DO IMPROVISO À ESTRUTURA: POR QUE A IA SEM GOVERNANÇA JÁ É UM PASSIVO JURÍDICO
- Mauro Souza
- há 6 dias
- 5 min de leitura
O IMPROVISO SILENCIOSO
Um dos maiores desafios na governança de dados pessoais e estratégicos (segredos industriais) é saber quando um colaborador está usando um aplicativo pessoal ou corporativo, ou seja, o Whatsapp que seu gerente usa é o dele, pessoal, ou o corporativo da empresa?
Neste contexto, em quase toda organização brasileira existe hoje um comportamento que ninguém aprovou formalmente, ninguém mapeou e quase ninguém consegue enxergar: colaboradores colando trechos de contratos, planilhas de clientes, minutas, códigos e dados estratégicos em ferramentas de inteligência artificial de uso pessoal, abertas em um navegador qualquer, fora de qualquer controle corporativo.
Não há má-fé. A pessoa precisa resumir um parecer, revisar uma cláusula, gerar um e-mail ou consolidar o faturamento do mês. A ferramenta que tem à mão é a conta gratuita que ela mesma criou. O improviso resolve a tarefa do dia — e, no mesmo gesto, transfere informação sensível da empresa para um ambiente que a empresa não administra, não audita e não consegue reverter.
Esse fenômeno tem nome: Shadow AI — o uso de IA não sancionada, adotada por colaboradores sem aprovação, visibilidade ou supervisão da organização. E deixou de ser uma nota de rodapé de governança para se tornar uma das linhas que mais crescem no balanço de risco corporativo.
A SITUAÇÃO-PROBLEMA: VAZAMENTO E PERDA DE INFORMAÇÃO
O risco do Shadow AI tem duas faces, e ambas produzem impacto relevante.
A primeira é o vazamento. Quando um dado sai do perímetro da organização e entra numa ferramenta pessoal de terceiros, a empresa perde o controle sobre onde aquela informação é armazenada, por quanto tempo, sob quais políticas e com qual finalidade. O dado saiu — e não há como chamá-lo de volta.
Os números do relatório 1-Cost of a Data Breach 2025, da IBM em parceria com o Ponemon Institute, transformaram esse risco de hipótese em prejuízo mensurável:
Uma em cada cinco organizações que sofreram violação (20%) foi comprometida por meio de Shadow AI.
Violações associadas a Shadow AI adicionaram, em média, cerca de US$ 670 mil ao custo global de um incidente — que já gira em torno de US$ 4,44 milhões.
Entre as organizações que sofreram incidentes ligados à IA, 97% não possuíam controles de acesso adequados.
63% das organizações pesquisadas declararam não ter qualquer política de governança de IA para orientar ou conter o uso dessas ferramentas.
E há um agravante que fala diretamente à responsabilidade jurídica: os incidentes de Shadow AI expuseram não apenas dados pessoais de clientes (2-PII) — mas também propriedade intelectual, segredos industriais e, portanto, o segredo do próprio negócio.
A segunda perda é mais silenciosa, mas igualmente corrosiva: a perda de conhecimento. Não a perda por vazamento, mas a perda por dispersão. Quando o conhecimento da organização é processado em contas pessoais e conversas isoladas, ele não retorna à empresa como ativo documentado. Não há registro institucional, não há base de conhecimento compartilhada, não há rastreabilidade de quem tratou o quê e quando. O trabalho é feito — e evapora. Se o colaborador sai, o histórico sai com ele. Se um diretor perguntar “como esse processo foi conduzido ou como esses dados foram tratados?", não há resposta documentável. O conhecimento não foi roubado; simplesmente desapareceu para a organização como registro confiável, revisado por colaboradores experientes, logo, perda de ativo em forma de segredo do negócio ou expertise de processo.
Vazamento é o dado que deixa o ambiente digital da organização quando deveria permanecer sob seu controle. Perda, por sua vez, é o conhecimento que desaparece ou que até continua em algum lugar — em um computador, em uma pasta esquecida, em um arquivo sem responsável ou até na lixeira do Windows —, mas deixa de ser encontrável, reutilizável e governável. O Shadow AI produz esses dois efeitos ao mesmo tempo: expõe informações sensíveis para fora do controle corporativo e, simultaneamente, transforma conhecimento útil em fragmentos dispersos, invisíveis ou desaparecidos para a própria organização.
O ENQUADRAMENTO JURÍDICO: O IMPROVISO VIRA PASSIVO JURÍDICO SOB A LGPD
Para o controlador de dados, o Shadow AI não é apenas um problema de segurança da informação. É um problema de conformidade, e a Lei Geral de Proteção de Dados (Lei 13.709/2018) oferece o vocabulário exato do risco.
O improviso vira exposição regulatória. Quando dados são tratados em ferramentas invisíveis, fora do controle e sem registro institucional, a organização deixa de demonstrar governança, segurança e capacidade de prestar contas sobre o uso dessas informações.
O ponto central é este: o Shadow AI não cria uma nova categoria de infração — ele viola obrigações que a LGPD já impõe. A empresa que ignora o uso informal de IA não está apenas correndo um risco de segurança; está, na prática, deixando de cumprir deveres legais de registro, segurança e prestação de contas. E, num cenário em que a agenda regulatória da ANPD avança sobre justamente esses temas, a distância entre "não sabíamos" e "não fizemos nada" tende a encurtar.
A SOLUÇÃO CORPORATIVA: TRAZER A IA PARA DENTRO DO AMBIENTE DIGITAL
A resposta não é proibir a IA. Proibir apenas empurra o uso para as sombras — e as sombras são precisamente onde o risco mora. A resposta é oferecer um caminho oficial melhor do que o improviso: um ambiente corporativo de IA, administrado pela organização, dentro do qual o uso deixa de ser informal e passa a ser governado.
Adotar a IA de forma corporativa significa substituir contas pessoais dispersas por um ambiente sob controle da organização, com um conjunto de garantias que enfrentam diretamente cada dimensão do risco descrito acima.
O efeito prático é uma inversão de lógica. No improviso, a informação sai da empresa em direção à ferramenta. Na estrutura corporativa, a ferramenta vem para dentro do ambiente digital da empresa. O mesmo colaborador que precisava resumir o parecer continua resumindo o parecer — só que agora dentro de um ambiente que registra, protege e presta contas.
DO IMPROVISO À GOVERNANÇA
A forma de uso da IA é o sintoma; a ausência de governança é a causa. As organizações que continuarem tratando a adoção de IA como um assunto de comportamento individual, resolvido com um treinamento ou um comunicado, permanecerão expostas, porque o improviso é mais rápido que a proibição e sempre encontrará uma fresta.
A saída não é apenas tecnológica; antes, é jurídica e organizacional. É uma decisão de governança: reconhecer que o uso de IA já acontece, assumir a responsabilidade de estruturá-lo e mover a organização de um estado em que a informação vaza e se perde para um estado em que ela é tratada, registrada e protegida.
Para o controlador de dados brasileiro, isso não é um luxo de maturidade digital. É a forma concreta de cumprir, no terreno da IA, os deveres de segurança, registro e prestação de contas que a LGPD já lhe impõe. O improviso é o passivo. A governança é a resposta.
.
Dr. Mauro Souza
Advogado e Analista de Sistemas
Consultor em Privacidade e Compliance Digital
1-Fontes: IBM & Ponemon Institute, Cost of a Data Breach Report 2025. Base normativa: Lei 13.709/2018 (LGPD), arts. 6º, X; 37; e 46.
2-PII significa Personally Identifiable Information (em português, Informação Pessoalmente Identificável).
Texto apoiado por IA.
