A Inteligência Artificial entrou nas empresas mais rápido do que as regras para o seu uso. Hoje, ferramentas de IA já fazem parte da rotina de áreas como RH, Marketing, Jurídico, Financeiro e Comercial, sendo usadas para resumir documentos, revisar textos, analisar dados ou acelerar tarefas. O ganho de produtividade é evidente, mas o risco também deveria ser. A pergunta que muitas empresas ainda não estão fazendo é simples: o que seus funcionários estão colocando dentro dessas ferramentas?
Um levantamento da Peers Consulting + Technology em parceria com o TEC.Institute aponta que 66% dos executivos brasileiros acreditam que funcionários podem estar utilizando ferramentas públicas de IA generativa para atividades profissionais sem autorização da empresa. É o chamado Shadow AI, que, muitas vezes, não acontece porque alguém decidiu deliberadamente ignorar uma política de segurança e sim, porque a pessoa quer resolver uma tarefa mais rápido.
Ela recebe um contrato e pede um resumo, copia informações de uma planilha para analisar os dados, coloca um documento em uma IA para melhorar um texto. O problema é que esse conteúdo pode ter dados pessoais, informações financeiras, estratégias comerciais, detalhes de uma negociação ou qualquer outra informação que não deveria sair do ambiente controlado da empresa. Por isso, acredito que a discussão sobre governança de IA está começando pelo lugar errado. A pergunta não deveria ser apenas: podemos usar esta ferramenta? Deveria ser: para que ela será usada, quais dados serão processados, quem terá acesso a eles e quais controles existem nesse processo?
Também é importante separar duas situações muito diferentes. Usar uma ferramenta pública, com uma conta pessoal e sem avaliação da empresa, não é a mesma coisa que utilizar uma solução corporativa com requisitos específicos de segurança e privacidade. Mesmo no segundo caso, a empresa precisa entender as políticas de retenção, a eventual utilização das informações para treinamento dos modelos, as permissões de acesso e as garantias contratuais oferecidas pelo fornecedor. Em tecnologia, contexto importa.
Só proibir IA não resolve o problema
Tratar o Shadow AI apenas como responsabilidade da área de TI também me parece um erro. A área de Tecnologia tem um papel importante na definição de ferramentas, controles e mecanismos de segurança, mas Compliance, Jurídico, RH e as áreas de negócio também precisam participar da discussão. Se alguém está recorrendo a uma ferramenta externa porque ela resolve uma necessidade real da operação, simplesmente bloquear o acesso pode não eliminar o uso, pode apenas torná-lo invisível. Governança eficiente precisa combinar regra e alternativa.
O funcionário precisa entender o que não pode ser compartilhado, quais ferramentas pode utilizar e o que fazer quando estiver diante de uma situação que não está prevista pela política. Isso se torna ainda mais importante à medida que a IA deixa de ser apenas uma ferramenta de apoio e passa a participar de processos cada vez mais próximos da operação.
Da IA generativa aos agentes
No Ouvidor Digital, trabalhamos com Inteligência Artificial desde 2021. Nesse período, vimos a tecnologia sair de aplicações pontuais para ocupar uma posição cada vez mais próxima dos processos de negócio. Agora estamos dando um passo além com os Agentes de IA. Criamos toda a infraestrutura, um harness, para que as empresas possam criar agentes no contexto de Compliance de forma segura e escalável, e existe um princípio importante nessa construção: o ser humano continua no centro das definições.
Para nós, avançar no uso da Inteligência Artificial não significa retirar das pessoas a responsabilidade sobre como a tecnologia será aplicada. Significa criar uma estrutura que permita ampliar seu uso dentro do Compliance, com segurança, escala e participação humana nas definições.
A governança precisa evoluir junto com a tecnologia
A IA já faz parte da rotina das empresas. Não existe um caminho realista de volta para um ambiente em que seu uso fique restrito às equipes de tecnologia. O desafio agora é construir maturidade. Isso significa oferecer ferramentas adequadas, definir limites claros, controlar o uso dos dados e avaliar os fornecedores, além de preparar as pessoas para entender as consequências do que estão fazendo.
Porque, no fim, o risco não está simplesmente em usar Inteligência Artificial. O funcionário precisa saber não apenas o que a IA pode fazer, mas principalmente o que ele pode colocar dentro dela.
Rafael Pacheco é CTO e sócio-fundador do Ouvidor Digital, empresa especializada em tecnologia para Governança, Riscos e Compliance (GRC)