29/10/2026

Um funcionário cola um contrato num chatbot para pedir um resumo. Outro sobe uma planilha de clientes num assistente de IA para montar um relatório. Um terceiro revisa um código proprietário com uma ferramenta gratuita. Nenhum desses casos passa pela TI, e juntos eles formam o chamado Shadow AI, que está criando nas empresas uma brecha de LGPD difícil de rastrear. O alerta é da Claranet, provedora global de serviços de tecnologia que atua com cloud, IA, dados, cibersegurança, aplicações e workplace.

Para a companhia que tem know-how em cibersegurança, o risco está menos na ferramenta e mais na falta de visibilidade sobre o que é compartilhado, por quem e em que condições. O quadro fica mais complicado à medida que o uso de IA se espalha e cresce o volume de dados processados em nuvem.

"O problema do Shadow AI é que a empresa pode perder justamente o que precisa para demonstrar conformidade: visibilidade, controle e evidências. Quando alguém usa uma ferramenta de IA não homologada, é preciso saber que tipo de dado foi inserido, onde foi processado, por quanto tempo fica retido e quem pode acessá-lo. Sem esse controle, a organização cria uma exposição que só vai aparecer numa auditoria ou depois de um incidente. Por isso que é tão importante a empresa definir a ferramenta e orientar os colaboradores sobre as permissões e funcionalidades, e sobretudo os riscos de usar de usar outras plataformas não autorizadas", afirma Luciano Simão, CISO da Claranet no Brasil.

A LGPD segue como principal referência regulatória de proteção de dados no país, mas a IA acrescenta camadas novas ao problema como soberania e retenção de dados, governança sobre o uso corporativo das ferramentas e risco de exposição nas etapas de treinamento, inferência ou integração com modelos.

Em ambientes híbridos e multicloud, a tarefa fica mais difícil. Cada provedor tem controles, serviços e modelos operacionais próprios, o que exige políticas padronizadas, gestão centralizada de identidades, monitoramento unificado e proteção de dados consistente. Sem essa visão integrada, aplicações de IA ampliam a superfície de exposição sem que o time de segurança veja o fluxo completo das informações.

A saída, segundo a Claranet, combina governança, automação e monitoramento contínuo. Isso significa mapear onde estão os dados e quem tem acesso a eles, automatizar controles de segurança e compliance para reduzir falhas humanas e criar regras específicas para IA, privacidade e multicloud. Gestão de identidade e acesso, DLP (Data Loss Prevention), criptografia, SIEM, CSPM (Cloud Security Posture Management) e DSPM (Data Security Posture Management) entram nessa estrutura, com a função de identificar desvios antes que eles se tornem risco concreto.

Fornecedores precisam estar no radar. A recomendação é avaliá-los por critérios de risco, segurança, privacidade e compliance antes da contratação e durante toda a relação comercial. Diante de uma não conformidade, o caminho é registrar o problema, classificar a criticidade, definir um plano de ação e acompanhar a correção.

"A discussão sobre IA não pode se limitar à produtividade. Privacidade e segurança precisam entrar desde o início da jornada, porque um dado inserido numa ferramenta pode circular por diferentes ambientes e gerar consequências regulatórias, financeiras e reputacionais. Governança não é freio à inovação. É o que permite escalar a IA com confiança", conclui Simão.

Sobre a Claranet A Claranet é uma provedora global de serviços de tecnologia com um propósito claro: impulsionar o futuro digital dos clientes. Com expertise em Cloud, AI, Data, Cybersecurity, Applications e Workplace, atua de forma consultiva, apoiando empresas em todas as etapas na jornada da transformação digital, desde a estratégia até a implementação de soluções personalizadas, com eficiência.