Estabelecer políticas para o uso de ferramentas de IA e regras para o compartilhamento de informações, além de monitorar seu uso são medidas essenciais para reduzir a exposição das empresas, segundo especialista
A inteligência artificial já faz parte da rotina de diferentes áreas das empresas, apoiando atividades que vão da análise de dados à revisão de documentos e elaboração de apresentações. Mas o uso dessas ferramentas nem sempre ocorre de forma estruturada. É nesse contexto que cresce o Shadow AI, caracterizado pelo uso de soluções de inteligência artificial sem a validação formal das áreas de tecnologia e segurança.
O cenário chama atenção porque pode permitir o vazamento de informações. Segundo pesquisa da LayerX Security, destacada no Enterprise GenAI Security Report 2025, 75% dos funcionários que utilizam ferramentas de IA não aprovadas já inseriram informações sensíveis nessas plataformas. Isso inclui dados internos, códigos proprietários e documentos estratégicos, que podem ser compartilhados em ambientes externos sem clareza sobre armazenamento, processamento ou reaproveitamento.
Para Edgar Zattar, CTO de Inovação e Novos Negócios da Conversys IT Solutions, diante dos benefícios já incorporados à rotina corporativa, restringir o uso da IA deixa de ser o centro da discussão. O desafio passa a ser estabelecer uma governança capaz de acompanhar a adoção da tecnologia.
O executivo destaca três medidas que podem ser adotadas para reduzir os riscos associados ao Shadow AI:
1. Estabelecer quais ferramentas de IA devem ser utilizadas: o uso de soluções por iniciativa dos próprios colaboradores pode fazer com que ferramentas não validadas pelas áreas de tecnologia e segurança passem a integrar a rotina da empresa. “Com os benefícios que a IA oferece, a discussão já não deve ser sobre permitir ou impedir seu uso. As empresas precisam definir quais ferramentas podem ser utilizadas para que o uso ocorra de forma segura”, explica Zattar.
2. Estabelecer diretrizes para o compartilhamento de informações: também é necessário deixar claro quais informações podem ou não ser inseridas nas ferramentas. Um prompt pode envolver dados sensíveis sem ser identificado como um evento crítico pelos modelos tradicionais de segurança, desenvolvidos para um contexto em que o risco estava mais associado a transferências explícitas ou acessos indevidos. “Um prompt pode parecer uma interação comum, mas passa a representar um risco quando contém informações confidenciais. Por isso, os profissionais precisam ter clareza sobre quais dados podem ser compartilhados e quais devem permanecer restritos ao ambiente corporativo”, afirma.
3. Implementar mecanismos de monitoramento e visibilidade: além de estabelecer regras, as organizações precisam acompanhar como as ferramentas de IA estão sendo utilizadas. Mecanismos de monitoramento e visibilidade ajudam a identificar usos fora das diretrizes estabelecidas e adequar as práticas de segurança à nova dinâmica. “Mais do que restringir, é preciso orientar os colaboradores sobre o uso da inteligência artificial. À medida que essas soluções se integram ao dia a dia, a compreensão dos riscos e os mecanismos de segurança precisam evoluir na mesma velocidade”, destaca Zattar.
Para o executivo, ignorar o avanço do Shadow AI pode aumentar a exposição das organizações. “Esperar que esse movimento se traduza em um incidente concreto para então agir significa adotar uma postura reativa diante de um risco que já existe. Quando falamos de informações corporativas sensíveis, as consequências podem ser imensuráveis”, conclui.
Imagem: https://pt.vecteezy.com/foto/65781582-ai-conceito-em-tela-sensivel-ao-toque-exibicao-com-dedo