O perigo da Shadow AI: como a falta de governança afeta empresas

A planilha que saiu pela janela: Shadow AI e o risco da IA sem governança

Era quinta-feira, 17h40, e Marina precisava entregar a proposta de reajuste de preços até o fim do dia. A planilha tinha 3.200 linhas: clientes, contratos, margens, descontos negociados. Fazer a análise na mão levaria a noite toda.

Ela abriu uma aba do navegador, entrou em uma ferramenta de IA com a conta pessoal, copiou a planilha inteira e escreveu: “Analise esses dados e sugira reajustes por cliente.”

Em quatro minutos, tinha a resposta. Às 18h, entregou o trabalho e foi elogiada pelo gestor. Ninguém perguntou como ela tinha feito.

(Marina é uma personagem fictícia, inspirada em situações descritas na pesquisa.)

Nada disso foi má-fé. Foi pressa, ferramenta à mão e nenhuma regra visível. Mas a margem de cada cliente da empresa acabou de sair do controle da empresa. Essa história tem nome: Shadow AI.

Shadow AI é o uso de ferramentas de IA sem conhecimento ou aprovação da TI e da segurança. No Panorama Vibe Coding Brasil, 50,1% dos profissionais já criaram automações ou integrações sem projeto formal de TI, mas só 26,4% (524 de 1.982) confirmam ter regras claras e formalizadas sobre quais dados podem entrar em ferramentas de IA.

Marina é exceção? Os números dizem que não

O Panorama Vibe Coding Brasil, estudo da Skyone com o The News, ouviu 2.440 profissionais:

Os números juntos dizem: a criação acelerou, e as regras não acompanharam. E há um detalhe: quem cria já sente o risco, só não recebeu a proteção.

Quando a regra não existe, ou existe e ninguém vê

O perfil mais comum da pesquisa, com 42,7% da amostra (846 respostas), é o da “orientação fragmentada”: muita atividade técnica, sem padrão. Entre os criadores desse grupo:

• 52,1% criam automações;
• 49,5% desenvolvem integrações internas;
• 60,9% não têm diretrizes claras sobre dados.

Mesmo entre empresas que têm regras, 33,1% dizem que elas são mal comunicadas.

Por que proibir não resolve

Se o gestor de Marina tivesse banido a IA, ela teria entregue a proposta na sexta, mais tarde, ou teria usado o celular. O problema que a levou à ferramenta continuaria lá. O relatório resume o dilema: compliance precisa vir antes da livre experimentação, sem matar a experimentação.

E se a quinta-feira de Marina fosse diferente?

Imagine a mesma cena, 17h40, a mesma planilha. A diferença é que, em vez de uma conta pessoal, Marina abre o portal único de IA da empresa.

Ela faz o mesmo pedido e recebe a resposta em quatro minutos. Mas, nos bastidores, três coisas acontecem sem que ela precise pensar nelas:

1. Os nomes e valores sensíveis são anonimizados antes de chegarem ao modelo na nuvem pública.
2. A requisição é monitorada, e o comando fica registrado.
3. O acesso é controlado: a empresa decide quais modelos estão liberados.

Esse é o papel de um AI Gateway corporativo, e é o que o Skyone Astro (em breve) foi desenhado para fazer: um portal único para o acesso a múltiplas LLMs, como OpenAI, Gemini e outras, com monitoramento, anonimização de dados sensíveis (DLP) e registro de comandos. Marina continua rápida, e a empresa continua no controle.

Da regra à prática: como a Skyone ajuda

Um semáforo para começar já

Enquanto a ferramenta não chega, uma regra de uma página ajuda:

Perguntas frequentes

O que é Shadow AI?
É o uso de ferramentas de IA por colaboradores sem aprovação ou conhecimento da TI e da segurança.

Quais são os riscos?
Vazamento de dados corporativos e pessoais, perda de rastreabilidade, descumprimento da LGPD e automações sem dono.

O que é o Skyone Astro?
É o AI Gateway corporativo da Skyone: um portal único para o acesso a múltiplas LLMs, com monitoramento de requisições, anonimização de dados sensíveis (DLP) e registro de comandos. O produto está em fase de lançamento.

Qual a diferença entre um AI Gateway e uma política de uso?
A política diz o que pode ou não ser feito. O gateway aplica a proteção no caminho, mesmo quando alguém esquece a regra.

Voltando à quinta-feira, 17h40

A Marina da sua empresa não precisa ser cuidadosa o tempo todo, porque o sistema pode fazer parte desse cuidado. A frase que fecha o Panorama resume bem: o vibe coding já acontece. Agora é governar.

Se puder fazer uma coisa esta semana, divulgue o semáforo ao time. E, se quiser entender o cenário completo, baixe o Panorama Vibe Coding Brasil ou conheça as soluções de IA e dados da Skyone.

Escrito por Skyone