Resumo: Shadow AI é um tipo de Shadow IT: o uso de ferramentas de IA sem aprovação e fora da visibilidade da TI. A origem é a mesma, mas o risco muda, porque na IA a pessoa envia a informação a um modelo de terceiros em vez de apenas guardá-la em um sistema não autorizado. O artigo compara os dois, reúne números verificados e mostra por onde a TI pode começar.
Neste artigo
- O que é Shadow IT
- O que é Shadow AI
- O que as duas têm em comum
- O que muda do Shadow IT para o Shadow AI
- Shadow IT x Shadow AI em uma tabela
- Os números que mostram o tamanho do problema
- O que a TI já sabe fazer e o que ainda falta
- Por onde começar
- Perguntas frequentes
Quem trabalha em TI conhece o Shadow IT há anos: o aplicativo contratado com cartão, a planilha na nuvem pessoal, a ferramenta de equipe que ninguém homologou. Com a IA, o fenômeno ganhou um nome próprio, o Shadow AI, e muita gente trata os dois como a mesma coisa. Têm a mesma origem, mas não têm o mesmo risco, e a diferença muda o que a empresa precisa controlar.
O que é Shadow IT
Shadow IT é o uso de tecnologia, serviços ou aplicativos de TI por funcionários sem autorização e fora da visibilidade ou do controle da área de TI. Entram nessa categoria ferramentas de armazenamento e colaboração não aprovadas, software gratuito ou de teste usado para tarefas de trabalho, dispositivos pessoais acessando recursos da empresa, assinaturas esquecidas depois do fim de um projeto e bibliotecas de código aberto usadas sem autorização.
A causa raramente é má-fé. As explicações mais comuns são processos de compra lentos, ferramentas oficiais que não atendem a área e a facilidade de contratar um serviço em nuvem com um cartão ou um período de teste.
O que é Shadow AI
Shadow AI é o mesmo comportamento aplicado à inteligência artificial: o uso de ferramentas de IA sem aprovação da empresa. A IBM define o termo como o caso em que funcionários baixam ou usam ferramentas de IA da internet que não foram aprovadas. Na prática, inclui o modelo de linguagem público usado com dado corporativo, automações criadas por uma área sem revisão técnica, extensões de IA em planilhas e agentes montados por conta própria. O artigo Shadow AI: o risco que já está dentro da operação detalha esses casos.
Por isso, a Check Point descreve o Shadow AI como um subconjunto do Shadow IT. Toda ferramenta de IA não autorizada é Shadow IT, mas nem todo Shadow IT envolve IA.
O que as duas têm em comum
A origem é a mesma: a pessoa precisa resolver uma tarefa, a ferramenta está a um clique e o caminho oficial é mais lento ou não existe. No Brasil, o relatório Future of Professionals 2026, da Thomson Reuters, aponta que 39,1% dos profissionais não têm acesso a nenhum serviço de IA oferecido pela empresa. A pesquisa não detalha a metodologia, mas o dado combina com a lógica do Shadow IT: onde não há alternativa corporativa, o uso migra para a ferramenta pessoal.
A consequência também é parecida. Em ambos os casos o problema central é a falta de visibilidade: a TI não consegue proteger, monitorar ou auditar o que não sabe que existe.
O que muda do Shadow IT para o Shadow AI
A diferença está no que acontece com o dado. No Shadow IT clássico, o arquivo costuma ir parar em um sistema não autorizado, onde ele fica guardado. No Shadow AI, a pessoa envia a informação a um modelo de terceiros, em geral colando um texto ou subindo um documento, e muitas vezes sem saber o que o provedor faz com ela depois. A Check Point resume o risco como o de um vazamento acidental: uma planilha interna enviada a uma plataforma de IA passa a ser compartilhada com um terceiro, e o mesmo vale para código-fonte e propriedade intelectual.
A Check Point também aponta riscos que o Shadow IT tradicional não tem na mesma medida: práticas de privacidade pouco transparentes dos provedores, incerteza sobre a origem dos dados de treinamento e dependência de terceiros. Na prática, como a IA é consultada a cada tarefa, o envio de dado tende a se repetir muito mais do que no caso de um aplicativo contratado uma única vez.
Shadow IT x Shadow AI em uma tabela
| Critério | Shadow IT | Shadow AI |
|---|---|---|
| Definição | Tecnologia, serviço ou aplicativo usado sem autorização e fora da visibilidade da TI | Ferramenta de IA usada sem aprovação da empresa; é um subconjunto do Shadow IT |
| Exemplos | Armazenamento e colaboração não aprovados, software de teste, dispositivos pessoais, assinaturas esquecidas | Modelo público usado com dado corporativo, automações sem revisão, extensões de IA, agentes criados por conta própria |
| O que acontece com o dado | Fica guardado em um sistema não autorizado | É enviado a um modelo de terceiros, com destino e uso nem sempre claros |
| Riscos principais | Superfície de ataque maior, silos de dados, lacunas de conformidade | Vazamento acidental, privacidade do provedor, origem dos dados de treinamento, dependência de terceiros |
| O que a TI precisa saber | Quais aplicativos, dispositivos e serviços em nuvem estão em uso | Quais ferramentas de IA estão em uso e que dado vai para cada uma |
| Controles em comum | Política clara, catálogo de ferramentas aprovadas, treinamento e monitoramento | Os mesmos, mais regra sobre o dado que pode ir ao modelo e registro de cada uso |
A tabela reúne pontos da Wiz, da Check Point e da IBM. A última linha, sobre a regra do dado e o registro de uso, é leitura da Premiersoft.
Os números que mostram o tamanho do problema
A Gartner previu em 2023 que, até 2027, 75% dos funcionários vão adquirir, modificar ou criar tecnologia fora da visibilidade da TI, ante 41% em 2022. O número é uma previsão, não uma medição, e cobre tecnologia em geral, sem recorte específico para IA.
Para IA, a Thomson Reuters aponta que 38% dos profissionais no Brasil usam ferramentas sem autorização da empresa. No custo de um incidente, o relatório Cost of a Data Breach 2025, da IBM, concluiu que um nível alto de Shadow AI acrescentou US$ 670 mil ao custo médio global de uma violação. Entre as 600 organizações pesquisadas, 63% disseram não ter política de governança de IA, e 97% das violadas por um incidente com IA afirmaram não ter controles de acesso adequados para IA.
O que a TI já sabe fazer e o que ainda falta
Boa parte do que funciona contra o Shadow IT serve também para a IA: visibilidade sobre o que está em uso, política clara, catálogo de ferramentas aprovadas, treinamento e conversa entre a TI e as áreas de negócio para entender a necessidade real. A Wiz e a Check Point recomendam esse conjunto, e ele continua válido.
O que costuma faltar são as respostas específicas de IA: que dado pode ir para qual modelo, o que precisa ser mascarado antes do envio, o que exige aprovação e o que fica registrado de cada uso. São as mesmas perguntas que aparecem em Quem controla o que entra na sua IA?. Para o uso que acontece fora da API corporativa, no navegador e em aplicativos, o artigo sobre o Guardian mostra como cobrir esse ponto.
Por onde começar
Comece pelo inventário: levante quais ferramentas de IA já estão em uso, por quem e para qual tarefa. Em seguida, ofereça uma alternativa corporativa boa o suficiente, porque o dado da Thomson Reuters sugere que parte do uso nasce da falta dela. Depois, defina por classe de dado o que pode ir a qual modelo e, por fim, garanta o registro de cada uso, para que segurança, jurídico e auditoria tenham o que consultar. Nenhuma dessas etapas exige esperar uma política perfeita.
Conclusão
Shadow AI e Shadow IT nascem do mesmo lugar, a distância entre a necessidade da área e o que a TI oferece. O risco é que muda: na IA, o dado sai da empresa em cada uso. Os controles que a TI já tem continuam necessários, e a eles se somam regra sobre o dado, aprovação para o que é sensível e registro de cada consulta.
O PRISMON, a base da operação de IA, transforma essas respostas em configuração: acesso por cargo e departamento, tratamento do dado sensível antes do modelo, consumo acompanhado por área e registro de cada interação para auditoria. Para o uso fora da plataforma, o Guardian estende as mesmas regras ao navegador e aos aplicativos. Conheça o PRISMON.
Perguntas frequentes sobre Shadow IT e Shadow AI
Qual a diferença entre Shadow IT e Shadow AI?
Shadow IT é qualquer tecnologia usada sem autorização e fora da visibilidade da TI. Shadow AI é o caso específico das ferramentas de IA. A diferença de risco está no dado: no Shadow IT ele fica guardado em um sistema não autorizado, e no Shadow AI é enviado a um modelo de terceiros.
Shadow AI é um tipo de Shadow IT?
Sim. A Check Point descreve o Shadow AI como um subconjunto do Shadow IT: toda ferramenta de IA não autorizada é Shadow IT, mas nem todo Shadow IT envolve IA.
Por que o Shadow AI é mais arriscado?
Porque a informação sai da empresa em cada uso, em geral colada em um texto ou enviada em um documento, e vai para um provedor externo. Entram em jogo a privacidade do provedor, a origem dos dados de treinamento e a dependência de terceiros, além da falta de registro do que foi enviado.
Proibir resolve o problema?
Proibir sozinho costuma empurrar o uso para fora da rede da empresa. O caminho mais sustentável combina visibilidade, uma alternativa corporativa, regras sobre o dado e registro de uso.
Como começar a controlar o Shadow AI?
Com o inventário do que já está em uso, uma alternativa corporativa de IA, regra de dado por classe e registro de cada uso.