O Shadow AI já aparece na rotina de muitas empresas, mesmo sem uma decisão formal de adoção. Um colaborador cola um trecho de contrato em uma conta pessoal de IA para ganhar tempo, e a TI nem sempre fica sabendo. Por isso, identificar o uso de IA não autorizada na empresa virou uma etapa básica de gestão de risco.
O que é Shadow AI e como ele aparece na rotina da empresa?
Shadow AI é o uso de ferramentas de inteligência artificial sem aprovação, visibilidade ou controles definidos pela organização. Pode incluir chats públicos, extensões de navegador e aplicativos ligados a contas pessoais. Nesses casos, documentos e dados da empresa passam a circular fora de qualquer política de segurança.
Imagine uma analista comercial que precisa revisar uma proposta para um cliente. Ela copia o texto, com preços e condições, para uma conta pessoal de IA e pede uma versão mais clara. O resultado volta em segundos, mas a empresa perdeu o controle sobre onde esse conteúdo ficou armazenado. Já o conceito mais amplo de tecnologias não aprovadas está no artigo sobre Shadow IT.
Quais sinais indicam o uso de IA sem autorização?
Alguns sinais justificam uma investigação, embora nenhum deles prove vazamento por si só. Primeiro, os próprios times mencionam ferramentas de IA que não constam do catálogo aprovado. Além disso, surgem contas pessoais usadas em tarefas de trabalho, extensões de navegador instaladas por conta própria e integrações que a TI não reconhece. Também chama atenção quando documentos seguem para serviços externos fora de um fluxo definido.
Esses indícios ajudam a priorizar a conversa com as áreas. Um bom diagnóstico dispensa vigilância indiscriminada e também não promete detectar todo uso.
Como identificar ferramentas, usuários e dados envolvidos?
O diagnóstico começa fora da tecnologia. Primeiro, a TI conversa com as áreas de negócio para mapear quais ferramentas de IA as equipes usam e para quê. Em seguida, revisa o catálogo de aplicações aprovadas e compara com o que aparece no ambiente, usando os registros e os recursos de descoberta disponíveis.
O modelo de implantação da Microsoft para Shadow AI organiza esse caminho em quatro etapas. A primeira descobre os aplicativos de IA em uso. A segunda bloqueia o acesso aos não autorizados. Depois, a terceira impede o envio de dados sensíveis aos aplicativos autorizados, e a quarta governa o que foi enviado.
Para cada uso identificado, vale registrar o tipo de dado, a conta utilizada e a finalidade. Uma proposta comercial enviada por conta pessoal exige resposta diferente de um texto público revisado por IA. A visibilidade, por sua vez, varia conforme os dispositivos, a arquitetura do ambiente e as licenças existentes. Por isso, o primeiro resultado costuma ser um mapa parcial, que a empresa refina com o tempo.
Esse foco difere do tema de oversharing no Copilot, que trata do acesso interno, enquanto aqui o assunto é o envio a ferramentas externas.
Como a Microsoft ajuda a proteger dados enviados a IAs não autorizadas?
Em setembro de 2026, a Microsoft anunciou a disponibilidade geral da integração entre o Microsoft Purview e o Microsoft Entra Global Secure Access para proteger dados em trânsito. A classificação e as políticas do Purview passam a ser aplicadas pelo Entra na camada de rede. Na prática, se um colaborador tenta enviar um documento sensível a uma ferramenta de IA não autorizada, a política pode interromper a transferência antes que os dados saiam.
Essa novidade, porém, não significa que a compra de uma licença ative todas as políticas. A cobertura depende de implantação, de configuração e dos requisitos de licenças descritos na documentação da Microsoft. Portanto, a avaliação técnica do ambiente vem antes da decisão de ativar qualquer controle.
Como reduzir Shadow AI sem interromper o trabalho da equipe?
Bloquear todos os sites de IA, por si só, não oferece alternativa a quem precisa de agilidade. Uma política mais eficaz começa pela aprovação de ferramentas e pela oferta de uma alternativa corporativa, como no artigo sobre chat de IA para trabalho.
Em seguida, regras por categoria de dados deixam claro o que a equipe pode fazer. Existem usos permitidos, usos que exigem avaliação e informações que não devem sair do ambiente autorizado, como dados de clientes e contratos. Treinamentos com exemplos reais ajudam a fixar essas diferenças. Por fim, a política precisa de revisões periódicas com TI e negócio, já que ferramentas e necessidades mudam rápido.
Como a Lattine ajuda sua empresa a avaliar os riscos de Shadow AI
Antes de ativar controles, vale mapear o ambiente: quais ferramentas circulam, quais dados estão envolvidos e quais proteções já existem. A Lattine conduz essa conversa com gestores e equipes técnicas, e o Lattine SEC funciona como porta de entrada para discutir quais controles de segurança fazem sentido. Depois, a equipe técnica valida, caso a caso, o escopo do serviço e a cobertura dos recursos de proteção de rede.
Conheça o Lattine SEC e converse sobre os riscos de Shadow AI no ambiente da sua empresa.