Toda política de uso de IA nasce tarde. Quando a diretoria senta para escrever a regra, o time já
colou contrato, planilha de margem e base de cliente em alguma ferramenta gratuita. Tudo isso em
conta pessoal, sem registro e sem contrato de tratamento de dados. A pergunta útil, portanto, não é
se a empresa vai adotar inteligência artificial. É se ela sabe o que já entrou.
Uma pesquisa da Abiacom com a Brazil Panels e a Lideres.ai saiu na Exame em janeiro de 2026.
Segundo o levantamento, 47,4% dos profissionais usam ferramentas de IA sem aprovação oficial.
O número tem nome no mercado: shadow AI. Ele cresce, sobretudo, onde a empresa acredita estar
segura.
O mito confortável: “aqui a gente ainda não usa IA”
Muitos gestores, afinal, tratam a IA como um projeto futuro. O raciocínio parece lógico, já que
nenhuma ferramenta foi comprada, nenhum contrato foi assinado e nenhum piloto foi aprovado.
Sem adoção, não haveria risco.
O raciocínio quebra na primeira reunião com o time, porque a rotina não espera aprovação. O
analista de contratos resume documentos no chat público. Enquanto isso, o vendedor pede ajuda
para reescrever a proposta com o preço dentro. No financeiro, alguém cola o extrato para
“organizar melhor”. Nenhum deles quer prejudicar a empresa. Todos querem, na verdade, terminar
o dia antes das sete.
Um estudo da SAP com a Oxford Economics saiu em maio de 2026. De acordo com ele, 66% das
companhias brasileiras admitem que esse uso não homologado acontece com alguma frequência.
Ou seja, a ausência de política não significa ausência de IA. Significa apenas ausência de controle.
O que os dados mostram sobre a falta de política de uso de IA
De fato, o tamanho do problema já saiu do campo da suposição. Levantamento do Netskope
Threat Labs saiu em maio de 2026. Nele, 64% das violações de política envolvendo IA generativa
no Brasil tocam informação sensível ou regulada. A média, inclusive, chegou a 223 incidentes
mensais por organização, o dobro do ano anterior.
O custo, por consequência, acompanha o volume. O mesmo relatório indica que uma violação de
dados custa, em média, R$ 7,19 milhões no Brasil, alta de 6,5% sobre o ano anterior. Quando o
incidente envolve shadow AI, o custo sobe mais R$ 591,4 mil, principalmente porque ninguém
consegue reconstruir a linha do tempo do vazamento.
Existe ainda um descompasso estrutural, e ele é grande. Segundo o relatório State of AI in the
Enterprise 2026, da Deloitte, 95% das empresas brasileiras pretendem adotar IA agêntica em até
dois anos. No entanto, apenas 27% afirmam ter um modelo maduro de governança. A corrida
acelerou. O freio, não.
Por que proibir sem política de uso de IA é a forma mais cara de
perder dado
A reação instintiva da diretoria é bloquear, já que a proibição parece barata. Bloqueia-se o
domínio, envia-se um comunicado duro e o assunto parece encerrado. Na prática, o funcionário
abre a mesma ferramenta no celular pessoal, na rede de casa, fora do alcance de qualquer controle.
A proibição não elimina o uso. Ela apaga o rastro, e essa é a pior parte. Antes do bloqueio, o dado
saía por um caminho que a TI ao menos conseguia enxergar. Depois do bloqueio, ele sai por um
caminho invisível, sem log, sem inventário e sem chance de auditoria.
Há outro efeito colateral, mais silencioso, porém decisivo. Um levantamento da LayerX foi citado
pela Exame em abril de 2026. Ele mostra que 75% dos funcionários que usam ferramentas não
aprovadas já inseriram informação sensível nelas. Ou seja, enquanto a política vive no papel,
quem decide o que sai da empresa é quem tem pressa.
Descubra o que já roda dentro da sua empresa antes de decidir o que autorizar com a AI Infinity
O que de fato funciona em uma política de uso de IA
Uma política de uso de IA que funciona começa pelo diagnóstico, e não pela proibição. Antes de
escrever qualquer regra, mapeie o que já circula. Uma pesquisa interna anônima, por exemplo,
costuma revelar mais em uma semana do que meses de suposição da liderança.
Depois do inventário, a empresa classifica o dado. Nem toda informação tem o mesmo peso. Por
isso, a regra precisa distinguir o que é público, o que é interno e o que é confidencial. Sem essa
camada, a política vira frase de efeito. Um rascunho de post de blog e um laudo de cliente não
podem viver sob a mesma frase genérica de “use com bom senso”.
Em seguida vem a parte que a maioria pula. É preciso oferecer uma alternativa oficial que o time
realmente prefira usar. O shadow AI floresce quando a ferramenta aprovada é lenta, limitada ou
burocrática demais. Se a opção interna resolve o problema com a mesma agilidade, o uso
clandestino cai por conta própria, sem sermão. De fato, o time nunca quis burlar a regra. Ele
queria velocidade.
Por fim, entram os controles que sustentam a regra. Isolamento de dados por cliente, a fim de que
a informação não alimente modelo de terceiro. Trilha de auditoria, para saber quem acessou o quê.
Base legal definida, treinamento contínuo e revisão periódica dos acessos. Esses pontos deixaram
de ser tema de TI. Eles são decisão de conselho, sobretudo porque respondem por multa e
reputação.
Onde entra um departamento de IA dentro da empresa
Escrever a regra é a parte fácil. Fazer a política de uso de IA parar de pé, no dia a dia, exige
alguém que opere. É aí que a AI Infinity atua de forma diferente do modelo tradicional de
consultoria.
A empresa instala um departamento de inteligência artificial dentro da operação do cliente, com
squad dedicado, integrações e governança desenhada desde o início. Na prática, isso significa três
coisas. Primeiro, mapear o uso real que já existe hoje. Segundo, construir a alternativa
homologada, conectada aos sistemas que a empresa já usa, com tenants separados e dado que não
treina modelo de terceiro. Terceiro, sustentar a rotina, porque governança sem operação vira
documento esquecido na intranet. Em resumo, alguém precisa acordar todo dia responsável por
esse assunto.
Além disso, a propriedade intelectual permanece com o cliente. Código, agentes, prompts e
documentação pertencem a ele. Do ponto de vista de risco, esse detalhe muda tudo. A empresa
deixa de depender de uma caixa-preta externa para saber onde o próprio dado está.
O que a diretoria pode fazer nos próximos 30 dias
Nenhuma empresa resolve governança de IA em um trimestre, por mais que o board tenha pressa.
Ainda assim, dá para sair do zero rápido, com quatro movimentos objetivos.
Primeiro, levante o inventário do que já roda, sem caça às bruxas, porque medo produz silêncio e
não segurança. Segundo, classifique os dados críticos do negócio. Assim, fica claro o que jamais
pode sair do ambiente controlado. Terceiro, escolha um processo prioritário e ofereça uma
alternativa oficial nele, para provar que a via segura também é a via rápida. Quarto, defina o dono
do assunto, uma vez que política sem responsável não sobrevive ao primeiro mês corrido.
Vale lembrar do que já está em vigor. O art. 46 da LGPD obriga a empresa a adotar medidas
técnicas e administrativas de proteção. Além disso, o PL 2.338/2023, que trata do marco legal da
IA, segue em tramitação. Quem organiza a casa antes ganha tempo. Em contrapartida, quem
espera a regra chegar faz adequação às pressas. E adequação às pressas custa mais caro, tanto em
dinheiro quanto em desgaste interno.
Vamos mapear juntos o uso real, o risco associado e a alternativa oficial que o seu time vai querer usar.
FAQ: Política de uso de IA
1. O que é Shadow AI, na prática?
É o uso de ferramentas de inteligência artificial por colaboradores sem homologação,
monitoramento ou conhecimento da empresa. Costuma acontecer em conta pessoal, o que impede
qualquer rastreamento.
2. Uma política de uso de IA precisa ser um documento longo?
Não. Cinco medidas resolvem a maior parte do risco: inventário do uso atual, classificação de
dados, ferramenta oficial homologada, treinamento contínuo e monitoramento com auditoria.
3. Bloquear as ferramentas não resolve?
O bloqueio reduz o uso visível, porém empurra o funcionário para o celular pessoal, fora do
controle da TI. Sem uma alternativa boa, o dado continua saindo.
4. Empresa média também precisa disso?
Sim. O risco não depende do porte, e sim do tipo de dado que circula. Contrato, base de cliente e
informação financeira existem em empresa de qualquer tamanho.
5. Como a LGPD se aplica ao uso de IA generativa?
A lei exige base legal para o tratamento e medidas técnicas e administrativas de proteção. Colar
dado pessoal em uma ferramenta pública, sem contrato de tratamento, coloca a empresa em
situação frágil diante da ANPD.
