A edição brasileira do estudo The Value of AI: Brazil 2026, conduzido pela Oxford Economics para a SAP e divulgado em setembro, trouxe um dado que deveria estar na pauta de todo conselho de administração. Entre as empresas brasileiras ouvidas, 82% reconhecem que seus colaboradores utilizam, ao menos ocasionalmente, ferramentas de IA de terceiros sem aprovação ou supervisão formal. O fenômeno, conhecido como shadow AI, deixou de ser exceção e virou paisagem.
Estatísticas de risco e impacto operacional
Os efeitos já aparecem nos resultados. Metade das empresas relata saídas inconsistentes ou imprecisas; 43% apontam vazamento de dados ou exposição de propriedade intelectual; 32% identificam vulnerabilidades de segurança; e 31% registram violações de compliance. Ao mesmo tempo, 77% não estão convencidas de que seus programas de capacitação acompanham a evolução das ferramentas. Outros levantamentos apontam na mesma direção. O relatório Future of Professionals 2026, da Thomson Reuters, indica que 38% dos profissionais brasileiros usam IA sem autorização do empregador e que perto de 39% dizem não ter acesso a soluções corporativas.
Riscos jurídicos e conformidade regulatória
O uso não autorizado de IA combina, num único gesto, riscos de natureza diversa. No campo dos dados pessoais, o risco se materializa quando informações de clientes, pacientes ou empregados são inseridas em plataforma sem contrato, sem base legal definida e com servidores no exterior, o que atrai a incidência dos arts. 6º, 7º, 11, 33, 46 e 48 da LGPD. No segredo empresarial, o problema surge quando estratégias, preços, fórmulas, código-fonte ou minutas são enviados a serviço que retém ou reutiliza o conteúdo, situação regida pelo art. 195, XI e XII, da Lei nº 9.279/1996.
No plano contratual, o descumprimento de acordos de confidencialidade firmados com clientes e parceiros atrai os arts. 389 e 402 a 404 do Código Civil. Há ainda o risco de qualidade e decisão, quando alucinações são incorporadas a pareceres, relatórios, laudos ou decisões sobre pessoas, com reflexos nos arts. 12 e 14 do Código de Defesa do Consumidor e no art. 20 da LGPD. O risco de segurança decorre de extensões maliciosas, contas pessoais sem autenticação corporativa e ataques de prompt injection contra agentes conectados a sistemas.
Responsabilidade da empresa e deveres dos administradores
O ponto de partida é simples e frequentemente ignorado. Quando um colaborador insere dados pessoais em uma ferramenta de IA durante o trabalho, há tratamento de dados pessoais realizado no interesse da empresa. A organização permanece como controladora, respondendo pela escolha dos meios, ainda que não os tenha escolhido formalmente. A Resolução CD/ANPD nº 15/2024 trata incidente como evento adverso confirmado que comprometa confidencialidade, integridade, disponibilidade ou autenticidade de dados pessoais.
Se o conteúdo foi acessado por terceiro sem autorização, retido para treinamento ou exposto, e houver risco ou dano relevante aos titulares, nasce o dever de comunicação à ANPD e aos titulares no prazo regulamentar de três dias úteis. A empresa que não sabe quais ferramentas seus colaboradores usam não consegue sequer fazer essa avaliação. No plano sancionatório, o art. 52 da LGPD prevê, entre outras penalidades, multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração.
Estrutura de governança recomendada
Especialistas convergem em uma premissa: governar é oferecer o caminho seguro mais fácil do que o caminho arriscado. A experiência prática sugere uma sequência que pode ser implantada em ciclos curtos. O primeiro movimento é o diagnóstico. Antes de qualquer norma interna, é preciso mapear, com apoio de ferramentas de descoberta e entrevistas por área, quais aplicações de IA estão em uso, por quem e com quais dados.
O segundo movimento é oferecer alternativa. A empresa deve manter um catálogo de ferramentas homologadas, contratadas em versões corporativas com vedação contratual de uso dos dados para treinamento, prazos de retenção definidos, contrato de tratamento de dados, mecanismo válido de transferência internacional, autenticação corporativa e registro de uso. O terceiro movimento é institucional. Um comitê de IA multidisciplinar, reunindo jurídico, encarregado de dados, segurança da informação, tecnologia, recursos humanos e áreas de negócio, deve ter mandato para aprovar ferramentas e casos de uso.
Conclusão e próximos passos
O quarto movimento é cultural. A capacitação precisa ser contínua, curta, segmentada por função e baseada em exemplos reais. É igualmente útil abrir um canal simples para solicitação de novas ferramentas e um período de regularização em que o colaborador possa declarar o uso atual sem punição. Assim, o uso não autorizado de IA é o sintoma de uma organização que adotou a tecnologia antes de decidir como usá-la. A resposta eficaz não é a proibição, que apenas empurra o problema para a sombra, nem a liberação sem critério. É a governança que habilita: ferramentas seguras, regras claras, pessoas treinadas e decisões documentadas.