Segundo pesquisa da Lenovo de abril de 2026, 70% da IA usada nas empresas roda fora da supervisão de TI. A IBM calcula que uma violação de dados envolvendo shadow AI custa, em média, US$ 4,63 milhões. A IA que ninguém governa não é produtividade invisível. É passivo.
O tema saiu da alçada técnica. Uma pesquisa citada pela imprensa aponta que 40% dos conselheiros veem a IA como o assunto mais difícil de supervisionar em 2026. Enquanto isso, só uma em cada cinco empresas tem governança madura para agentes autônomos.
Este guia é para quem responde pela empresa quando o conselho, o regulador ou o cliente perguntar quem autorizou aquele uso de IA.
Shadow AI é a regra, não a exceção
O uso de IA sem aval de TI virou o padrão operacional. Além dos 70% apontados pela Lenovo, levantamentos indicam que cerca de dois terços dos funcionários contornam a área de tecnologia para usar ferramentas próprias.
O custo já é mensurável. A IBM, no relatório Cost of a Data Breach, aponta que a shadow AI foi fator em uma a cada cinco violações de dados e adiciona, em média, US$ 670 mil ao custo de cada incidente. O que não é visto também não é protegido.
O passivo tem preço e tem prazo
A régua regulatória está subindo. O EU AI Act coloca as obrigações para sistemas de alto risco em vigor a partir de 2 de agosto de 2026, com multas que chegam a 3% do faturamento global e, para práticas proibidas, a 35 milhões de euros ou 7% do faturamento.
A exigência central é inventário. A regra pede o mapeamento completo dos sistemas de IA em uso, classificados por risco, sem exceção para ferramentas que o funcionário adotou por conta própria. O que a empresa não sabe que roda continua sendo responsabilidade dela.
No Brasil, a LGPD já se aplica
Quando a IA lê ou decide sobre dados pessoais, aplica-se a LGPD. Isso exige base legal, minimização de dados e rastreabilidade da decisão automatizada, com registro do que a ferramenta acessou e por quê.
Para a shadow AI, o problema se agrava. Uma ferramenta adotada sem controle costuma tratar dado pessoal sem base legal clara e sem registro, o que transforma um ganho de produtividade local em exposição jurídica da empresa inteira.
Governança não é freio, é licença para escalar
Governar IA não é proibir. É dar condição de usar em escala sem herdar risco. A base é conhecida: inventário dos sistemas, classificação de risco, dono nomeado, supervisão humana em decisões críticas e registro de acesso e ação.
Para agentes, a exigência sobe. O agente age, não só responde, então precisa de permissão mínima, limite de ação, avaliação contínua e observabilidade. É o que transforma autonomia em autonomia controlada. A ausência desse controle abre a porta para riscos como a injeção de prompt.
É essa camada que a NN desenha e opera: inventário, permissão, observabilidade e governança de agentes, para a empresa escalar IA sem transformar ganho local em passivo corporativo.
O que o board decide agora
A decisão deixou de ser técnica. Quando a IA sem controle vira risco de multa, vazamento e reputação, a governança entra na mesa do conselho ao lado do CIO e do jurídico.
A ordem importa. Quem monta o inventário e a governança antes da fiscalização de 2026 e 2027 escala com segurança. Quem espera herda uma base de IA que ninguém consegue mapear nem defender.
A IA sem dono não é inovação parada. É passivo esperando a próxima auditoria, o próximo vazamento ou a próxima pergunta do conselho.
Perguntas frequentes
O que é shadow AI e por que é um risco?
Shadow AI é o uso de ferramentas de IA sem aval da área de tecnologia. Pesquisa da Lenovo aponta que 70% da IA nas empresas roda fora da supervisão de TI. O risco é de segurança e conformidade: a IBM aponta que a shadow AI foi fator em uma a cada cinco violações de dados e eleva o custo médio de cada incidente.
O EU AI Act afeta empresas fora da Europa?
Sim, quando oferecem produtos ou serviços que alcançam o mercado europeu. As obrigações para sistemas de alto risco entram em vigor a partir de 2 de agosto de 2026, com multas de até 3% do faturamento global e, para práticas proibidas, de até 35 milhões de euros ou 7% do faturamento. A regra exige inventário completo dos sistemas de IA.
Como a LGPD se aplica ao uso de IA?
Quando a IA lê ou decide sobre dados pessoais, aplica-se a LGPD, com exigência de base legal, minimização de dados e rastreabilidade da decisão automatizada. Ferramentas de shadow AI costumam tratar dado pessoal sem base legal nem registro, o que expõe a empresa juridicamente.
Por onde começar a governança de IA?
Pelo inventário dos sistemas de IA em uso, seguido de classificação de risco, dono nomeado, supervisão humana em decisões críticas e registro de acesso e ação. Para agentes, adicione permissão mínima, limite de ação, avaliação contínua e observabilidade.
Fontes
Watch the Manifesto
Conheça a visão que guia a NN e descubra por que acreditamos que a inteligência artificial está redefinindo a forma como empresas crescem, decidem e executam.
Intelligence Unlocked
Building what ambitious companies will run on next.
Você sabe toda IA que roda na sua empresa hoje?
A NN estrutura o inventário, a governança e a observabilidade de IA e de agentes, para a sua empresa escalar com segurança e conformidade, sem transformar produtividade local em passivo corporativo.
Falar com a NN
