Shadow AI em 2026: 64% dos colaboradores já usa IA que a empresa não autorizou
Jorge García
Tecnea
64% dos colaboradores de pequenas e médias empresas admite usar ferramentas de IA que a sua empresa não autorizou. Não é uma estimativa: é o que respondem eles próprios, de forma anónima, no mais recente grande inquérito de higiene digital do setor. E vem acompanhado de um dado ainda mais desconfortável: menos de 30% dessas empresas acredita ter um inventário preciso do software usado dentro da sua própria organização.
Já falámos anteriormente sobre como uma parte importante do uso real de IA nas PME espanholas acontece sem que a empresa saiba — o fenómeno conhecido como shadow AI ou BYOAI («traz a tua própria IA»). Este novo estudo não muda essa conclusão: confirma-a com uma amostra diferente, uma metodologia diferente, e situa-a dentro de um problema mais amplo de controlo digital que muitas empresas ainda não começaram a resolver.
O que diz o relatório, e quem o assina
O 2026 Cybersecurity Hygiene Report da WatchGuard Technologies, publicado a 14 de julho de 2026, inquiriu 684 colaboradores de empresas entre 50 e 500 pessoas em oito países — Estados Unidos, Reino Unido, Alemanha, França, Espanha, Austrália, México e Brasil —, todos dentro do intervalo de dimensão em que se move boa parte do tecido empresarial espanhol. O estudo não oferece uma repartição por país, pelo que o valor de 64% é a média conjunta dos oito mercados, não um dado exclusivo de Espanha — convém ter isso presente antes de o citar como tal.
Nota de objetividade: a WatchGuard é uma empresa de cibersegurança que vende, entre outras coisas, ferramentas para detetar precisamente o uso não autorizado de aplicações e IA na rede de uma empresa. Tem um interesse comercial direto em que este problema seja percecionado como grave. Isso não invalida o dado — a metodologia (inquérito independente, amostra de 684 pessoas) é pública e razoável —, mas é o tipo de detalhe que, como nos restantes estudos que citamos no blog, preferimos deixar explícito.
O que torna este relatório diferente de outros que já citámos não é apenas o dado sobre IA, mas o contexto em que surge. Não é um estudo centrado em IA: é um estudo de higiene digital geral, e o uso não autorizado de IA surge como mais uma peça de um problema de comportamento mais amplo:
- 76% dos colaboradores reutiliza palavras-passe entre contas diferentes; 30% partilha-as diretamente.
- 70% trabalha ligado a redes wifi públicas; 50% acede a recursos corporativos sem VPN.
- 55% usa dispositivos de trabalho para atividades pessoais.
- Menos de 30% das empresas acredita ter um inventário preciso do software em uso; quase 40% admite não ter visibilidade completa sobre as aplicações que os seus colaboradores usam.
Boa parte do uso não autorizado de IA acontece fora da vista do departamento de TI: em redes públicas, em dispositivos pessoais, sem que fique qualquer registo.
Como resume Marc Laliberte, diretor de Operações de Segurança da WatchGuard: "gerir o comportamento humano está a tornar-se um requisito central de cibersegurança". A IA não é a exceção ao padrão: é o exemplo mais recente dele.
A distinção que realmente importa: não é "usam IA ou não", é "quem controla"
Aqui convém separar duas perguntas que se confundem com facilidade: a sua empresa usa IA? e a sua empresa sabe como está a ser usada? A primeira pergunta já a respondemos em julho, com dados de adoção contraditórios. A segunda é a que realmente determina se essa IA soma valor ou apenas acrescenta risco — e aqui há um dado recente que separa com bastante clareza quem está a fazê-lo bem de quem não está.
Um estudo da Fundação Cotec em conjunto com o centro de investigação ISEAK, publicado em outubro de 2025 sobre dados oficiais do INE, encontra que as empresas que usam pelo menos uma tecnologia de IA registam uma produtividade 27% superior às que não usam. Não é um dado menor. Mas o mesmo estudo explica por que razão a maioria ainda não chega a esse ponto: quase oito em cada dez empresas que não usam IA citam a falta de conhecimento interno como a sua principal barreira — não o custo, não a falta de casos de uso, mas simplesmente não saber por onde começar nem com que critério.
Essa combinação — benefício real para quem o faz bem, barreira de conhecimento para quem não sabe como começar — é exatamente o espaço onde surge o shadow AI. Um colaborador que vê o benefício (mais rápido, melhores resultados) mas não tem uma via oficial nem critério da empresa para o alcançar, não espera. Resolve-o por sua conta, com a ferramenta que tem à mão, com os dados que tem à frente. O mesmo estudo da Cotec confirma o outro lado do problema de fundo que já assinalámos em julho: há uma diferença de 44,9 pontos de adoção entre as grandes empresas (58,2%) e as microempresas (13,4%) — e é precisamente nas empresas mais pequenas, sem equipa de TI própria, que esse vazio de critério se cobre pior.
O que isto significa para uma PME espanhola, em concreto
A combinação destes dois estudos deixa uma mensagem bastante direta para qualquer empresa espanhola de dimensão média: se não decidiu ativamente como se usa a IA dentro da organização, provavelmente já está a ser usada na mesma — sem que ninguém saiba com que dados, nem com que garantias.
Isso não é só um problema de eficiência. Tem implicações normativas concretas:
- O RGPD exige saber que tratamento recebem os dados pessoais de clientes e colaboradores. Se esses dados entram numa ferramenta de IA pública sem a empresa saber, esse controlo deixa de existir.
- O Regulamento Europeu de IA, em plena aplicação desde o passado dia 2 de agosto, amplia as obrigações de transparência e documentação sobre os sistemas de IA que uma empresa usa — algo materialmente impossível de cumprir se, como afirma o próprio relatório da WatchGuard, menos de 30% das empresas sabe que software corre realmente na sua organização.
- A literacia em IA do pessoal que a usa é obrigatória desde fevereiro de 2025. Formar uma equipa sobre uma ferramenta que a empresa não sabe que está a ser usada é, na prática, impossível.
O que fazer com isto
Não é preciso travar a adoção de IA para resolver este problema — aliás, segundo o próprio dado da Cotec, travá-la tem um custo de produtividade real. O que é preciso é deixar de o tratar como um fenómeno espontâneo e começar a geri-lo como qualquer outra ferramenta de trabalho:
- Perguntar, sem procurar culpados, o que já se usa. É a única forma de partir da realidade e não do que a empresa acredita que acontece.
- Decidir que dados podem sair da empresa para uma IA pública, e quais nunca devem sair: clientes, processos, dados de colaboradores.
- Oferecer uma via oficial melhor que a oficiosa. Se a alternativa da empresa for pior do que aquilo que um colaborador já usa por sua conta, continuará a optar pela segunda — é a conclusão mais repetida neste tipo de estudos, e a mais ignorada.
- Para o que realmente importa ao negócio, construir sobre dados próprios. Uma aplicação à medida, com os dados num ambiente controlado, resolve ao mesmo tempo o problema de produtividade (a melhoria de 27% que já está em cima da mesa) e o de conformidade, em vez de deixar que cada colaborador decida por sua conta com que ferramenta e com que dados.
Gerir o uso da IA como qualquer outra ferramenta de trabalho não trava a produtividade: põe-na em ordem.
Perguntas frequentes
O que é "shadow AI"? É o uso de ferramentas de inteligência artificial (como ChatGPT, Claude ou outras) por colaboradores de uma empresa sem que esta o tenha autorizado, supervisionado ou tenha qualquer visibilidade sobre isso — um caso particular do fenómeno mais amplo de "shadow IT".
É legal um colaborador usar IA por sua conta no trabalho? Usar IA não é ilegal em si, mas pode constituir um incumprimento do RGPD se esses dados incluírem informação pessoal de clientes ou colaboradores que sai do controlo da empresa sem base legal nem garantias. A responsabilidade pelo tratamento continua a ser da empresa, quer esta tenha ou não consciência disso.
Como sei se a minha empresa tem um problema de shadow AI? Segundo o relatório da WatchGuard, menos de 30% das empresas acredita ter um inventário preciso do seu software — o primeiro passo realista não é assumir que não há uso não autorizado, mas perguntar diretamente à equipa o que usa e para quê, sem o apresentar como uma sanção.
Basta proibir o uso de IA de consumo na empresa? Os estudos citados aqui e no nosso artigo anterior concordam que não: se a alternativa oficial da empresa for pior do que a que o colaborador já usa, a proibição limita-se a empurrar o uso para a clandestinidade, sem resolver o problema de fundo.
É precisamente o tipo de ordem que ajudamos a implementar na Tecnea: saber que ferramentas de IA estão realmente a ser usadas, decidir que dados podem sair da empresa, e construir sobre isso uma IA privada que cumpre a lei, em vez de deixar essa decisão nas mãos de cada colaborador. Se quiser ver como se aplicaria ao seu caso, descubra como o garantimos.
Este artigo é informativo e não constitui aconselhamento jurídico. Procurou-se indicar junto de cada dado a sua fonte, a dimensão da amostra quando conhecida, e se quem o publica tem um interesse comercial no resultado.
