Nos últimos dois anos, ferramentas de inteligência artificial generativa passaram a fazer parte da rotina de trabalho em praticamente todas as áreas de uma empresa. Times de marketing usam IA para gerar textos e imagens, equipes de desenvolvimento aceleram código com assistentes inteligentes e departamentos financeiros recorrem a modelos de linguagem para analisar planilhas e relatórios. Boa parte desse uso acontece fora do radar da área de segurança, oque caracteriza o fenômeno conhecido como Shadow AI.

Shadow AI é o uso de ferramentas de inteligência artificial sem aprovação, monitoramento ou controle formal da empresa. Diferente do shadow IT tradicional, ligado a softwares não homologados, a Shadow AI carrega um risco adicional: cada prompt enviado a uma ferramenta pública pode conter dados sensíveis que saem definitivamente do perímetro corporativo.

O colaborador que usa essas ferramentas raramente tem intenção de prejudicar a empresa. Ele busca ganhar tempo, resolver um problema mais rápido ou entregar um resultado melhor. O risco nasce da combinação entre essa boa intenção e a ausência de capacitação, políticas claras e controles técnicos. Sem esses três pilares, informações como dados de clientes, códigos-fonte, relatórios financeiros e contratos acabam copiadas para interfaces de IA que a empresa não escolheu nem auditou.

Os riscos que ficam fora da vista da diretoria

Os impactos de um vazamento por Shadow AI ultrapassam o incidente pontual. Entre os riscos mais críticos estão a fuga de propriedade intelectual, violações da LGPD, descumprimento de normas de conformidade exigidas por órgãos reguladores e auditorias externas, questões trabalhistas ligadas ao uso indevido de dados de colaboradores e a contaminação da base de dados corporativa com informações geradas por IA sem validação humana.

A escala do problema é maior do que a maioria das empresas imagina. Segundo o State of Data Security Report da Varonis, 99% das organizações analisadas possuem dados sensíveis expostos a ferramentas de IA e copilotos deforma perigosa. O número mostra que o risco não está restrito a empresas com maturidade baixa em segurança, está presente na maioria absoluta das operações, independentemente do porte ou do setor.

Três perguntas que toda diretoria deveria responder

Como sua diretoria pode gerenciar o risco de ferramentas que ela sequer sabe que estão sendo utilizadas na rede?

Se os seus dados internos possuem permissões excessivas, você tem consciência de que a IA pode expor relatórios confidenciais para colaboradores não autorizados?

Se a ANPD auditar hoje os prompts que seus colaboradores enviam para IAs públicas, sua infraestrutura estaria em conformidade com a LGPD?

Essas perguntas não têm resposta simples, mas têm caminho.

Visibilidade, proteção e governança: uma abordagem em três etapas

O primeiro passo é mapear o consumo atual de IA na rede. Ferramentas como o SailPoint Shadow AI Remediation identificam em tempo real quais soluções de IA generativa estão sendo acessadas, por quais departamentos e com qual frequência, bloqueiam proativamente o upload de arquivos confidenciais e direcionam o usuário para alternativas homologadas pela empresa. Esse mapeamento elimina o ponto cego da diretoria e substitui o bloqueio da inovação por visibilidade e direcionamento.

O segundo passo é classificar e blindar os repositórios de dados confidenciais antes que qualquer ferramenta de IA, interna ou de terceiros, tenha acesso a eles. Soluções como o Varonis Atlas, categoria AI Security Posture Management, varrem servidores, nuvens e diretórios corporativos, identificam arquivos com dados sensíveis expostos a usuários comuns e aplicam o princípio do menor privilégio. Essa etapa reduz o raio de exposição de dados armazenados e evita que agentes de IA corporativos exponham segredos comerciais ou informações salariais a colaboradores que não deveriam acessá-los.

O terceiro passo é estabelecer uma política corporativa de uso de IA, formalizada e auditável. Plataformas como a OneTrust AI Governance centralizam a governança organizacional, permitem inventariar todos os modelos de IA em avaliação ou uso e rodar análises de impacto automatizadas, as DPIA, para garantir conformidade com a LGPD. Esse processo transforma políticas abstratas em uma trilha de governança que comprova, diante da ANPD, que a organização trata dados pessoais com responsabilidade.

Tecnologia não resolve sozinha

Essas soluções servem como referências práticas para o mercado. Cada empresa tem um cenário de dados, um orçamento e um nível de maturidade diferente, e a escolha das ferramentas certas depende de um diagnóstico específico, feito com base no cenário real de fornecedores, na estrutura de dados e nas exigências regulatórias do setor em que a empresa atua. Um diagnóstico assim exige um parceiro especialista, com conhecimento técnico do mercado de segurança e experiência prática na implantação dessas tecnologias.

A segurança efetiva em torno da IA corporativa depende da combinação entre tecnologia, processos e pessoas: regras de acesso bem desenhadas, o RBAC, segregação de funções, o SoD, e sustentação contínua do ambiente. Esse tripé exige acompanhamento técnico permanente, desde a implantação das ferramentas até o monitoramento e o suporte no dia a dia. É nessa frente que a Vitara atua, apoiando empresas de diferentes portes e setores na estruturação dessa jornada.

A resposta ao Shadow AI está em dar aos colaboradores caminhos seguros para usar essas ferramentas e à diretoria a visibilidade necessária para decidir, de forma consciente, qual nível de risco a empresa está disposta a aceitar.

Ricardo Costa‍

Chief AI Security Officer, Vitara