Em resumo
- Shadow AI é o uso de ferramentas de IA no trabalho sem conhecimento ou aprovação da empresa, quase sempre com contas pessoais e sem regra sobre quais dados podem ser compartilhados.
- Segundo o Work Trend Index 2024 da Microsoft e do LinkedIn, 78% das pessoas que usam IA no trabalho levam ferramentas próprias, sem esperar a empresa.
- Proibir não resolve, porque o uso migra para o celular pessoal, onde a TI não vê nada. O caminho é oferecer uma ferramenta oficial e controlar o que entra nela.
- No Microsoft 365, o caminho passa por descobrir os apps de IA em uso (Defender for Cloud Apps), liberar o Copilot Chat com a conta de trabalho, organizar permissões e bloquear dados sensíveis em IAs externas (Purview).
Shadow AI é o uso de inteligência artificial no trabalho sem o conhecimento ou a aprovação da empresa. Ele já acontece na maioria das organizações, porque a equipe descobriu que a IA economiza tempo. Proibir não resolve. O que reduz o risco é oferecer uma ferramenta oficial, definir quais dados podem ser usados e ter controles que mostrem e limitem o que sai da empresa. Para quem usa o Microsoft 365, boa parte desses controles já está disponível.
O que é Shadow AI?
Shadow AI é o uso de ferramentas e recursos de IA no ambiente corporativo sem conhecimento, aprovação ou governança da organização, segundo a definição da IBM. É o mesmo fenômeno do Shadow IT, quando as equipes passaram a usar softwares e serviços sem passar pela TI, só que agora com uma ferramenta que recebe textos, planilhas e documentos inteiros.
Na prática, é Shadow AI quando alguém:
- cola um contrato em um chat público de IA para pedir um resumo;
- envia uma planilha com dados de clientes para gerar um relatório;
- cria uma conta pessoal em um serviço de IA para fazer tarefas do trabalho;
- instala uma extensão de navegador com IA que lê as páginas e e-mails abertos;
- conecta um aplicativo de IA à conta corporativa sem avaliação da TI.
Quase nunca há má intenção. A pessoa está tentando trabalhar mais rápido. E o hábito é amplo: segundo o Work Trend Index 2024 da Microsoft e do LinkedIn, 78% das pessoas que usam IA no trabalho levam ferramentas próprias, e a taxa chega a 80% nas pequenas e médias empresas.
Quais são os riscos do Shadow AI para a empresa?
O problema não é a IA. É a empresa não saber o que está sendo enviado, para onde e com qual contrato. O Microsoft Data Security Index 2026 indica que a IA generativa já aparece em 32% dos incidentes de segurança de dados, segundo a cobertura do ERP Today.
Vazamento de informação estratégica
Propostas, preços negociados, código-fonte, planos de produto e dados financeiros colados em uma conta pessoal ficam fora do controle da empresa. Dependendo do serviço e do plano, podem ser armazenados, usados para treinar modelos ou expostos por falhas, como mostram os casos de conversas privadas expostas em ChatGPT e Grok.
Dados pessoais e LGPD
Enviar dados de clientes ou colaboradores para uma ferramenta sem contrato pode configurar tratamento sem as medidas de segurança que a Lei Geral de Proteção de Dados exige. Se houver incidente, a empresa responde como controladora. Veja o que a tecnologia ajuda a cumprir no artigo sobre LGPD e Microsoft 365.
Nenhuma rastreabilidade
Com contas pessoais, a empresa não tem relatório de uso, não consegue apagar o que foi enviado e não tem como investigar um incidente. Quando a pessoa sai da empresa, o histórico vai junto.
Decisões baseadas em respostas sem revisão
IA erra. Sem orientação, uma resposta errada pode virar cláusula de contrato, número de relatório ou resposta a cliente sem que ninguém confira.
Por que proibir a IA não resolve?
Bloquear o site do ChatGPT na rede da empresa parece a opção mais segura. Na prática, a necessidade continua: quem já economiza horas com IA passa a usar o celular pessoal ou a rede de casa. O risco não diminui, só deixa de aparecer nos relatórios.
Por isso a pergunta útil não é "devemos permitir a IA?", e sim "como a empresa aproveita a IA sem perder o controle sobre dados, acessos e processos?". A resposta combina segurança com adoção: uma ferramenta oficial que funcione bem, regras claras e controles técnicos para o que não pode sair.
Como liberar a IA com segurança: passo a passo
Os passos abaixo seguem uma ordem prática, do diagnóstico ao controle. Cada um indica o recurso do Microsoft 365 que ajuda a cumprir a etapa.
1. Descobrir quais ferramentas de IA já estão em uso
Antes de criar regras, é preciso saber o que acontece hoje. O Microsoft Defender for Cloud Apps tem um catálogo com a categoria "IA generativa" e mostra quais aplicativos de IA aparecem no tráfego da empresa, com uma nota de risco de segurança e conformidade para cada um, segundo a documentação da Microsoft. O Microsoft Purview, pelo painel de gestão de postura de segurança de dados para IA (DSPM for AI), mostra quais sites de IA são acessados e se dados sensíveis estão sendo enviados a eles.
O resultado é um mapa: quais ferramentas, quantas pessoas, de quais áreas. Esse mapa orienta tudo o que vem depois.
2. Oferecer uma ferramenta oficial
Se a empresa não oferece uma IA, a equipe escolhe a sua. Para quem usa o Microsoft 365, o ponto de partida é o Copilot Chat, incluído nos planos elegíveis e disponível no Word, Excel, PowerPoint e Outlook. Com login pela conta de trabalho, ele tem proteção de dados empresarial: prompts e respostas não são usados para treinar os modelos de base e ficam sob os compromissos contratuais do Microsoft 365, segundo a Microsoft.
Para as áreas que precisam de IA trabalhando com e-mails, arquivos, chats e reuniões da empresa, o Microsoft 365 Copilot (licença paga) acessa esses dados respeitando as permissões que cada pessoa já tem. O artigo Copilot ou ChatGPT na empresa compara as opções.
3. Escrever uma política de uso de IA
A política não precisa ser longa. Precisa responder com clareza:
- quais ferramentas de IA são aprovadas e com qual conta;
- quais dados nunca podem ser enviados (dados pessoais de clientes, informações financeiras não publicadas, código, contratos);
- em quais tarefas a revisão humana é obrigatória antes de usar o resultado;
- como pedir a aprovação de uma ferramenta nova e quem decide;
- quem é responsável por acompanhar o uso e revisar a política.
4. Organizar dados e permissões antes de expandir
A IA corporativa mostra a cada pessoa tudo o que ela pode acessar. Se uma pasta de RH está compartilhada com a empresa inteira, a IA vai encontrar esses arquivos. Por isso, antes de ampliar o uso:
- revise compartilhamentos excessivos no SharePoint e no OneDrive (o SharePoint Advanced Management gera relatórios de compartilhamento excessivo);
- aplique rótulos de confidencialidade do Purview aos documentos sensíveis, que o Copilot respeita;
- elimine cópias antigas e arquivos guardados fora dos ambientes corporativos.
Se os arquivos ainda estão em um servidor local ou espalhados, vale começar pela migração do file server para o SharePoint.
5. Proteger identidades e dispositivos
Controle de IA depende de saber quem acessa e de onde. No Microsoft Entra ID, a autenticação multifator e o acesso condicional garantem que só contas e aparelhos confiáveis entrem nos dados da empresa. Também é possível impedir que usuários autorizem, por conta própria, aplicativos de terceiros (inclusive de IA) a ler e-mails e arquivos corporativos. No Microsoft Intune, as políticas de proteção de aplicativos impedem que o conteúdo corporativo seja copiado para apps pessoais no celular. Veja mais em Entra ID e Intune.
6. Impedir que dados sensíveis saiam para IAs externas
Com o mapa e a política prontos, a TI passa a aplicar as regras:
- no Defender for Cloud Apps, os apps de IA não aprovados podem ser marcados como "não sancionados" e bloqueados nos computadores integrados ao Microsoft Defender for Endpoint;
- no Purview, a prevenção contra perda de dados (DLP) em computadores com Windows pode avisar ou bloquear quando alguém tenta colar dados sensíveis, como CPF ou número de cartão, em sites de IA externos, segundo a documentação do Purview.
O aviso costuma funcionar melhor que o bloqueio no início: ensina sem travar o trabalho, e o bloqueio fica para os dados mais críticos.
7. Treinar a equipe e medir o uso
Ferramenta liberada sem orientação vira Shadow AI de novo. O treinamento deve mostrar o que fazer com a IA, não só o que é proibido: exemplos por área, como escrever bons pedidos e como revisar o resultado. Os relatórios de uso do Copilot no centro de administração mostram quem está usando e onde a adoção precisa de reforço. A Brizmo faz esses treinamentos ao vivo pelo Teams, com gravação. Veja adoção e treinamento.
Resumo: cada etapa e o recurso Microsoft
| Etapa | Recurso Microsoft | O que resolve |
|---|---|---|
| Descobrir o uso | Defender for Cloud Apps, Purview DSPM for AI | Quais apps de IA estão em uso e por quem |
| Ferramenta oficial | Copilot Chat, Microsoft 365 Copilot | IA com conta de trabalho e proteção de dados empresarial |
| Dados e permissões | SharePoint Advanced Management, rótulos do Purview | A IA só encontra o que deveria encontrar |
| Identidade e dispositivos | Entra ID, Intune | Acesso só por contas e aparelhos confiáveis |
| Bloquear vazamento | Defender for Cloud Apps, DLP do Purview | Dados sensíveis não chegam a IAs externas |
| Adoção | Relatórios de uso do Copilot, treinamento | Uso correto e medido |
IA não corrige um ambiente desorganizado
Existe a expectativa de que a IA resolva sozinha os problemas de produtividade. Ela não resolve. Quanto mais a ferramenta trabalha com os dados da empresa, mais importa saber onde eles estão, quem pode vê-los e como devem ser usados. Um ambiente com permissões confusas e arquivos espalhados entrega respostas confusas e expõe o que não deveria.
Por isso a estratégia de IA começa antes da escolha da ferramenta. Começa pelo ambiente.
Como a Brizmo ajuda
A Brizmo é parceira Microsoft e conduz esse processo na Jornada IA: avaliação do ambiente Microsoft 365, mapeamento do uso de IA, organização de dados e permissões, política de uso, liberação do Copilot Chat, piloto com as áreas que mais ganham e expansão conforme o resultado. Os controles de segurança e governança são configurados junto, como mostra a página de governança de dados.
O objetivo não é colocar mais uma ferramenta nas mãos da equipe. É fazer a IA gerar produtividade com controle.
Peça uma avaliação do uso de IA na sua empresa
Perguntas frequentes
O que é Shadow AI?
Shadow AI é o uso de ferramentas de inteligência artificial no trabalho sem o conhecimento ou a aprovação da empresa. O caso mais comum é o colaborador que usa uma conta pessoal de um chat de IA para resumir documentos ou analisar planilhas da empresa.
Qual a diferença entre Shadow AI e Shadow IT?
Shadow IT é o uso de qualquer software ou serviço sem aprovação da TI. Shadow AI é o mesmo fenômeno aplicado à IA, com um risco maior: essas ferramentas recebem o conteúdo dos documentos, não só os arquivos, e podem armazená-lo fora do controle da empresa.
Bloquear o ChatGPT resolve o Shadow AI?
Não sozinho. Se a equipe já usa IA, o bloqueio leva o uso para o celular pessoal, onde a empresa não tem nenhuma visibilidade. Funciona melhor oferecer uma ferramenta oficial, como o Copilot Chat com a conta de trabalho, e reservar o bloqueio para apps de risco e dados sensíveis.
Como descobrir se minha empresa tem Shadow AI?
O Microsoft Defender for Cloud Apps mostra quais aplicativos de IA aparecem no tráfego da empresa, e o Microsoft Purview indica se dados sensíveis estão sendo enviados a sites de IA. Uma pesquisa interna simples, perguntando quais ferramentas as pessoas usam e para quê, também ajuda e costuma surpreender.
Usar IA com conta pessoal pode violar a LGPD?
Pode. Enviar dados pessoais de clientes ou colaboradores para uma ferramenta sem contrato e sem controle da empresa pode configurar tratamento sem as medidas de segurança exigidas pela lei. A política de uso de IA deve deixar claro quais dados nunca podem ser compartilhados. Consulte o jurídico para casos específicos.
Fontes
- IBM: o que é Shadow AI
- Microsoft News: Work Trend Index 2024 sobre IA no trabalho
- Microsoft Data Security Index 2026
- ERP Today: Microsoft Data Security Index 2026 e segurança na IA
- Microsoft Learn: gerenciar aplicativos de IA generativa
- Microsoft Learn: proteção de dados empresarial no Copilot
- Microsoft Learn: Purview e aplicativos de IA de terceiros
Ajuda empresas a escolher, licenciar e tirar proveito do Microsoft 365, do Copilot e da plataforma Microsoft.
Conheça a Brizmo
