Ninguém disse que não podia: uma reflexão sobre Shadow AI

Imagine a Carla, analista de planejamento. É quinta-feira, fim de tarde, e ela precisa entregar um resumo do orçamento do próximo ano para a diretoria até a manhã seguinte.

Há alguns meses a empresa colocou no ar uma ferramenta interna de IA, mas o anúncio se perdeu num e-mail de sexta-feira e Carla nunca chegou a abrir. A IA que ela conhece é o ChatGPT, que fica aberto numa aba ao lado, na conta pessoal dela. Ela anexa a planilha do orçamento, pede um resumo executivo em cinco tópicos e, vinte minutos depois, o trabalho está pronto. Carla vai para casa satisfeita, e com razão.

Ninguém nunca disse a ela que não podia fazer isso. Também ninguém disse que podia.

A mesma cena, do outro lado

Agora pense em quem responde pela segurança dessa empresa. Para a Carla, foi só mais uma tarefa resolvida antes do fim do dia. Para essa pessoa, foi a planilha de orçamento indo para uma conta pessoal, num serviço externo que fica fora do alcance de qualquer controle corporativo.

E a Carla não é a exceção. Ela é a funcionária que todo gestor quer ter: curiosa, rápida, com vontade de usar IA para entregar melhor. Multiplique por todas as áreas da empresa e você tem o que o mercado chama de Shadow AI: IA sendo usada fora do radar de quem cuida da segurança, quase sempre com boa intenção. Para quem está desse lado, o desafio é real: nenhuma ferramenta de segurança alcança a conta pessoal de cada colaborador.

Bloquear resolveria?

Para quem cuida da segurança, a primeira resposta que aparece é bloquear. Só que surge uma ferramenta de IA nova toda semana, e manter essa lista atualizada vira uma corrida que ninguém consegue vencer.

O bloqueio alcança o navegador do computador corporativo. O celular da Carla, o notebook de casa e o print mandado por mensagem ficam de fora. Além disso, ele passa um recado ruim, de que a empresa tem medo da ferramenta que as pessoas estão usando para render mais. A Carla continuaria usando, agora escondida, e a visibilidade que existia desapareceria.

O caminho que eu enxergo

Eu começaria pelo que faltou para a Carla: uma orientação clara. Esse é um trabalho para governança e segurança fazerem juntas. A governança define o que a empresa aceita e quem responde por cada decisão. A segurança traduz isso em regras práticas, que tipo de informação pode ir para serviços externos e que tipo nunca deve sair. O resultado precisa caber num guia curto, sem juridiquês, que chegue de verdade a todas as áreas e não se perca num e-mail de sexta-feira. Com esse guia em mãos, a Carla provavelmente teria feito a mesma tarefa no lugar certo.

Depois, garantir que a ferramenta interna seja a primeira opção que vem à cabeça. Se ela for mais lenta, mais limitada ou difícil de encontrar, as pessoas vão continuar recorrendo ao ChatGPT pessoal, com ou sem guia. O guia mostra qual é o caminho certo, e uma ferramenta boa faz as pessoas quererem seguir por ele.

Por fim, acompanhar o uso. Com os modelos passando por um gateway central, dá para saber quais estão sendo usados, por quais áreas e em que volume, sem ler a conversa de ninguém. Esse acompanhamento vira o termômetro de todo o trabalho: se o uso interno cresce mês a mês, o guia e a ferramenta estão cumprindo o seu papel.

Nenhum controle vai alcançar cada conta pessoal, e nenhum time de segurança sério deveria prometer isso. O que dá para afirmar é que, quando a empresa fica calada sobre IA, cada Carla preenche esse silêncio do próprio jeito. Melhor que, na hora de procurar, ela encontre uma orientação clara e uma ferramenta interna que dê conta do recado.