Adotar inteligência artificial deixou de exigir projeto formal, orçamento aprovado ou fila de homologação. Qualquer área contrata uma ferramenta no cartão corporativo, ativa um recurso já embutido em um sistema conhecido ou cola um documento interno em um assistente público para entregar mais rápido.
O que cresce daí não é uma estratégia, é um conjunto de soluções paralelas, cada uma com sua ferramenta, seu critério e seus dados. O desafio passa a ser menos controlar ferramentas e mais construir uma arquitetura capaz de conectar dados, governança e resultado.
O fenômeno ganhou o nome de Shadow AI, e a conversa sobre ele quase sempre para no risco de vazamento. O vazamento é real, mas é a última linha de uma conta que começa antes.
O que é Shadow AI e como ele difere do Shadow IT?
Shadow AI é o uso de ferramentas, modelos ou aplicações de inteligência artificial na empresa fora do processo formal de governança. Vai do assistente generativo alimentado com informação confidencial ao copiloto de código não aprovado e às automações que as áreas montam sozinhas. O que define o problema não é a ferramenta, é a invisibilidade.
A comparação com o Shadow IT dos anos 2000 ajuda, mas esconde uma diferença importante. Antes, o dado saía do perímetro e ficava parado em um serviço externo. Agora, dependendo da política do fornecedor e da configuração contratada, os dados podem ser utilizados para treinamento ou aprimoramento de modelos.
Por que o uso não coordenado de IA custa antes de qualquer incidente?
O custo aparece em três camadas, e só a última costuma chegar à pauta da diretoria.
A primeira é o investimento pago duas vezes. Áreas diferentes resolvem problemas parecidos com ferramentas distintas, cada uma com sua licença e seu contrato. Esse dinheiro raramente aparece em um relatório único, porque está diluído em despesas de centros de custo separados, contratos que não chegam à alçada e consumo cobrado por token, que só se revela no fechamento do mês.
A segunda é o trabalho refeito. Sem uma base comum de dados e contexto, cada área recomeça do zero: mapeia as próprias fontes, define os próprios critérios e aprende sozinha o que já foi aprendido dois andares acima. O conhecimento não circula, e a empresa acumula experiências isoladas em vez de processos reutilizáveis, ativos compartilhados e capacidade operacional que pode ser expandida para outras áreas.
A terceira é a exposição, e é nela que o impacto financeiro costuma se tornar mais visível. O Cost of a Data Breach Report 2026, da IBM em parceria com o Ponemon Institute, analisou 602 organizações que sofreram incidentes entre março de 2025 e fevereiro de 2026. Em um único ano, a presença de Shadow AI nesses episódios saltou de 20% para 43% e, segundo o relatório, o custo médio das violações envolvendo ferramentas não aprovadas chegou a 5,39 milhões de dólares. Quase metade resultou em perda ou comprometimento de dados, e cerca de uma em cada cinco terminou em multa.
Pior que o valor é o silêncio no registro: com a informação circulando fora do perímetro, ninguém reconstrói depois qual dado saiu, quando e sob que autorização.
Por que proibir o uso de IA não resolve?
Bloquear é a reação natural, mas ela esbarra antes de tudo em um problema humano. Quando o caminho oficial é mais lento que o público, as pessoas escolhem entregar no prazo, e a proibição não elimina a prática: só a tira do campo de visão de quem precisaria acompanhá-la. O mesmo estudo mostra que 68% das empresas atingidas não tinham política alguma para supervisionar o uso de IA, sinal de que a discussão ainda não chegou nem ao estágio da regra escrita.
Há também um limite técnico. Conforme recursos de IA passam a fazer parte de sistemas já aprovados pela empresa, como plataformas de produtividade, CRM e colaboração, deixa de existir uma ferramenta específica a bloquear. A pergunta deixa de ser qual solução foi instalada e passa a ser quais dados estão sendo compartilhados e sob quais regras de governança.
O que a regulação passa a exigir das empresas brasileiras?
O custo de não enxergar também deixou de ser só financeiro. A LGPD alcança o tratamento de dados pessoais qualquer que seja a ferramenta usada, e o PL 2338/2023, em tramitação na Câmara, classifica sistemas por nível de risco e prevê sanções de até 50 milhões de reais.
O que esses marcos cobram não é proibição, é prova: registro, rastreabilidade, supervisão humana documentada e um responsável com nome. Como nada disso se produz depois do fato, a arquitetura deixa de ser consequência e vira pré-requisito.
Como consolidar a adoção de IA sem perder velocidade de inovação?
Consolidar não é centralizar nem tirar autonomia das áreas. Significa criar uma base comum de dados, governança e métricas para que cada área possa inovar sem reconstruir infraestrutura, regras e contexto. É essa abordagem que a Keyrus chama de Arquitetura da Inteligência, organizada nas três camadas do Human Orchestrated Model™.
A Base da Inteligência estabelece o terreno comum: onde os dados estão, com que qualidade, sob quais permissões e por qual caminho chegam às aplicações, evitando que cada área reconstrua sozinha o contexto da empresa.
O Humano no Comando responde o que quase nenhuma política de uso responde: quem autoriza a entrada de uma ferramenta, quem define os limites de cada aplicação e quem valida uma recomendação antes que vire decisão.
A Gestão de Performance amarra uso e resultado, com indicador definido antes do começo e alguém que responde pelo número, não só pela entrega.
Quais indicadores mostram que a adoção saiu da dispersão?
Contar ferramentas e usuários não prova avanço. O que mostra progresso é a dispersão caindo:
Percentual do uso de IA que passa por um caminho aprovado;
Sobreposição de licenças e funcionalidades entre áreas;
Custo de operação de IA por área, incluindo consumo variável;
Aplicações com responsável nomeado e limite definido.
Como a Keyrus apoia empresas nesse cenário?
O trabalho costuma começar pelo diagnóstico do que já existe, inclusive o uso que ninguém declarou, e pela priorização das decisões com maior exposição e retorno. A Keyrus estrutura então os dados, as alçadas e os indicadores que permitem escalar sem refazer o que já foi feito.
Inteligência que não é arquitetada não se acumula
Shadow AI não é um problema de comportamento individual. É o sintoma de uma organização que ainda não transformou iniciativas isoladas de IA em uma capacidade operacional compartilhada, e encurtar essa distância separa quem acumula ferramentas de quem acumula capacidade.
A pergunta que define o próximo orçamento não é quantas iniciativas de IA foram lançadas, mas quantas ainda geram valor quando somadas.
Fale com a Keyrus e entenda como consolidar a adoção de IA com segurança, rastreabilidade e retorno demonstrável.
Revisão de propostas e contratos em assistentes públicos, análise de planilhas com dados de clientes, geração de código em copilotos não aprovados e agentes criados por áreas sem revisão técnica.
A identificação combina inspeção de tráfego de rede, descoberta de aplicações, análise de despesas recorrentes de baixo valor e conversa com as áreas. Rastrear o gasto revela mais que rastrear a ferramenta, já que contratos pequenos raramente passam por alçada.
A responsabilidade pelo tratamento de dados pessoais recai sobre a organização controladora, mesmo que a ferramenta nunca tenha passado por aprovação interna. Por isso a definição de alçadas é parte da arquitetura, não um complemento.