Shadow AI (IA não autorizada)

Shadow AI amplia a antiga ideia de shadow IT. Surge quando um empregado cola documentos de clientes em um chatbot público, quando uma equipe conecta um plugin de IA a um sistema corporativo ou quando um fornecedor acrescenta, sem alarde, recursos de IA a um software já em uso. Os riscos são concretos: informações confidenciais e dados pessoais saindo da organização, resultados usados sem verificação, exposição de propriedade intelectual e sistemas de IA que nunca passam pela classificação de risco, deixando deveres regulatórios sem cumprimento.

Proibir tudo raramente funciona; o uso apenas se esconde mais. Respostas eficazes combinam uma política de uso aceitável que diga o que é permitido, alternativas aprovadas que atendam a necessidades reais, letramento em IA, controles técnicos como prevenção de perda de dados, gestão de fornecedores que identifique recursos de IA nos contratos e um fluxo de entrada que leve os usos descobertos ao inventário de IA. A ISO/IEC 42001 e a função Govern do NIST AI RMF pressupõem que a organização sabe qual IA usa.

Exemplo: o jurídico descobre advogados redigindo contratos com um assistente gratuito na internet e os migra para uma ferramenta corporativa aprovada e com registros.