Aumento do “Shadow AI” no Brasil expõe empresas a novos riscos de segurança
O uso de ferramentas de inteligência artificial fora dos ambientes autorizados pelas empresas está crescendo no Brasil. Conhecida como Shadow AI, essa prática ocorre quando profissionais recorrem a aplicativos, plataformas ou assistentes de IA que não foram avaliados, aprovados ou contratados oficialmente pela organização.
Um estudo da KnowBe4 revela que 40% dos trabalhadores brasileiros utilizam ferramentas próprias de inteligência artificial em suas atividades profissionais. Dentro desse grupo, 13,5% preferem soluções pessoais às plataformas disponibilizadas pela empresa. O comportamento mostra que a IA já faz parte da rotina corporativa, mesmo quando as organizações ainda não possuem políticas claras para controlar seu uso.
O problema não está apenas na adoção de novas tecnologias, mas na ausência de governança. Ao utilizar ferramentas externas para resumir documentos, revisar contratos, analisar planilhas ou produzir códigos, o funcionário pode enviar informações corporativas para sistemas sobre os quais a empresa não tem controle.
Proibições rígidas não impedem o uso de IA
A tentativa de bloquear completamente o acesso à inteligência artificial tem se mostrado pouco eficaz. Segundo a pesquisa, 51% das empresas tiveram sua postura de segurança comprometida nos últimos 12 meses em razão de softwares e aplicações de IA não autorizados.
A lógica é simples: quando uma solução oficial não atende às necessidades do trabalho ou não está disponível, muitos profissionais procuram alternativas por conta própria. Em vez de eliminar o uso da tecnologia, a proibição absoluta pode empurrar a prática para ambientes invisíveis ao departamento de TI.
O levantamento também indica que 49,5% dos entrevistados consideram uma ameaça significativa o compartilhamento de informações confidenciais em ferramentas de IA não verificadas. Dados de clientes, informações financeiras, documentos internos, credenciais, códigos-fonte e estratégias comerciais podem ser expostos, armazenados ou reutilizados sem o conhecimento da organização.
Para Rafael Peruch, CISO Advisor Técnico da KnowBe4, a segurança digital entrou em uma etapa de grande instabilidade. As empresas precisam proteger uma força de trabalho híbrida, formada por pessoas e agentes de inteligência artificial, enquanto a tecnologia evolui em ritmo superior à capacidade de acompanhamento de muitos líderes de segurança.
A falta de treinamento favorece o Shadow AI
Os resultados da KnowBe4 acompanham uma tendência mais ampla observada no mercado brasileiro em 2026. Uma pesquisa da Read AI aponta que 68% dos profissionais do país utilizam ferramentas de IA diariamente no trabalho. Entretanto, somente 31% afirmam ter acesso oficial a essas soluções ou receber treinamento adequado dos empregadores.
Essa diferença revela uma falha importante na estratégia corporativa. A demanda pelo uso da IA já existe, mas parte das empresas ainda não oferece ferramentas aprovadas, orientações práticas ou critérios objetivos para seu uso. Sem uma política compreensível, os funcionários acabam decidindo individualmente quais plataformas usar e que tipo de informação inserir nelas.
Uma política eficiente precisa explicar, por exemplo, quais dados são considerados sensíveis, quais aplicações foram aprovadas, quando é obrigatório realizar revisão humana e quais tarefas não devem ser automatizadas. Regras genéricas, difíceis de interpretar ou baseadas apenas em punições tendem a ser ignoradas.
Sobrecarga aumenta a chance de falhas humanas
O Shadow AI não é o único fator de risco. A pressão por produtividade, o excesso de tarefas e as distrações do cotidiano também ampliam a probabilidade de incidentes.
De acordo com o estudo da KnowBe4, 62% dos funcionários brasileiros reconhecem que a falta de tempo, a sobrecarga de trabalho e as distrações contribuem diretamente para erros de segurança, mesmo quando conhecem os procedimentos corretos.
Entre os líderes de cibersegurança, 43% identificam as distrações no ambiente profissional como uma das principais causas de falhas humanas. Além disso, 65% apontam erros não intencionais durante atividades rotineiras como o principal fator de risco.
Esses números mostram que treinamentos isolados não são suficientes. Uma empresa pode ensinar boas práticas, mas ainda permanecer vulnerável se mantiver processos confusos, excesso de alertas, metas incompatíveis e ferramentas difíceis de usar. Segurança precisa estar integrada à rotina, e não funcionar como uma obrigação adicional imposta aos funcionários.
Maturidade ainda é limitada
Apesar do crescimento da conscientização, apenas 33% das organizações brasileiras pesquisadas alcançaram o nível de maturidade considerado “padrão de ouro”. Esse estágio corresponde a uma cultura capaz de administrar simultaneamente os riscos associados às pessoas e à inteligência artificial.
O dado revela uma distância entre reconhecer o problema e estar preparado para enfrentá-lo. Muitas empresas já identificam os perigos da IA generativa, mas ainda não possuem inventário de aplicações, mecanismos de monitoramento, classificação de dados ou processos de aprovação para novas ferramentas.
Ao mesmo tempo, 95% dos líderes brasileiros de segurança demonstram confiança na preparação de suas organizações para lidar com ameaças impulsionadas por IA nos próximos 12 meses. Essa percepção positiva pode indicar uma mudança na postura das lideranças, mas também exige cautela: confiança sem indicadores concretos pode esconder vulnerabilidades ainda não detectadas.
Como reduzir os riscos do uso não autorizado
A primeira medida é mapear quais ferramentas de IA já estão sendo utilizadas. O inventário pode combinar entrevistas, análise de tráfego, registros de acesso, informações do navegador corporativo e soluções de segurança capazes de identificar aplicações externas.
Em seguida, a organização deve criar uma lista de ferramentas aprovadas, com controles compatíveis com o nível de sensibilidade dos dados tratados. Plataformas destinadas a tarefas simples podem ter regras diferentes daquelas usadas para analisar contratos, informações pessoais ou propriedade intelectual.
Também é essencial estabelecer uma política de uso aceitável. O documento deve ser objetivo, apresentar exemplos reais e indicar claramente o que é permitido, proibido ou condicionado à autorização. A orientação precisa abranger tanto ferramentas públicas quanto extensões de navegador, robôs autônomos, geradores de código e aplicações integradas a sistemas corporativos.
O treinamento deve ser contínuo e prático. Em vez de abordar apenas conceitos técnicos, é importante demonstrar situações comuns: copiar uma planilha para um chatbot, inserir dados de clientes em uma plataforma de resumo ou utilizar código gerado automaticamente sem revisão. Exercícios desse tipo ajudam o funcionário a reconhecer o risco antes de cometer um erro.
Outro ponto fundamental é manter revisão humana sobre conteúdos produzidos por IA. A tecnologia pode gerar respostas incorretas, reproduzir informações confidenciais ou apresentar recomendações inadequadas. Por isso, resultados automatizados não devem ser tratados como decisões definitivas em áreas jurídicas, financeiras, médicas, estratégicas ou relacionadas à segurança.
Por fim, as empresas precisam acompanhar métricas de adoção e incidentes. A quantidade de aplicações não autorizadas bloqueadas, os casos de exposição de dados, o nível de participação em treinamentos e o número de ferramentas aprovadas são indicadores úteis para avaliar a evolução da governança.
O avanço do Shadow AI não significa que a inteligência artificial deva ser afastada das empresas. Pelo contrário: a tendência mostra que os profissionais precisam de soluções mais acessíveis, seguras e integradas ao trabalho. O desafio é transformar um uso informal e invisível em uma prática controlada, transparente e alinhada aos objetivos do negócio.