Shadow AI e os limites da governança no trabalho

Uma política que proíbe inteligência artificial pode coexistir com seu uso diário pelos empregados. Ao desconhecer essas práticas, a empresa deixa de avaliar as informações enviadas a terceiros e os efeitos dos resultados sobre suas decisões. O ganho de produtividade é imediato; a exposição jurídica pode alcançar toda a organização.

Esse descompasso caracteriza o shadow AI: o uso de ferramentas, modelos ou agentes de IA sem autorização, supervisão ou integração adequada aos processos corporativos. O trabalhador pode desconhecer as regras ou buscar uma solução não oferecida pela empresa. Em pesquisa da PagerDuty de 2026, 66% dos 1.250 profissionais de grandes empresas na Austrália, Japão, Reino Unido e EUA usaram IA apesar de acreditar que a política interna não permitia. O recorte não autoriza generalizar o percentual para o Brasil.

Os riscos trabalhistas aparecem na seleção de candidatos, na avaliação de desempenho e na definição de metas ou desligamentos. Essas aplicações, autorizadas ou não, exigem examinar quais dados e critérios sustentam as recomendações e se reproduzem desigualdades. A falta de supervisão no shadow AI dificulta esse exame.

O art. 20 da LGPD assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluído o perfil profissional. Nem toda decisão apoiada por IA se enquadra no dispositivo. Ainda assim, uma aprovação humana meramente formal não resolve a opacidade dos critérios nem a confiança excessiva no sistema. Quem supervisiona precisa de informação, tempo e autoridade para questionar e corrigir resultados.

A organização do trabalho também merece atenção. A redação do capítulo 1.5 da NR-1, vigente desde 26 de maio de 2026, inclui expressamente os fatores de risco psicossociais relacionados ao trabalho no Gerenciamento de Riscos Ocupacionais. O uso de IA não é proibido pela norma, mas deve ser avaliado quando a forma de monitorar atividades ou cobrar resultados cria ou agrava esses fatores. Essa análise requer a atuação conjunta de RH, segurança e saúde do trabalho, tecnologia e jurídico.

Outro foco está no conteúdo compartilhado com as plataformas. Dados pessoais de empregados, candidatos ou clientes exigem finalidade, base legal, necessidade e segurança, com cautelas específicas para dados sensíveis. A contratação de uma ferramenta externa não configura, por si só, infração à LGPD. A multa simples pode chegar a 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, mas depende de apuração administrativa e dos critérios legais.

Inscreva-se no canal de notícias tributárias do JOTA no WhatsApp e fique por dentro das principais discussões!

A proteção não se esgota nos dados pessoais. Fórmulas, estratégias e códigos-fonte podem conter informações confidenciais mesmo quando não identificam pessoas. O art. 195, XI, da Lei 9.279/1996 tipifica a divulgação ou utilização não autorizada de informações confidenciais obtidas em relação contratual ou empregatícia, nas condições ali previstas. Obrigações de sigilo também importam. O enquadramento do envio como divulgação de segredo empresarial depende do conteúdo, das condições do serviço e das circunstâncias.

É igualmente impreciso presumir que toda informação inserida em IA se torna pública ou alimenta o treinamento de modelos. As condições variam conforme fornecedor, modalidade de serviço, configurações e contrato. A ausência de treinamento, porém, não elimina riscos de retenção ou acesso indevido. Contas pessoais podem deixar o uso corporativo fora dos controles e das condições negociadas pela empresa.

Os resultados exigem cuidado semelhante. No processo 0000284–92.2024.5.06.0351, a 6ª Turma do TST aplicou penalidades de 1% do valor atualizado da causa à empresa e ao advogado por citações de julgados inexistentes ou adulterados em contrarrazões. A sanção decorreu da conduta processual, e não do simples uso de IA. O caso reforça o dever de conferir fatos e referências, inclusive em relatórios e pareceres internos.

A resposta empresarial começa pelo mapeamento dos usos reais, ouvindo trabalhadores e gestores. Cabe oferecer alternativas adequadas e esclarecer quais ferramentas são aprovadas, que informações são vedadas, quando se exige autorização e a quem recorrer em caso de dúvida. Uma proibição sem condições para cumpri-la tende a perder eficácia.

A avaliação dos fornecedores deve abranger segurança, acesso, retenção, eliminação de dados, subcontratação, transferências internacionais e eventual treinamento. A capacitação deve corresponder a cada função e ensinar a reconhecer limites e verificar respostas.

Também é necessário um protocolo para registrar ocorrências, preservar informações, avaliar a exposição e adotar medidas junto ao fornecedor. Nem toda inserção indevida exige notificação: a comunicação à ANPD e aos titulares depende de incidente envolvendo dados pessoais que possa acarretar risco ou dano relevante, conforme a regulamentação aplicável.

Regras e controles precisam ser revistos à medida que ferramentas e práticas mudam. Os deveres de proteção de dados, confidencialidade e saúde e segurança do trabalho já oferecem bases para agir. Uma governança eficaz incorpora a IA às decisões da organização com critérios conhecidos, supervisão efetiva e atenção aos efeitos sobre as pessoas.