51% das empresas já foram comprometidas por uma IA que ninguém aprovou

Shadow AI é o uso de ferramentas de inteligência artificial por funcionários sem aprovação, controle ou visibilidade da área de TI — desde um assistente de código instalado por conta própria até um chatbot usado para resumir um contrato confidencial. Uma pesquisa da KnowBe4 com líderes de segurança encontrou que 51% das organizações tiveram sua postura de segurança comprometida por Shadow AI nos últimos 12 meses.

O dado mais desconfortável do levantamento não é esse. 

É que, ao mesmo tempo, 95% desses mesmos líderes dizem se sentir preparados para lidar com ameaças de IA. Metade das empresas já foi atingida, e quase todo mundo segue confiante de que está no controle.

Os números que a Gartner e a IBM já confirmam

A confiança dos líderes de segurança colide direto com o que os dados mostram. A Gartner ouviu 302 líderes de cibersegurança entre março e maio de 2025: 69% já suspeitam ou têm evidências de que funcionários usam ferramentas públicas de IA proibidas pela política interna, e a consultoria projeta que 40% das empresas vão enfrentar incidentes de segurança ou conformidade ligados a esse uso até 2030.

O rastreamento da Netskope reforça a escala do problema: o número de aplicativos de IA generativa monitorados em ambientes corporativos saltou de 317 para 1.550 em pouco mais de um ano, com 84% das organizações usando ChatGPT — aprovado ou não.

Quanto custa não saber o que seus times estão usando

Aqui o problema deixa de ser hipotético. O Cost of a Data Breach Report 2025 da IBM, conduzido pelo Ponemon Institute com 600 organizações em 17 setores, mediu o efeito direto no bolso: quando Shadow AI está envolvido em um vazamento de dados, o custo médio da violação sobe US$ 670 mil — um prêmio de 15% sobre a média global de US$ 4,44 milhões.

Uma em cada cinco violações registradas no estudo envolvia alguma forma de IA não governada. E 97% das organizações atingidas não tinham nenhum controle de acesso a IA em vigor no momento do incidente. A conta, nesses casos, não é sobre se a empresa vai pagar — é sobre quanto.

Por que o excesso de confiança dos líderes é parte do problema

O padrão se repete em todos os levantamentos: quem lidera acredita estar mais preparado do que está. Não é ingenuidade — é um ponto cego estrutural. A adoção de IA generativa dentro das empresas cresceu mais rápido do que qualquer política de governança conseguiu acompanhar, e a maior parte das lideranças ainda trata o problema como uma questão de TI, não como uma decisão estratégica que passa pela mesa do C-level.

Enquanto isso, o funcionário que copia um trecho de código sensível para um assistente de IA, ou sobe uma planilha financeira para "resumir mais rápido", não está tentando sabotar a empresa. Está resolvendo um problema real de produtividade da forma mais rápida disponível — só que sem que ninguém tenha decidido, formalmente, que aquele caminho era seguro.

O Brasil já tem uma lei esperando essa lacuna

Para empresas brasileiras, o risco ganhou um componente regulatório concreto. O PL 2338/2023, que estabelece o Marco Regulatório da Inteligência Artificial no país, foi aprovado pelo Senado em dezembro de 2024 e aguarda votação final na Câmara. O texto cria responsabilidade formal das organizações sobre seus sistemas de IA — inclusive os que ninguém no comitê de segurança sabia que estavam em uso, com multas que podem chegar a R$ 50 milhões por infração.

O custo médio de uma violação de dados no Brasil já soma R$ 7,19 milhões, segundo o mesmo levantamento da IBM. E a diferença entre empresas com e sem controles de segurança para IA chega a R$ 2,3 milhões por incidente. A ausência de política, que hoje já é falha de segurança, está prestes a virar também exposição jurídica direta.

Governança de IA não é projeto de TI, é decisão de liderança

O erro mais comum não é a empresa proibir IA generativa — é tratar a permissão ou a proibição como decisão pontual de um departamento, em vez de política corporativa com dono, orçamento e prazo. Bloquear ferramentas sem oferecer alternativa aprovada não elimina o Shadow AI: só empurra o uso para fora do radar, exatamente onde ele já está causando os prejuízos mensurados pela Gartner e pela IBM.

O caminho inverso — aprovar rápido demais, sem mapear onde dados sensíveis podem vazar — tem o mesmo resultado, só que com um verniz de compliance que engana o próprio conselho.

Sua liderança sabe quais ferramentas de IA seus times usam sem aprovação?

Se a resposta não vier com nomes específicos, é sinal de que a governança ainda não existe — só a intenção de tê-la. É esse o tipo de lacuna que separa empresas que vão pagar o prêmio de US$ 670 mil de um vazamento das que transformaram adoção de IA em vantagem competitiva com controle real sobre o processo. O AI Journey existe exatamente para essa liderança: a que precisa decidir, com critério e cultura, como a IA entra na operação antes que ela entre sozinha.