Proibir IA não impede ninguém de usar, só esconde o risco debaixo do tapete

Sua empresa provavelmente já publicou uma política dizendo que ferramenta de IA precisa passar por aprovação antes do uso. E, ao mesmo tempo, é bem provável que boa parte do seu time esteja colando trecho de e-mail, ata de reunião ou até dado de cliente num chat de IA pública neste exato momento — sem pedir licença para ninguém.

Não é rebeldia. É a pesquisa Shadow AI Workplace Survey 2026, da PagerDuty, que ouviu 1.250 profissionais de escritório nos Estados Unidos, Reino Unido, Austrália e Japão, em empresas com faturamento acima de US$ 500 milhões. O achado: 66% já usaram ferramenta de IA não autorizada no trabalho, e 88% já compartilharam alguma informação de trabalho com IA pública como ChatGPT, Claude ou Gemini.

A política existe no papel. O comportamento vive em outro lugar

Isso não é falha de compliance isolada. É sintoma de política de IA desenhada para o mundo que a empresa gostaria de ter, não para o mundo que ela realmente tem. Quando a ferramenta aprovada é lenta, burocrática ou simplesmente pior que a alternativa pública, o time não para de usar IA — só para de avisar que está usando.

A mesma pesquisa mostra a profundidade do problema: 43% dos profissionais já compartilharam e-mails e correspondência com ferramentas públicas, 40% compartilharam anotações ou resumos de reunião, e 34% inseriram dado ou informação de cliente diretamente no chat.

O risco não é a IA. É a informação que sai da empresa sem controle

Cada uma dessas interações é, tecnicamente, um vazamento de dado que nenhuma área de segurança da informação autorizou. E, ao contrário de um vazamento clássico, esse não deixa rastro fácil de auditoria: é uma decisão individual, tomada em segundos, sem aprovação e sem registro.

Isso muda o tipo de risco que a liderança precisa gerenciar. Não é mais sobre impedir acesso a ferramenta — é sobre presumir que o acesso já está acontecendo e desenhar governança em cima dessa realidade, não da realidade que a política gostaria de descrever.

Por que proibição sozinha não funciona

A pesquisa da PagerDuty também revela o outro lado dessa equação: 77% dos profissionais acreditam que restrição corporativa ao uso de IA limita o próprio crescimento profissional, e 75% considerariam trocar de emprego por uma empresa com desenvolvimento melhor em IA — número que sobe para 80% entre profissionais de empresas com receita acima de US$ 1 bilhão.

Ou seja: restringir sem oferecer alternativa boa não elimina o comportamento, só cria dois problemas ao mesmo tempo — o uso não governado continua acontecendo, e a empresa ainda corre risco de perder talento por parecer atrasada.

Governança de IA não é lista de proibição. É arquitetura de uso seguro

O caminho que resolve os dois problemas ao mesmo tempo não é reforçar a proibição — é substituir a ferramenta pública não sancionada por uma alternativa corporativa boa o suficiente para que ninguém sinta necessidade de burlar a política. Isso inclui definir claramente que tipo de dado nunca pode entrar em qualquer ferramenta de IA, sancionada ou não, e treinar o time para reconhecer a diferença.

Também inclui algo que muitas empresas ainda não fazem: tratar o uso de IA como parte da avaliação de risco da área de compliance, com o mesmo rigor que se aplica a acesso de sistema financeiro ou dado de cliente.

O tamanho do problema também é oportunidade de liderança

Empresa que trata esse tema com seriedade sai na frente em dois eixos ao mesmo tempo: reduz exposição real de dado sensível e se torna um lugar que talento qualificado quer procurar — justamente porque oferece estrutura para usar IA bem, em vez de fingir que ninguém está usando.

Sua empresa tem política de IA, ou só tem a ilusão de que tem uma?

Essa é a pergunta que separa quem está exposto sem saber de quem já transformou esse risco em vantagem competitiva. É esse tipo de estrutura de governança institucional para IA — não uma lista de proibições, mas uma arquitetura real de uso seguro — que o AI FIRST ajuda lideranças a construir antes que o próximo vazamento apareça como manchete, não como estatística de pesquisa.