Compliance · Governança Corporativa · LGPD · Segurança da Informação
Imagine a cena: um profissional recebe um contrato longo e complexo para revisar até o fim do dia. Sem pensar duas vezes, cola o texto inteiro numa ferramenta de inteligência artificial gratuita para “resumir e melhorar a redação”. Em outra sala, alguém do time comercial sobe uma planilha com dados de clientes para gerar, em segundos, um relatório automático. Em nenhum dos dois casos houve má-fé. Houve, apenas, a busca legítima por produtividade.
E é exatamente aí que mora o problema. Nenhuma dessas pessoas cometeu um ato de sabotagem. Nenhuma delas imagina estar colocando a empresa em risco. Mas, em ambos os casos, informações confidenciais, dados de clientes e ativos estratégicos podem ter saído do controle da organização sem que ninguém do jurídico, da segurança da informação ou da alta liderança sequer soubesse.
Esse fenômeno tem nome: Shadow AI. E ele já deixou de ser hipótese para se tornar rotina dentro das empresas brasileiras.
O que é Shadow AI, afinal?
Shadow AI é o uso de ferramentas de inteligência artificial pelos colaboradores sem validação das áreas de TI, Segurança da Informação ou Compliance. O termo deriva do já conhecido “Shadow IT” tecnologias adotadas informalmente, à revelia da governança corporativa, mas no contexto da IA generativa o risco é maior e mais rápido de se espalhar.
Na prática, isso significa colaboradores inserindo contratos em plataformas públicas para “melhorar a redação”, times de RH usando IA não homologada para triagem de currículos, o jurídico recorrendo a ferramentas externas para revisão de peças e minutas, o comercial alimentando sistemas automatizados com dados de clientes, e a área de Marketing utilizando IA para processamento de dados, criação de conteúdo e automações de produtividade, muitas vezes sem qualquer classificação prévia sobre o que pode ou não ser compartilhado.
O problema não é a ferramenta em si. É que, dependendo de como e onde os dados são inseridos, essas informações podem ser armazenadas, processadas em servidores fora do país, reutilizadas para treinar outros modelos ou submetidas a políticas de tratamento pouco transparentes muitas vezes sem que a empresa sequer consiga identificar em qual país seus dados estão.
Os números mostram que isso já é rotina, não exceção
Levantamentos recentes, no Brasil e no exterior, deixam claro que o Shadow AI não é um risco futuro, é um comportamento já disseminado.
Uma pesquisa internacional de cibersegurança conduzida em 2026 (Cybersecurity Hygiene Report, da WatchGuard Technologies), com centenas de profissionais de pequenas e médias empresas em oito países, incluindo o Brasil, revelou que 64% dos colaboradores utilizam ferramentas de IA não autorizadas no trabalho. O mesmo estudo aponta que menos de 30% das empresas acreditam manter um inventário preciso dos softwares em uso, e quase 40% admitem operar sem visibilidade completa sobre as aplicações ativas em sua própria infraestrutura. O levantamento também identificou outros hábitos de risco que caminham lado a lado com o uso não autorizado de IA: reutilização de senhas por 76% dos profissionais, conexão a redes Wi-Fi públicas para tarefas corporativas por 70%, e acesso a sistemas da empresa sem VPN por metade dos entrevistados.
Outro levantamento (Future of Professionals 2026, da Thomson Reuters – no recorte brasileiro) focado especificamente em profissionais do setor jurídico e de auditoria de risco no Brasil, encontrou que quase quatro em cada dez recorrem a soluções de IA externas não fornecidas pela empresa, muitas vezes porque a própria organização não oferece nenhuma ferramenta corporativa equivalente. E uma pesquisa recente sobre adoção de IA agêntica no país trouxe um dado comportamental relevante: quase metade dos profissionais afirma que, se as ferramentas oficiais forem lentas ou muito restritivas, buscará alternativas por conta própria. Para eles, a velocidade vem antes da segurança.
O padrão que emerge é consistente: quanto mais rígida e menos funcional é a política oficial, maior é o incentivo para contornar as regras. Proibir sem oferecer alternativa não elimina o Shadow , apenas o empurra para contas pessoais e dispositivos particulares, tornando-o ainda mais invisível.
De risco operacional a passivo jurídico: o que está em jogo
É neste ponto que o tema deixa de ser uma questão de TI e se torna uma questão de Direito. A Lei Geral de Proteção de Dados exige que agentes de tratamento adotem medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados, vazamento, alteração ou uso indevido e impõe o dever de demonstrar essa conformidade, não apenas alegá-la.
Quando um colaborador insere dados de clientes, informações contratuais ou documentos estratégicos numa ferramenta de IA não homologada, a empresa pode estar, sem saber, promovendo uma transferência internacional de dados pessoais fora de qualquer controle, descumprindo obrigações de confidencialidade contratual com clientes e fornecedores, expondo segredos de negócio e informações competitivas, e criando um incidente de segurança que, uma vez descoberto, precisa ser comunicado à Autoridade Nacional de Proteção de Dados dentro de prazo curto, atualmente fixado em três dias úteis para incidentes relevantes.
Um caso amplamente noticiado no mercado internacional de tecnologia ilustra bem esse risco: engenheiros de uma grande fabricante de eletrônicos utilizaram uma ferramenta de IA generativa pública para auxiliar em tarefas de código-fonte e documentação técnica. O resultado foi a exposição de informações confidenciais, incluindo dados estratégicos e registros de reuniões internas, na própria plataforma externa. A empresa reagiu restringindo o uso da ferramenta mas o episódio já havia acontecido. A lição não é sobre a tecnologia em si: é sobre a ausência de regras claras antes que o dano ocorresse.
Por que a fiscalização deixou de ser hipótese
A regulação brasileira também está reagindo à velocidade da adoção de IA. A Autoridade Nacional de Proteção de Dados incluiu inteligência artificial e tecnologias emergentes entre os eixos prioritários de fiscalização para o biênio 2026-2027, com dezenas de ações de fiscalização previstas especialmente sobre aplicações que processam dados sensíveis ou afetam direitos fundamentais dos titulares. As multas administrativas previstas na LGPD podem chegar a valores expressivos por infração, e a autoridade já demonstrou disposição para determinar, em casos graves, até a paralisação de atividades de tratamento de dados.
Some-se a isso o avanço de frameworks internacionais de governança de IA, como a norma internacional específica para gestão de sistemas de inteligência artificial (ISO/IEC 42001), que traz diretrizes sobre gestão de riscos, supervisão humana e responsabilização organizacional. O sinal do mercado é claro: governança de IA deixou de ser diferencial competitivo para se tornar requisito de conformidade básica.
Governança não é proibir. É dar limites seguros à inovação
A resposta mais comum de muitas empresas diante desse cenário é proibir terminantemente o uso de IA. É também, segundo especialistas em segurança da informação, a resposta menos eficaz: a proibição sem alternativa apenas empurra o comportamento para fora do radar da empresa.
A governança eficaz de IA passa por medidas concretas e razoavelmente simples de implementar:
- Política interna específica de uso de IA, com linguagem acessível e não apenas jurídica;
- Classificação de informações que podem ou não ser inseridas em plataformas externas: dados de clientes, contratos e informações estratégicas exigem tratamento diferente de conteúdo genérico;
- Definição de ferramentas homologadas, com avaliação prévia de onde e como os dados fornecidos são armazenados e processados;
- Validação humana obrigatória em decisões e processos críticos, especialmente os que envolvem dados sensíveis;
- Avaliação contratual de fornecedores de IA, verificando cláusulas de confidencialidade, localização de servidores e uso dos dados para treinamento de modelos;
- Treinamento contínuo dos colaboradores, para que entendam o risco concreto de cada ferramenta.
Nenhuma dessas medidas trava a produtividade que a IA proporciona. Ao contrário: dão à inovação um espaço seguro para acontecer, sem transformar cada colaborador em uma fonte não mapeada de risco jurídico.
Onde o Direito Empresarial entra
A governança de IA eficaz não nasce isolada dentro do departamento jurídico, nem apenas na área de tecnologia. Ela exige a integração entre jurídico, encarregado de dados (DPO), compliance, TI e segurança da informação, porque os riscos de IA deixaram de ser puramente tecnológicos e passaram a impactar diretamente a responsabilidade civil e regulatória da empresa.
É aqui que a assessoria jurídica especializada em Compliance e Governança Corporativa se torna decisiva: na estruturação de políticas internas de uso de IA juridicamente sólidas e operacionalmente viáveis; na revisão de contratos com fornecedores de tecnologia, incluindo cláusulas de proteção de dados e responsabilidade; na condução de relatórios de impacto e mapeamento de riscos antes que um incidente aconteça; e, quando necessário, na resposta rápida e coordenada diante de vazamentos ou notificações regulatórias.
O ponto central é este: a ausência de governança sobre IA tende a criar um novo tipo de passivo corporativo, silencioso, descentralizado e, na maioria dos casos, só percebido depois que o incidente já ocorreu. Antecipar essa estrutura custa muito menos do que remediá-la.
Conclusão: a pergunta certa não é “se”, é “como”
A inteligência artificial já está dentro das empresas brasileiras, nas mãos do RH, do jurídico, do marketing, do comercial e da tecnologia. Essa realidade não vai regredir, e proibições absolutas raramente funcionam contra uma ferramenta que entrega ganho real e imediato de produtividade.
A pergunta que toda liderança deveria estar fazendo não é mais “será que meus colaboradores usam IA sem autorização?” A resposta, estatisticamente, é sim. A pergunta certa é: minha empresa tem governança suficiente para saber onde, como e com quais dados isso está acontecendo?
Na Gabardo e Terra Advogados Associados, com mais de três décadas de atuação em Compliance, Governança Corporativa e Gestão de Riscos, ajudamos empresas a transformar essa pergunta em estrutura concreta com políticas claras, contratos seguros e processos que permitem inovar com IA sem abrir mão da segurança jurídica.
Conteúdo de caráter informativo, produzido pela equipe da Gabardo e Terra Advogados Associados. Não constitui aconselhamento jurídico para casos concretos. Para orientação sobre governança de inteligência artificial, adequação à LGPD e políticas internas de uso de IA na sua empresa, entre em contato com nossa equipe.
