Uso de IA generativa sem autorização preocupa 66% dos executivos, diz estudo

RESUMO | Um novo estudo da Peers Consulting + Technology e do TEC.Institute, publicado pela MIT Technology Review Brasil, aponta que 66% dos executivos suspeitam do uso não autorizado de inteligência artificial generativa por funcionários. Políticas rígidas reduzem pouco o Shadow AI: a percepção cai de 75% nas empresas sem regras claras para 64% nas organizações com controles mais maduros.

---

Um novo estudo produzido pela Peers Consulting + Technology em parceria com o TEC.Institute, e publicado pela MIT Technology Review Brasil, aponta um desafio crescente para as empresas brasileiras: controlar o chamado Shadow AI — uso de ferramentas de inteligência artificial (IA) por funcionários sem autorização ou acompanhamento da empresa.

Segundo o levantamento enviado com exclusividade à EXAME, 66% dos executivos concordam que colaboradores de suas empresas podem estar utilizando ferramentas públicas de IA generativa para fins profissionais sem o aval da organização.

O estudo cruzou essa percepção com o nível de maturidade das políticas internas para uso de IA e identificou que regras mais rígidas reduzem pouco esse comportamento. Entre empresas que operam de forma descentralizada, sem regras claras de segurança, 75% dos executivos apontam possível uso não autorizado.

O índice cai para 70% entre aquelas que possuem diretrizes básicas e fiscalização insatisfatória; para 66% nas organizações que estão em processo de criação de políticas; e chega a 64% entre as que já adotam políticas rígidas, treinamento obrigatório e ferramentas homologadas.

"Esse dado desafia a lógica de que regras mais duras eliminam o problema e mostra que passar de nenhuma política para uma política rígida ajuda a reduzir, mas não elimina o comportamento", afirma Bruno Horta, diretor executivo da Peers.

Por que o risco de Shadow AI é maior em meios de pagamento?

Em meios de pagamento, o comportamento atinge o patamar máximo observado na pesquisa.

Todos os executivos do segmento que participaram do levantamento concordaram que pode haver uso não autorizado de ferramentas de IA dentro da empresa, mesmo em um grupo em que quase metade dos respondentes (45,5%) afirma já possuir políticas rígidas para a utilização da tecnologia.

Segundo Horta, porém, o dado exige cautela estatística: a subamostra do segmento é pequena, com apenas 11 respondentes.

"O dado é um sinal forte sob um percentual reduzido", diz.

Ainda assim, ele aponta características do setor que ampliam o risco real: alta densidade de engenharia de software por colaborador, com copilotos e agentes já dentro do fluxo de desenvolvimento, margens comprimidas por transação e pressão constante por produtividade.

"A migração da adquirência para serviços de valor agregado empurra experimentação também para produto e comercial", afirma.

O cenário brasileiro acompanha uma preocupação observada internacionalmente.

Pesquisa global do Gartner com 302 líderes de cibersegurança identificou que 69% das organizações suspeitam ou possuem evidências de que funcionários utilizam ferramentas públicas de IA generativa proibidas pelas empresas.

Por que a política, sozinha, não resolve

Para Horta, a explicação está numa questão de velocidade, não de permissão.

"Política regula permissão, e o uso não autorizado responde a pressão por desempenho. O colaborador que abre uma conta pessoal em uma ferramenta não homologada está atendendo a uma meta, um prazo ou uma demanda de produtividade", diz. "Enquanto o caminho oficial exige fila de aprovação, homologação de fornecedor e teste de segurança, o caminho informal entrega em minutos. O que separa os dois é latência, e a política não altera essa assimetria", afirma.

'Hack culposo'? Como modelos de IA estão invadindo empresas no improviso

Segundo a pesquisa, uma grande seguradora participante do estudo mapeou cerca de 40 iniciativas em workshops de modernização, e apenas duas demonstraram valor suficiente para avançar — as 38 demandas não atendidas não desaparecem do calendário de quem as propôs.

Horta afirma que o segundo fator é a falta de instrumentação. "Regra sem telemetria é declaração de intenção, porque a empresa não consegue detectar o que não observa", diz.

Para ele, a política reduz o uso informal "apenas quando vem acompanhada de um canal oficial com tempo de resposta competitivo e de capacidade real de monitorar o uso".

Segurança de dados lidera os riscos, mas compliance pesa mais no bolso

Questionado sobre os principais riscos do Shadow AI, Horta hierarquiza por tipo de impacto.

"Em probabilidade de ocorrência, segurança de dados lidera. Dado corporativo colado em conta de consumidor sai do perímetro de retenção, de logging e de DLP (ferramenta de prevenção de vazamento de dados), e a empresa perde qualquer registro de que aquilo aconteceu", afirma.

Já no impacto financeiro residual, ele aponta compliance como o fator mais pesado, sobretudo em serviços financeiros. "Uso de IA sem registro conflita com o dever de documentar critérios, responsáveis e intervenção humana. A ausência de evidência já é, por si só, um achado de auditoria", diz.

Segundo ele, propriedade intelectual também pode vazar em prompts com contratos, precificação e código — além de um custo menos visível. "Há perda de aprendizado organizacional, pois os ganhos obtidos nas sombras não viram componente reutilizável", afirma.

Como transformar uso informal em adoção estratégica?

Para Horta, o número de 66% de suspeita deveria ser lido como sinal de demanda reprimida, não como falha disciplinar — e ele propõe três movimentos concretos.

O primeiro é um "inventário com anistia": uma janela curta em que qualquer colaborador declara o que usa, para quê e com que dado, sem consequência, gerando um mapa real de casos de uso e exposição.

O segundo é oferecer um caminho sancionado com latência competitiva — ferramentas corporativas com contrato enterprise como padrão, uma faixa rápida para uso de baixo risco com dado público ou anonimizado, e controle mais pesado reservado a aplicações que tocam dado de cliente ou decisão regulada.

O que aconteceria no Brasil se a guerra comercial entre EUA e China chegasse às nuvens?

Segundo ele, um dos grandes bancos participantes da pesquisa já calibra controle por nível de risco de uso, enquanto outro banco de menor porte mantém uma área central de Product AI como viabilizadora, deixando o resultado final com a própria unidade de negócio.

O terceiro movimento é letramento com economia de uso.

Horta cita o caso de uma seguradora global que restringiu modelos mais complexos a quem passou por capacitação, por razão de custo e risco: uma solução desenvolvida sem esse cuidado custaria cerca de R$ 400 mil, enquanto a mesma demanda, nas mãos de quem sabia usar a ferramenta corretamente, levou quatro horas.

O que falta mesmo com governança madura

Questionado por que o problema persiste até em empresas com treinamento obrigatório e ferramentas homologadas, Horta aponta uma lacuna estrutural.

"Treinamento obrigatório, ferramentas homologadas e regras rígidas governam a porta de entrada. Nenhum dos três governa o uso depois que ele começa", diz.

Segundo ele, falta acompanhamento contínuo de custo, frequência de uso e retorno real gerado pela IA.

Ele também aponta falta de proporcionalidade — "controle uniforme obriga o uso de menor risco a pagar o custo do uso de maior risco" — e de especificidade na capacitação, já que analistas, gestores e lideranças de negócio precisam de critérios diferentes sobre o mesmo modelo.

Por fim, falta mensuração. Segundo a pesquisa, 54% das organizações reconhecem não ter metodologia clara para medir retorno, e 29% não têm sequer um business case de comparação. "Sem isso, a governança não consegue dizer não com segurança e não consegue dizer sim com velocidade", afirma.

Metodologia

O levantamento "Do piloto ao resultado: a rentabilidade da IA" combinou uma etapa quantitativa, com 120 respondentes — majoritariamente fundadores, sócios, diretores e C-levels —, e 18 entrevistas qualitativas em profundidade com executivos das áreas de tecnologia e dados, totalizando 138 participantes de empresas de 12 setores da economia. Entre os participantes estão profissionais de Santander Brasil, Banco do Brasil, Porto Bank, Serasa Experian, Zurich Brasil, Allianz e Getnet, entre outras organizações. No recorte de meios de pagamento, a pesquisa contou com 11 respondentes, sendo que, na questão específica sobre Shadow AI, 10 responderam e um não apresentou resposta. Os dados sobre uso não autorizado, confiança em salvaguardas e maturidade das políticas vêm da base consolidada do estudo; as informações do Gartner são usadas como referência externa para contextualizar os achados brasileiros.

---

O que é Shadow AI?

Shadow AI é o uso de ferramentas de inteligência artificial por funcionários sem autorização ou acompanhamento da empresa. Segundo o estudo da Peers Consulting + Technology e do TEC.Institute, 66% dos executivos acreditam que colaboradores podem usar ferramentas públicas de IA generativa para fins profissionais sem aval da organização.

Políticas rígidas conseguem impedir o uso não autorizado de IA?

Políticas rígidas reduzem o Shadow AI, mas não eliminam o comportamento, segundo o levantamento. A percepção de uso não autorizado cai de 75% nas empresas sem regras claras para 64% naquelas com políticas rígidas, treinamento obrigatório e ferramentas homologadas.

Por que as políticas internas não são suficientes para controlar o Shadow AI?

As políticas não resolvem sozinhas porque o uso não autorizado responde à pressão por produtividade e à maior rapidez das ferramentas informais, afirma Bruno Horta, diretor executivo da Peers. Segundo Horta, as regras precisam ser acompanhadas de canais oficiais ágeis e capacidade real de monitoramento.

Qual é a incidência de Shadow AI no setor de meios de pagamento?

Todos os 10 executivos de meios de pagamento que responderam à questão sobre Shadow AI concordaram que pode haver uso não autorizado nas empresas. Bruno Horta ressalta, porém, que a subamostra é pequena e representa consenso entre poucos executivos, não a prevalência no mercado.

Quais são os principais riscos do Shadow AI para as empresas?

Segurança de dados é o risco com maior probabilidade de ocorrência, enquanto compliance pode gerar o maior impacto financeiro residual, especialmente em serviços financeiros, segundo Bruno Horta. O executivo também aponta riscos de vazamento de propriedade intelectual e perda de aprendizado organizacional.

Como as empresas podem transformar o uso informal de IA em adoção estratégica?

Bruno Horta recomenda criar um inventário com anistia, oferecer ferramentas corporativas com aprovação rápida para usos de baixo risco e capacitar funcionários considerando custos e riscos. O controle mais rigoroso deve ser reservado a aplicações que envolvam dados de clientes ou decisões reguladas.