Um estudo da SAP com a Oxford Economics, divulgado em setembro de 2026, encontrou algo que a maioria das lideranças prefere não olhar de frente: 82% das organizações no Brasil têm funcionários usando ferramentas de IA de terceiros sem aprovação formal nem supervisão — o chamado “Shadow AI”. A reação mais comum é tratar isso como indisciplina. É o diagnóstico errado, e é caro errar esse diagnóstico.
Por que o Shadow AI cresce: a lacuna que ninguém preenche
Uma pesquisa da Abiacom com a Brazil Panels e a escola de negócios Lideres.ai mostrou o mecanismo por trás do número: apenas 38,4% do uso de IA nas empresas brasileiras acontece por canal oficial, contra 47,4% de uso não autorizado. Não é uma minoria rebelde — é quase metade da força de trabalho resolvendo, por conta própria, um problema que a própria empresa não resolveu.
O mecanismo é simples de entender e difícil de admitir: quando a política de IA de uma empresa é inexistente ou restritiva demais (“proibido usar qualquer ferramenta de IA”), o funcionário não para de precisar de produtividade — ele só para de pedir permissão. Continua usando a conta pessoal de um assistente de IA para resumir contrato, revisar código ou preparar relatório, só que agora fora de qualquer perímetro de controle da empresa. Shadow AI não é sintoma de funcionário displicente; é sintoma de política que não acompanhou a demanda real.
O preço de tratar isso como problema de TI, não de governança
Os números do lado do risco são concretos. No levantamento da SAP/Oxford Economics, 43% das empresas brasileiras já relataram vazamento de dados ou exposição de propriedade intelectual ligada ao uso não autorizado de IA. Globalmente, a IBM encontrou um padrão semelhante: organizações com alto uso de Shadow AI tiveram custo médio de incidente de vazamento de dados US$ 670 mil mais alto do que empresas com pouco ou nenhum uso não controlado. E no Brasil esse risco tem um preço regulatório específico — a LGPD permite à ANPD aplicar multa de até 2% do faturamento da empresa, com teto de R$ 50 milhões por infração.
Isso muda a pergunta que a liderança deveria estar fazendo. Não é “como bloquear o uso de IA não autorizada” — bloqueio sem alternativa só empurra o comportamento para um canal ainda mais invisível, como o próprio celular pessoal fora da rede corporativa. A pergunta certa é: por que a política oficial está perdendo tanto essa disputa que quase metade do uso acontece fora dela?
Governança de IA é decisão de cultura, não checklist de TI
Na visão de João Paulo Batistella, executivo de inovação com passagens por Ericsson, Telefônica/Vivo e cinco anos como CEO da EISA, o obstáculo mais difícil de mudar numa transformação por IA raramente é a tecnologia — é a cultura organizacional que decide, na prática, se uma regra nova é seguida ou contornada. Uma política de IA anunciada por e-mail e nunca revisitada tem o mesmo destino de qualquer regra que a cultura da empresa não sustenta: vira letra morta, e o comportamento real migra para debaixo do radar.
Isso explica por que “proibir” tende a falhar e “aprovar caso a caso, com trilha auditável” tende a funcionar: a segunda abordagem reconhece que a demanda por produtividade é legítima e dá a ela um caminho oficial, em vez de fingir que ela vai desaparecer porque foi proibida.
Um framework de três passos para trazer o uso para dentro do perímetro
1. Audite antes de regular. Não dá para governar o que não foi medido. Um levantamento honesto — que ferramentas de IA já circulam informalmente, em quais times, para quais tarefas — é o único ponto de partida confiável. Regra escrita sem esse diagnóstico regula um uso imaginário, não o uso real.
2. Aprove por caso de uso, não por categoria. “Proibido usar IA” é regra fácil de escrever e impossível de cumprir. “Aprovado para resumir documento interno, não aprovado para inserir dado de cliente” é regra que alguém consegue de fato seguir — porque separa o risco real (dado sensível saindo do perímetro) do uso legítimo (ganho de produtividade em tarefa sem dado sensível).
3. Ofereça a alternativa oficial antes de fechar a informal. Bloquear o acesso a ferramentas pessoais sem entregar uma ferramenta corporativa equivalente — com controle de dado, mas com a mesma conveniência — só recria o problema em outro canal. A trilha auditável só existe se o caminho oficial for, na prática, tão rápido quanto o informal que está substituindo.
Nenhum desses três passos elimina o risco por completo — e nenhuma comunicação institucional deveria prometer isso. O que eles fazem é trocar um risco invisível, medido só depois do incidente, por um risco visível, medido e gerenciado antes dele. Para a maioria das empresas que descobrem seu próprio número de Shadow AI, essa troca já é o ganho que importa.
Acompanhe a Eleva Tecnologia para mais análises sobre tecnologia aplicada a negócios: siga @ElevaTechno no X, @elevatechnologies no Instagram ou a Eleva Technologies no LinkedIn, ou conheça o grupo em elevatec.net/sobre.
