O que aconteceu e o que a lei estabelece?
Matéria publicada pela Forbes em 16 de setembro de 2026, com base em pesquisa da SAP e da Oxford Economics, informa que 82% das organizações brasileiras consultadas registram uso de ferramentas de IA não autorizadas ao menos ocasionalmente. A amostra reuniu 2.600 líderes em 13 países, sendo 200 no Brasil; portanto, o percentual descreve os participantes da pesquisa e não deve ser apresentado como medição exata de todas as empresas brasileiras. Entre os entrevistados no país, 43% relataram vazamento de dados ou exposição de propriedade intelectual, 32% vulnerabilidades de segurança e 31% violações de conformidade. Quando dados pessoais são inseridos em uma ferramenta de IA, há tratamento sujeito à LGPD, inclusive aos princípios da finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização. No campo trabalhista, eventual sanção depende dos fatos, das regras internas, do treinamento, da prova, da gravidade e da proporcionalidade; o uso não autorizado não produz justa causa automática.
O que é shadow AI?
Shadow AI é o uso de ferramentas de inteligência artificial sem conhecimento, aprovação ou supervisão adequada da organização. Pode ocorrer quando alguém utiliza uma conta pessoal, instala uma extensão no navegador, conecta um assistente a arquivos corporativos ou envia conteúdo interno a um chatbot não avaliado.
O uso costuma surgir para resumir documentos, revisar textos, gerar código, analisar planilhas, atender clientes ou preparar apresentações. A busca por produtividade é legítima, mas não afasta os deveres de segurança, sigilo e proteção de dados.
Por que o uso fora dos controles acontece?
Entre as causas frequentes estão a ausência de ferramentas corporativas adequadas, políticas genéricas, falta de treinamento, pressão por velocidade e desconhecimento sobre o destino das informações inseridas. Por isso, bloquear acessos sem compreender as necessidades reais pode apenas deslocar o uso para contas pessoais ou dispositivos menos controlados.
Quais informações exigem cuidado especial?
- dados pessoais de clientes, empregados, candidatos e fornecedores;
- dados sensíveis, como saúde, biometria, religião ou filiação sindical;
- contratos, propostas, estratégias, listas de clientes e preços;
- credenciais, códigos de acesso e configurações de segurança;
- processos, pareceres e documentos sujeitos a dever de sigilo;
- código-fonte, projetos, invenções e outros ativos intelectuais;
- dados de crianças e adolescentes.
Os riscos vão além da LGPD
O envio de conteúdo a uma ferramenta externa pode contrariar cláusulas de confidencialidade, deveres profissionais, regras de propriedade intelectual, requisitos regulatórios e compromissos assumidos com clientes. Respostas incorretas também podem produzir decisões ruins quando não há revisão humana. A governança de IA deve, portanto, abranger dados, contratos, segurança da informação, relações de trabalho e qualidade do resultado.
Monitoramento de empregados também tem limites
A empresa pode adotar controles proporcionais para proteger seus sistemas e informações, mas isso não autoriza vigilância ilimitada. O monitoramento deve ter finalidade legítima, ser informado, necessário, seguro e compatível com os direitos dos trabalhadores. A coleta excessiva de registros para combater shadow AI pode criar um novo problema de privacidade.
O que pequenos negócios podem fazer agora?
Uma pequena empresa pode começar com medidas objetivas: listar as ferramentas efetivamente usadas, selecionar uma opção corporativa, proibir a inserção de categorias críticas, ensinar como remover identificadores, exigir conferência humana e criar um canal simples para relatar erros. O controle precisa ser aplicável à rotina, e não apenas existir no papel.
Fatos confirmados e limites da pesquisa
Os percentuais divulgados decorrem de uma pesquisa empresarial com amostra definida. Eles confirmam que o tema recebeu atenção recente e que os respondentes relataram riscos concretos, mas não provam que exatamente 82% de todas as empresas brasileiras tenham o mesmo comportamento. Essa distinção evita transformar um levantamento amostral em afirmação universal.
Fontes consultadas
- Forbes Brasil — pesquisa sobre uso não autorizado de IA, publicada em 16/09/2026
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados
- ANPD — Regulamento de Comunicação de Incidente de Segurança
- ANPD — Regulamento de Transferência Internacional de Dados
- Consolidação das Leis do Trabalho
Exemplo prático
Um empregado copia para uma conta pessoal de IA um contrato que contém nomes, valores, condições comerciais e contatos de clientes para obter um resumo. Mesmo que a intenção seja aumentar a produtividade, surge um novo fluxo de informações fora do ambiente aprovado. A empresa precisa identificar o conteúdo enviado, examinar os termos do fornecedor, verificar retenção e eventual transferência internacional, avaliar os riscos aos titulares e decidir, de forma documentada, se existe incidente que exija comunicação.
Documentos e registros que devem ser preservados
- política de uso de inteligência artificial e normas de segurança da informação
- inventário das ferramentas, contas, extensões e integrações utilizadas
- contratos, termos de uso e avisos de privacidade dos fornecedores de IA
- registro das atividades de tratamento e classificação das informações
- avaliações de risco, diligências de fornecedores e decisões de aprovação
- comprovantes de treinamento e termos de confidencialidade
- registros técnicos e evidências preservadas de forma lícita
- cronologia do evento, comunicações e pedidos de exclusão enviados ao fornecedor
- avaliação do incidente e decisão fundamentada sobre comunicação à ANPD e aos titulares
Providências recomendadas
- mapear as ferramentas de IA usadas e as tarefas para as quais são procuradas
- classificar dados pessoais, segredos comerciais e informações contratuais
- definir ferramentas aprovadas e usos expressamente proibidos
- avaliar contratos, retenção, reutilização de entradas e transferências internacionais
- oferecer contas corporativas e alternativas seguras para necessidades legítimas
- publicar uma política simples, acessível e proporcional ao negócio
- treinar empregados e exigir revisão humana de resultados relevantes
- manter procedimento de resposta a incidentes e revisão periódica dos controles
Se um uso não autorizado já ocorreu, a empresa deve interromper novas inserções, identificar com precisão o que foi enviado, preservar evidências de forma lícita e revisar a conta, as configurações e os termos do fornecedor. Quando possível, deve solicitar a exclusão das informações, mapear titulares e terceiros afetados, avaliar eventual transferência internacional e documentar o risco. A comunicação à ANPD e aos titulares depende dos critérios da LGPD e do Regulamento de Comunicação de Incidente de Segurança. Medidas trabalhistas exigem apuração individual, respeito aos direitos do trabalhador e proporcionalidade.
Quando buscar orientação jurídica?
Pode ser útil buscar análise individual quando dados pessoais, dados sensíveis, documentos confidenciais ou segredos comerciais forem inseridos em IA; quando não estiver claro se o fornecedor reutiliza as entradas; quando houver armazenamento no exterior; quando informações de clientes, empregados ou crianças estiverem envolvidas; quando existir suspeita de vazamento; quando se cogitar medida disciplinar; ou quando contratos e políticas internas não definirem responsabilidades.
Perguntas frequentes
Todo uso de IA não autorizado é proibido pela LGPD?
Não. O problema não é a tecnologia isoladamente, mas a finalidade, os dados utilizados, a base legal, a necessidade, a segurança, os contratos e a transparência do tratamento.
Anonimizar o texto elimina todos os riscos?
Não necessariamente. A reidentificação pode ser possível, e ainda podem existir segredos comerciais, direitos autorais, obrigações contratuais e informações estratégicas.
A empresa pode proibir ferramentas de IA?
Pode estabelecer regras legítimas de segurança e organização do trabalho, mas uma proibição isolada costuma ser insuficiente. É recomendável explicar os riscos, treinar e oferecer alternativas aprovadas.
O empregado pode ser demitido por justa causa?
Não automaticamente. A análise depende da conduta concreta, da política conhecida, do treinamento, da intenção, da gravidade, do dano, da prova lícita e da proporcionalidade.
Todo envio indevido precisa ser comunicado à ANPD?
Não. A comunicação é exigida quando o incidente puder acarretar risco ou dano relevante aos titulares, conforme a LGPD e a regulamentação da ANPD. A avaliação e sua conclusão devem ser documentadas.
Uma pequena empresa precisa de uma política complexa?
Não. Um documento curto pode definir ferramentas aprovadas, dados que nunca devem ser inseridos, necessidade de revisão humana, canal para dúvidas e procedimento em caso de erro.
Existe garantia de resultado?
Não. A orientação depende dos fatos e documentos e não representa promessa de resultado.
Conclusão
A inteligência artificial pode aumentar a produtividade, mas seu uso sem governança cria fluxos de informação que a empresa talvez não consiga enxergar nem controlar. O caminho mais seguro não é ignorar a ferramenta nem tratar toda ocorrência como falta grave: é conhecer os usos reais, oferecer opções adequadas, estabelecer limites claros, treinar as pessoas e responder rapidamente quando houver exposição. Cada incidente e cada medida trabalhista exigem análise individual dos fatos e das provas.
Leia também
- Como adequar uma pequena empresa à LGPD sem criar burocracia desnecessária?
- Ocorreu um vazamento de dados na empresa: o que fazer nas primeiras horas?
- LGPD no trabalho: quais dados dos empregados a empresa pode utilizar?
- Contrato precisa ter cláusula de proteção de dados? O que deve constar?
Revisar o uso de IA na empresa
Se sua empresa precisa criar regras, avaliar fornecedores ou responder a uma exposição de dados em ferramenta de IA, solicite uma análise jurídica dos documentos e dos riscos concretos.
Solicitar consulta jurídica