memória organizacional.
Os três riscos concretos
Vazamento de informação
O mais óbvio e o mais fácil de dimensionar. Dados financeiros não divulgados, informação de cliente, cláusula contratual ou dado pessoal enviados a um ambiente sobre o qual a empresa não tem contrato nem garantia de tratamento.
Se houver dado pessoal envolvido, isso deixa de ser apenas um risco de negócio e entra no escopo da LGPD, com obrigações que independem de quem apertou o botão.
Decisão sem rastro
Este é mais silencioso e costuma custar mais caro. Uma conclusão gerada por IA entra num relatório, o relatório vira base de uma decisão, e meses depois ninguém consegue reconstruir de onde veio aquela conclusão.
Em contexto financeiro isso é particularmente grave. Uma hipótese redigida como fato, um evento não recorrente tratado como tendência, uma unidade lida errado. O texto parece profissional, os números batem, mas a explicação foi inferida.
Dependência não mapeada
Quando um processo passa a depender de uma ferramenta que ninguém contratou formalmente, a empresa fica exposta a uma mudança de preço, de política de uso ou de disponibilidade sobre a qual não tem nenhum controle nem aviso prévio.
Como fazer o primeiro levantamento
O levantamento inicial não é uma auditoria e não deve parecer uma. Se as pessoas sentirem que estão sendo investigadas, o resultado vai ser subnotificado e você terá perdido a única chance de fazer isso com colaboração.
Comece pelo enquadramento. Deixe claro na abertura da conversa que o objetivo é mapear para poder apoiar, não para punir. Diga que nada do que for reportado será retroativamente penalizado. E cumpra.
Converse por área, não por formulário. Um formulário genérico produz respostas genéricas. Trinta minutos com o gestor de cada área rende dez vezes mais.
Pergunte pela atividade, não pela ferramenta. "Vocês usam IA?" costuma receber um não. "Tem alguma parte do trabalho de vocês em que alguém pede ajuda a uma ferramenta para escrever, resumir, traduzir, revisar ou analisar?" costuma receber um sim detalhado.
Priorize quem produz material que circula. Comece pelas áreas cujo trabalho sai do time: finanças, jurídico, marketing, atendimento e RH. É onde o impacto de um erro é maior.
Registre em sete campos. Nome do caso, área responsável, objetivo, ferramenta usada, dados utilizados, decisão afetada e impacto do erro. O detalhamento desse formato está em como montar o inventário de casos de uso de IA.
O que você provavelmente vai encontrar
Na maioria dos levantamentos em empresas de médio porte, aparece pelo menos um caso que a liderança desconhecia e que toca dado sensível. Não é exceção, é o resultado esperado.
Também é comum descobrir que o uso mais arriscado não está na área mais tecnológica. Está em quem tem prazo apertado e pouca alternativa.
Do levantamento ao controle
Mapear é o começo, não o fim. Depois do inventário vem a classificação por impacto e autonomia, que separa o que precisa de controle pesado do que pode seguir com regra leve. Esse é o assunto de como classificar risco de IA.
O importante é entender a sequência. Primeiro visibilidade, depois prioridade, depois controle. Na ordem inversa, você escreve uma política sobre uma empresa que não existe.
Perguntas frequentes
Bloquear as ferramentas de IA na rede resolve o shadow AI? Não. Move o uso para dispositivos pessoais e elimina o pouco de visibilidade que existia. Bloqueio funciona apenas em contextos muito específicos e sempre acompanhado de uma alternativa oficial viável.
Quanto tempo leva um levantamento inicial? Em empresa de médio porte, entre uma e duas semanas, considerando conversas com quatro a seis áreas. Não é um projeto, é uma rodada de reuniões.
Precisamos de uma ferramenta de descoberta automática? Não para a primeira versão. Uma planilha e conversas resolvem. Ferramentas de descoberta fazem sentido depois, quando o volume de casos justifica.
O próximo passo depois do levantamento. Nosso guia de 30 páginas traz o template de inventário pronto, a matriz de classificação de risco e um plano de 30 dias para sair do uso invisível. Baixar gratuitamente.