A Inteligência Artificial já entrou nas empresas brasileiras — muitas vezes antes que políticas, controles e estruturas de governança estivessem preparadas para recebê-la. Uma pesquisa da SAP em parceria com a Oxford Economics revelou que 82% das empresas brasileiras afirmam que funcionários utilizam ferramentas de IA de terceiros sem aprovação ou supervisão formal, ao menos ocasionalmente.

Esse fenômeno é conhecido como Shadow AI: o uso de ferramentas, modelos, agentes ou aplicações de Inteligência Artificial fora do conhecimento ou dos controles formais da organização.

Assim como ocorreu anteriormente com Shadow IT, tentar simplesmente impedir o uso dificilmente resolverá o problema. Empresas precisam combinar Governança de IA, segurança, privacidade, tecnologia, treinamento e conscientização dos colaboradores.

O que é Shadow AI?

Shadow AI ocorre quando colaboradores utilizam ferramentas de Inteligência Artificial sem aprovação ou supervisão da empresa. Isso pode incluir desde o uso de ChatGPT, Gemini, Claude ou Copilot por meio de contas pessoais até aplicativos especializados, agentes autônomos e ferramentas incorporadas em outras plataformas e serviços no modelo SaaS.

Segundo reportagem da Forbes Brasil, baseada no estudo SAP/Oxford Economics mencionado acima, 43% das empresas brasileiras pesquisadas relataram vazamento de dados ou exposição de propriedade intelectual relacionados ao uso dessas ferramentas, enquanto 32% apontaram vulnerabilidades de segurança e 31% violações de compliance.

O problema normalmente começa de maneira aparentemente inocente: um funcionário copia um contrato para uma IA resumir, envia uma planilha para análise, pede ajuda na elaboração de um relatório ou utiliza IAs para apontar erros em código-fonte de aplicações corporativas.

A produtividade pode aumentar, mas a organização pode perder a visibilidade sobre onde seus dados estão sendo processados, armazenados ou reutilizados. Eventuais empresas que seriam “suboperadores” e ainda dificultar no atendimento às requisições de titulares.

Shadow AI é também um problema de LGPD e segurança da informação

Quando informações pessoais são inseridas em uma ferramenta externa de Inteligência Artificial, existe um novo tratamento de dados que precisa ser compreendido pela organização.

Dependendo do caso, podem existir questões relacionadas a finalidade, necessidade, segurança, compartilhamento com terceiros, transferência internacional, retenção e transparência aos titulares. Sem falar nas questões relacionadas ao eventual vazamento de propriedade intelectual.

Por isso, a utilização de IA deve fazer parte do processo de adequação à LGPD e do próprio inventário de tratamentos da organização. A Macher Tecnologia aborda essa integração em sua página sobre LGPD e Governança de Inteligência Artificial.

O risco financeiro também não deve ser ignorado. O Cost of a Data Breach Report 2025 da IBM apontou que organizações com níveis elevados de Shadow AI tiveram custos médios de violações aproximadamente US$ 670 mil superiores aos das organizações com pouco ou nenhum uso não autorizado.

Proibir Inteligência Artificial não é suficiente

Uma política que simplesmente diga “é proibido usar IA” pode produzir exatamente o efeito contrário ao desejado: funcionários continuam utilizando as ferramentas, mas passam a fazê-lo sem comunicar a organização.

Pesquisa da Cisco já havia identificado que 58% dos participantes brasileiros admitiam inserir informações não públicas da organização em ferramentas de IA generativa.

Uma estratégia mais sustentável é estabelecer Governança de IA: definir ferramentas autorizadas, responsabilidades, casos de uso aceitáveis, tipos de dados que podem ou não ser utilizados e processos de avaliação de novos sistemas.

Esta “estrutura” precisa ser clara e totalmente entendida pelos colaboradores. Do CEO ao estagiário. E precisa ser vista como “valor” para o time e não simplesmente uma burocracia a ser cumprida.

Como estruturar um programa de Governança de IA?

Não existe um único modelo aplicável a todas as empresas. Startups e SMBs podem ter uma estrutura simplificada, enquanto organizações maiores podem necessitar de um programa formal e de um Comitê de Governança de IA. Cada projeto é único pelo tipo de dados tratados, apetite de risco da organização, maturidade em privacidade e proteção de dados, entre outros.

Um programa pode incluir, entre outros elementos:

• inventário das ferramentas e casos de uso de IA existentes;
• classificação dos riscos associados a cada aplicação;
• definição de ferramentas autorizadas e não autorizadas;
• política corporativa para uso responsável de Inteligência Artificial;
• regras sobre informações confidenciais, dados pessoais e propriedade intelectual;
• avaliação de fornecedores e termos contratuais;
• controle de acessos e contas corporativas;
• registro e aprovação de novos casos de uso;
• avaliações de impacto e riscos quando necessário;
• monitoramento, auditoria e gestão de incidentes;
• treinamento e conscientização contínua dos colaboradores.

O objetivo não deve ser impedir inovação, mas criar condições para que a empresa consiga utilizar IA com segurança, previsibilidade e responsabilidade.

E não basta simplesmente “criar a política”. É preciso monitorar e estar apto a gerar evidências de compliance.

Qual é o papel do DPO no uso consciente de Inteligência Artificial?

O DPO ou Encarregado pelo Tratamento de Dados Pessoais pode ter um papel especialmente relevante nessa transformação.

Isso não significa que o DPO deva ser o único responsável pela Governança de IA. O tema envolve tecnologia, segurança, jurídico, compliance, RH, negócio e liderança executiva. Porém, por sua posição transversal dentro da organização, o DPO pode funcionar como importante ponto de conexão entre essas áreas e apoiar a organização na coordenação das iniciativas.

O DPO pode apoiar os funcionários

Um dos papéis mais importantes é educativo. Em vez de apenas dizer aos colaboradores o que eles não podem fazer, o DPO pode ajudá-los a entender como utilizar Inteligência Artificial de maneira segura.

Treinamentos podem ensinar, por exemplo, por que não se deve inserir informações pessoais, dados de clientes, documentos confidenciais, contratos ou propriedade intelectual em ferramentas não aprovadas. Também podem apresentar alternativas corporativas autorizadas e procedimentos para solicitar avaliação de novas soluções.

O DPO pode apoiar a organização

Em conjunto com as equipes de segurança da informação e tecnologia, jurídico e negócio, o DPO pode participar do inventário de sistemas de IA, avaliações de risco conjuntas, apoio na revisão de contratos, elaboração de políticas, análises relacionadas à LGPD e definição de processos para novos casos de uso.

Essa atuação combina naturalmente com atividades como ROPA, RIPD/DPIA e gestão de riscos relacionados à LGPD.

Governança de IA precisa ser multidisciplinar

O crescimento da Shadow AI demonstra que a adoção da Inteligência Artificial não pode ficar exclusivamente sob responsabilidade da área de TI. Ela naturalmente envolve pessoas, processos, dados, cibersegurança, privacidade e decisões/necessidades de negócio.

A empresa precisa saber quais IAs estão sendo utilizadas, por quem, com quais dados e para quais finalidades.

O desafio não é eliminar a Inteligência Artificial das empresas. É transformar um uso informal e invisível em uma capacidade corporativa governada.

Como a Macher Tecnologia pode ajudar sua empresa

A Macher Tecnologia apoia organizações na estruturação de programas de Governança de IA, combinando competências de privacidade, proteção de dados, cybersecurity, tecnologia e negócios.

Podemos apoiar desde o diagnóstico de Shadow AI e inventário de ferramentas até a elaboração de políticas, avaliação de riscos, definição de processos de aprovação, análise de fornecedores, estruturação de Comitês de Governança de IA e programas de treinamento e conscientização.

Por meio do nosso serviço de DPO-as-a-Service, o DPO também pode apoiar continuamente colaboradores e gestores na avaliação de novos usos de IA e na integração entre Governança de IA, LGPD e segurança da informação.

Em um cenário no qual 82% das empresas brasileiras já identificam algum nível de uso não supervisionado de IA, não saber como seus colaboradores utilizam Inteligência Artificial talvez seja um risco maior do que a própria tecnologia.

Se sua organização precisa de apoio com a LGPD, IA ou cibersegurança, entre em contato com nosso time de consultores!

Sobre a Macher Tecnologia

A Macher Tecnologia é uma empresa especializada em soluções Digital, focada em privacidade e proteção de dados. No mercado desde 2018, suporta clientes de diferentes indústrias em suas jornadas de conformidade, de forma multidisciplinar e hands-on.

Com uma abordagem inovadora, a Macher Tecnologia auxilia empresas na implementação de estratégias eficazes de conformidade com LGPD e GDPR, fornecendo consultoria, treinamento e ferramentas tecnológicas para gestão de riscos e proteção de dados corporativos.

Entre em contato e saiba como podemos ajudar sua organização hoje mesmo!