Enquanto empresas ainda discutem estratégias para adotar IA, colaboradores já utilizam essas ferramentas sem regras claras, ampliando riscos para dados, compliance e reputação
Por Alex Ferreira, CEO e fundador da FMG
O maior risco de IA nas empresas hoje não é a adoção, é a adoção invisível. Dados de clientes e informações estratégicas circulam em ferramentas gratuitas sem nenhuma governança, ao passo que conselhos e diretorias ainda debatem cronogramas de implementação como se essa decisão ainda estivesse nas mãos deles. Funcionários recorrem a essas ferramentas para acelerar entregas, e o fazem sem qualquer política corporativa que oriente o que pode ou não circular por esses sistemas. Dados de clientes, informações estratégicas e materiais confidenciais atravessam plataformas externas sem registro, sem supervisão e sem que a alta gestão tenha noção real da extensão do problema. Nesse meio tempo, o discurso institucional segue tratando IA como projeto futuro, quando já é prática consolidada no chão de fábrica digital de qualquer companhia.
Há uma contradição que a maioria das empresas prefere não encarar. Ao mesmo tempo em que exigem domínio de ferramentas de IA como requisito de contratação, replicando um padrão que já se tornou critério de seleção em grandes empresas de tecnologia, essas mesmas organizações não oferecem nenhuma diretriz sobre como esse uso deve acontecer internamente. O resultado é previsível. O colaborador é cobrado por produtividade movida a IA, mas fica sozinho para decidir o que é seguro compartilhar com essas plataformas. Não se trata de um problema de conduta individual, mas de uma falha estrutural de governança que a liderança escolheu ignorar.
Os números confirmam que não se trata de percepção isolada, mas de um padrão que já opera em escala industrial. O Cloud and Threat Report da Netskope, publicado em janeiro de 2026, mostra que a empresa média já registra 223 incidentes mensais de violação de políticas de dados ligados a IA, volume que mais que dobrou em relação ao ano anterior. No Brasil, uma pesquisa com mais de 4.700 profissionais revela que 47% utilizam ferramentas de IA sem aprovação formal, enquanto 59% das empresas não possuem nenhuma diretriz sobre o tema. Paralelamente, o estudo conduzido pela SAP em parceria com a Oxford Economics, que ouviu 1,6 mil executivos em oito países, incluindo 200 brasileiros, mostra que oito em cada dez empresas já demonstram preocupação com o uso não autorizado de IA. Trata-se, portanto, de uma pauta que já ocupa a agenda executiva, e que representa um risco real para a operação e a reputação das empresas.
Essa preocupação deixa de ser abstrata quando se olha para os números de impacto financeiro. Segundo estudo da IBM, incidentes em que o Shadow AI aparece como fator contribuinte custam, em média, US$ 670 mil a mais do que um vazamento de dados típico. A esse custo direto soma-se a camada regulatória brasileira, que se tornou mais dura desde 2026, quando a ANPD passou a operar com autonomia sancionadora plena. Nesse novo contexto, a ausência de uma política formal de uso de IA pode ser interpretada como descumprimento do artigo 46 da LGPD, sujeita a multas de até 2% do faturamento. A conta, portanto, deixou de ser hipotética. Manter a inação diante desse cenário significa apostar o caixa e a reputação da empresa na esperança de que o incidente não aconteça primeiro.
A partir de diagnósticos conduzidos em processos reais de consultoria, a tese que se impõe contraria o instinto mais comum das empresas. Proibir o uso de IA não resolve nada, apenas empurra o problema para debaixo do tapete. Quando a organização veda o acesso sem oferecer alternativa, o uso não desaparece, migra para canais ainda menos visíveis, e a empresa perde justamente a capacidade de enxergar o que está acontecendo com seus próprios dados. O caminho mais eficaz é a governança que canaliza esse uso em vez de reprimi-lo.
Na prática, preparar a empresa para esse cenário exige três movimentos concretos, e nenhum deles pode esperar o próximo ciclo de planejamento. Primeiro, construir uma política de uso de IA clara e específica, que defina o que pode e o que não pode ser inserido em ferramentas externas, com exemplos reais do negócio, não princípios genéricos copiados de outra empresa. Segundo, oferecer uma alternativa homologada que atenda às necessidades reais das equipes, porque nenhuma política sobrevive se a ferramenta oficial for pior do que a informal que ela pretende substituir. Terceiro, implementar um registro auditável do uso de IA na operação, capaz de mostrar, a qualquer momento, quais dados passaram por quais ferramentas e sob qual autorização.
As empresas que tratarem isso como prioridade estratégica, e não como pauta de TI, sairão na frente. As que continuarem administrando esse fenômeno no escuro vão descobrir o preço da invisibilidade da pior forma possível, quando o incidente e a multa já estiverem sobre a mesa.
Imagem: https://pt.vecteezy.com/foto/47268917-futurista-local-de-trabalho-do-artificial-inteligencia-engenheiro-analisando-complexo-dados-e-sistemas