A IA já entrou na sua empresa: você sabe onde?

Rener Menezes e Evener Menezes discutem Shadow AI, exposição de dados, segurança, regulação e os controles necessários para adotar inteligência artificial sem perder visibilidade.

Nota de revisão: resumo e pontos-chave são demonstrativos; o vídeo acima é o episódio publicado.

O problema começa antes da compra oficial

A questão central do episódio é simples de formular e difícil de responder: quantas ferramentas de inteligência artificial estão sendo usadas dentro da empresa, por quem e com quais dados? A adoção não começa necessariamente em um projeto aprovado pela diretoria. Pode surgir quando alguém usa uma conta pessoal para resumir um documento, preparar uma apresentação, gerar um painel ou criar uma pequena aplicação. O ganho imediato de velocidade é visível; o fluxo de informações e a responsabilidade pela solução, nem sempre.

Rener Menezes e Evener Menezes tratam esse fenômeno como Shadow AI, uma continuação da chamada Shadow IT: tecnologia adotada sem conhecimento ou controle adequado da área responsável. A diferença relevante é a facilidade de acesso. Pessoas que antes apenas consumiam sistemas agora conseguem produzir código, automações e agentes. Isso amplia a capacidade de experimentar, mas também distribui decisões técnicas entre profissionais que podem não conhecer requisitos básicos de autenticação, proteção de dados, implantação e monitoramento.

Cinco dimensões para enxergar o risco

O episódio organiza o problema em cinco dimensões. A primeira são os dados: informações internas podem sair do perímetro da empresa e ser enviadas a um terceiro sem avaliação contratual ou técnica. Não basta perguntar se uma ferramenta “usa IA”; é preciso saber que conteúdo recebe, onde o processa e quais regras se aplicam a ele.

A segunda dimensão é a identidade. Usuários humanos precisam ser autenticados, autorizados e auditáveis; agentes também. O cenário se complica quando um agente cria ou aciona outros agentes, porque a empresa precisa preservar a cadeia de responsabilidade. Sem identidade e origem verificáveis, torna-se difícil descobrir quem iniciou uma ação e quais permissões foram usadas.

A terceira é a visibilidade: a área de tecnologia não consegue proteger aquilo que desconhece. A quarta é a evolução das ameaças, incluindo fraudes, phishing e conteúdo sintético usado para tornar ataques mais baratos e escaláveis. A quinta é a autonomia. Uma ferramenta que apenas sugere texto apresenta um perfil diferente de outra capaz de consultar sistemas, executar código ou agir sem aprovação humana a cada etapa.

Essas dimensões não provam que todo uso informal produzirá um incidente. Elas oferecem uma maneira de separar conveniência de exposição real e de priorizar os casos em que dados sensíveis, privilégios elevados ou ações autônomas se combinam.

Política isolada não produz controle

Uma pesquisa da Microsoft citada na conversa é usada para ilustrar a distância entre adoção e governança. Segundo os números apresentados no episódio, 75% dos trabalhadores pesquisados já utilizavam IA no trabalho, 46% haviam começado nos seis meses anteriores e 66% desobedeciam à política corporativa mesmo sabendo que ela existia. Os dados reforçam o ponto central da discussão: a adoção pode avançar mais rapidamente que os mecanismos criados para orientá-la e supervisioná-la.

O ponto sustentado pela discussão independe de um percentual específico: publicar uma política não garante conhecimento, adesão ou fiscalização. Se a ferramenta resolve uma necessidade concreta e não existe opção corporativa viável, a proibição tende a deslocar o uso para contas pessoais e canais menos observáveis. Isso não significa liberar tudo. Significa combinar regras compreensíveis, treinamento, descoberta técnica, controle de acesso e alternativas aprovadas.

O contraste entre contas pessoais e ambientes corporativos ajuda a tornar o risco concreto. Contas pessoais podem escapar dos requisitos de autenticação, retenção e auditoria da organização. Uma oferta empresarial pode permitir controles adicionais, mas a contratação, sozinha, também não resolve o problema: é necessário configurar esses recursos, limitar permissões e acompanhar o uso.

Governança não é sinônimo de burocracia

Um dos contrapontos do episódio é que governança não precisa atrasar inovação. Seu papel é definir antecipadamente quem decide, quem pode acessar determinados dados e o que acontece quando há um incidente. Burocracia excessiva pode impor demora sem reduzir risco; governança útil estabelece limites proporcionais e caminhos conhecidos para experimentar.

Essa distinção é especialmente relevante em setores regulados. A conversa menciona o AI Act da União Europeia e o projeto brasileiro de regulação da inteligência artificial como sinais de que classificação de risco, transparência e responsabilização passarão a influenciar produtos e fornecedores. O episódio também compara esse movimento à adequação a regras de proteção de dados. Como cronogramas e textos legais mudam, organizações devem confirmar a situação normativa vigente antes de tomar decisões de conformidade.

Não se trata apenas de uma pauta da tecnologia. Segurança precisa avaliar superfícies de ataque; o jurídico, interpretar contratos e obrigações; o RH, apoiar formação e cultura; as áreas de negócio, definir valor e impacto no cliente. Um comitê pode coordenar essas perspectivas, desde que tenha um responsável, autoridade e trabalho contínuo. Sem dono e sem capacidade de decisão, corre o risco de virar apenas uma formalidade.

Três perguntas para começar

O diagnóstico proposto pode começar com três perguntas. Quais ferramentas estão em uso hoje? A resposta exige descoberta, não apenas consulta a uma lista oficial. Dados sensíveis estão sendo expostos? É necessário observar entradas, integrações, permissões e destinos. Quem é responsável pela decisão? Cada caso precisa de alguém capaz de aceitar, reduzir ou interromper o risco.

Depois do inventário, a empresa pode classificar usos por impacto. Um auxílio para rascunhar texto público não equivale a um agente com acesso a informações financeiras ou poder para executar transações. Revisão humana, autenticação corporativa, registros de auditoria e limites de autonomia devem acompanhar o risco de cada aplicação.

A síntese prática

Shadow AI dificilmente será eliminado por completo. A meta realista é reduzir o uso invisível, concentrar proteção nos ativos importantes e oferecer meios seguros para obter benefícios de produtividade. IA pode acelerar profissionais experientes, mas também acelera erros de quem produz sistemas sem compreender fundamentos de segurança. O efeito não é automaticamente positivo nem negativo; depende do contexto, das competências e dos controles.

A pergunta final permanece útil como teste de maturidade: se alguém pedir agora a quantidade de inteligências artificiais usadas na empresa, a resposta virá de evidências ou de suposição? Admitir que o inventário ainda não existe é melhor do que declarar um controle imaginário. A partir daí, descoberta, responsabilidade e monitoramento transformam uma preocupação abstrata em trabalho de governança verificável.