A IA generativa provocou uma nova onda de produtividade e, com ela, uma nova categoria de risco de segurança.
À medida que as ferramentas e plataformas de IA se tornam mais acessíveis e poderosas, os funcionários estão adotando-as sem supervisão do departamento de TI. Na verdade, nosso Relatório sobre o Estado da Segurança de Dados de 2025 revelou que 98% dos funcionários usam aplicativos não autorizados em casos de uso de Shadow AI e Shadow IT.
Embora possa parecer inofensiva, a Shadow AI pode expor seus dados confidenciais, prejudicar a conformidade e introduzir vulnerabilidades invisíveis no seu ambiente. Neste artigo, você aprenderá o que é a Shadow AI, por que ela é arriscada para as empresas e como lidar com ela sem sufocar a inovação.
A Shadow AI refere-se ao uso de ferramentas e aplicativos de inteligência artificial pelos funcionários sem a aprovação formal ou a governança dos respectivos departamentos de TI. Assim como a shadow IT, a shadow AI envolve especificamente modelos generativos de IA, agentes, copilotos, ferramentas e outros sistemas de IA que não passaram por processos de verificação de segurança adequados.
Com o crescimento explosivo de plataformas de IA fáceis de usar, os funcionários podem acessar recursos poderosos de IA. A pura conveniência, a relação custo-benefício, os recursos avançados e a natureza de código aberto das ferramentas de IA as tornam atraentes para qualquer funcionário que queira aumentar a produtividade, mas elas trazem grandes riscos ocultos. O recente banimento do Deepseek pelo Congresso dos EUA destacou as preocupações críticas de segurança com a Shadow AI.
As implicações de segurança da Shadow AI vão muito além dos riscos típicos de software. Funcionários que inserem dados corporativos em sistemas de IA não autorizados podem inadvertidamente expor informações sensíveis a entidades externas com práticas de tratamento de dados pouco claras.
Veja o que você deve observar ao determinar como seus dados são tratados pelas plataformas de IA:
Vamos analisar a popular plataforma de IA DeepSeek. De acordo com a política de privacidade, o DeepSeek processa as solicitações dos usuários em servidores localizados na China.
Isso significa:
Embora os desenvolvedores possam hospedar instâncias locais do DeepSeek em servidores isolados, muitos funcionários simplesmente usam a versão disponível publicamente sem considerar essas implicações.
Digamos, por exemplo, que um representante de vendas copie e cole um contrato de cliente em uma ferramenta de IA para ajudar a resumir os principais pontos para uma reunião. Sem perceber, ele potencialmente expôs estruturas de preços confidenciais, informações de clientes e termos proprietários a servidores fora do controle da empresa. Esses dados podem ser incorporados aos dados de treinamento da IA ou acessados por partes não autorizadas.
O ato em si parece bastante inocente, mas esse tipo de vazamento inadvertido de dados representa um dos riscos mais significativos associados à Shadow AI.
Muitas organizações enfrentaram a Shadow AI implementando proibições em ferramentas como o DeepSeek. Governos e países inteiros, como a Itália, tomaram medidas para bloquear determinadas plataformas de IA para se protegerem contra os riscos da Shadow AI.
As proibições corporativas tradicionais, no entanto, têm se mostrado difíceis de serem aplicadas por vários motivos:
Ao contrário das preocupações com aplicativos como o TikTok ou hardware de empresas como a Huawei, as ferramentas de IA de código aberto apresentam desafios de segurança diferentes.
Modelos de código aberto:
Nem tudo é desgraça e tristeza; as organizações ainda podem colher os benefícios da IA. Em vez de bloquear ou banir todas as ferramentas de IA, as organizações podem implementar essas estratégias para gerenciar os riscos da Shadow AI e, ao mesmo tempo, aproveitar os benefícios da IA.
As organizações podem começar a mitigar o risco da IA definindo e comunicando diretrizes claras sobre as ferramentas de IA aprovadas e o uso.
As políticas típicas incluem:
Por exemplo, uma equipe de marketing pode desenvolver diretrizes que permitam o uso de ferramentas de IA aprovadas para a geração de ideias de conceitos de campanha, mas que exijam revisão humana antes de implementar qualquer conteúdo gerado por IA.
Quando os funcionários recorrem à Shadow AI, isso geralmente indica que eles precisam de capacidades não fornecidas pelos canais oficiais.
Para combater isso, as organizações devem:
As equipes de desenvolvimento de software, por exemplo, podem se beneficiar de assistentes de codificação hospedados internamente que auxiliam nas tarefas sem expor código proprietário a plataformas de IA externas.
Muitos riscos obscuros de IA decorrem da falta de conscientização e não de intenções maliciosas. É responsabilidade das organizações que buscam implementar a IA para:
As soluções técnicas oferecem recursos sólidos para gerenciar a Shadow AI. Para proteger o ambiente para IA, as organizações podem:
O segredo para gerenciar a Shadow AI de forma eficaz em uma organização está em equilibrar a inovação e a manutenção da segurança. Encontrar esse equilíbrio significa:
Ferramentas especializadas, como a Varonis, permitem que as organizações identifiquem o uso de Shadow AI e enfrentem os desafios por meio de recursos como:
Que saber mais sobre a postura de segurança de dados da sua organização? Leia nosso relatório de risco de dados gratuito.
A Shadow AI refere-se a funcionários usando ferramentas e aplicativos de inteligência artificial sem a aprovação formal ou a governança dos respectivos departamentos de TI. Semelhante à shadow IT, onde os funcionários adotam software ou hardware não autorizado, a shadow AI envolve especificamente modelos de IA generativa, ferramentas de aprendizado de máquina e outros sistemas de IA que não passaram por processos adequados de verificação de segurança
Os riscos da Shadow AI incluem:
Um exemplo de Shadow AI seriam os funcionários que usam ferramentas como o ChatGPT ou LLMs de código aberto (como o DeepSeek) para escrever código, analisar dados, gerar conteúdo de marketing ou resumir contratos de clientes, tudo sem a aprovação da TI ou a revisão de segurança.
A Shadow AI pode resultar em não conformidade com regulamentos como GDPR, HIPAA ou CCPA se dados confidenciais forem processados em ambientes não autorizados ou não regulamentados, especialmente através de fronteiras internacionais.
A Shadow AI é um subconjunto da Shadow IT focado explicitamente no uso não autorizado de ferramentas de inteligência artificial. Embora a shadow IT inclua qualquer hardware ou software não aprovado, a shadow AI apresenta riscos únicos de privacidade de dados e treinamento de modelos.