Shadow AI: como fazer o inventário de IA da sua empresa
Shadow AI é a utilização de ferramentas de inteligência artificial pelos colaboradores sem conhecimento ou aprovação da empresa: contas pessoais do ChatGPT, extensões de navegador, assistentes de reuniões. A resposta não é proibir tudo, mas fazer um inventário de IA: uma lista viva de todos os sistemas usados, com finalidade, dados, dono e nível de risco.
Pontos-chave
- A shadow AI expõe a empresa a fugas de dados, violações do RGPD e incumprimento do AI Act sem que ninguém o saiba.
- O inventário de IA é o primeiro passo de qualquer programa de conformidade; a ANACOM coloca a identificação dos sistemas de IA no início das suas recomendações sobre práticas proibidas.
- A deteção combina fontes técnicas (proxy, consentimentos OAuth, faturas) com fontes humanas (inquérito e entrevistas).
- Um bom registo tem poucos campos obrigatórios e um dono para cada linha.
- O inventário só é útil se tiver um processo de atualização ligado às compras e à aprovação de novas ferramentas.
O que é shadow AI e porque preocupa
O termo vem de «shadow IT», a tecnologia usada fora do controlo da direção de sistemas de informação. Com a IA generativa, o fenómeno acelerou: basta um navegador e um endereço de e-mail para pôr um modelo de linguagem a resumir contratos, traduzir propostas ou analisar folhas de cálculo com dados de clientes. Em português também se diz «IA sombra», mas nas empresas o termo inglês domina.
Os riscos são concretos:
- Dados pessoais e RGPD. Um currículo colado numa conta pessoal de um assistente de IA é um tratamento de dados sem fundamento jurídico, sem contrato de subcontratação e, muitas vezes, com transferência para fora da UE. A CNPD continua a ser a autoridade competente para isso.
- Segredos comerciais e sigilo profissional. Termos de utilização de consumo podem permitir ao fornecedor usar os dados para treino. Para sociedades de advogados, contabilistas certificados ou consultoras, o problema é ainda mais sério.
- AI Act. Não se pode cumprir o que não se conhece. Se um recrutador usa por conta própria uma ferramenta para pontuar candidatos, a empresa pode estar a usar um sistema de risco elevado sem saber. E o dever de literacia do artigo 4.º aplica-se a toda a IA usada em nome da organização.
- Segurança. Extensões que leem o conteúdo das páginas, agentes com acesso ao correio eletrónico e integrações não aprovadas abrem portas a fugas e a injeção de prompts.
A forma de reduzir a shadow AI não é a proibição total. As pessoas usam IA porque é útil; se não houver alternativa aprovada, continuam a usá-la às escondidas. O caminho é conhecer o que existe, aprovar boas opções e fixar regras claras numa política de utilização de IA.
Precisam de ajuda especializada com shadow ai: como fazer o inventário de ia da sua empresa?
Os nossos arquitetos cloud ajudam-vos com shadow ai: como fazer o inventário de ia da sua empresa — da estratégia à implementação. Agendem uma consulta gratuita de 30 minutos sem compromisso.
Porque o inventário de IA é o primeiro passo do AI Act
Todas as obrigações do Regulamento da IA dependem de duas perguntas: que sistema é e que papel tem a empresa nele. O inventário responde a ambas. As recomendações da ANACOM sobre o artigo 5.º, postas em consulta em junho de 2026, propõem um programa em seis passos que começa exatamente aí: identificar os sistemas de IA; mapeá-los, analisá-los e classificá-los por risco; identificar os proibidos; registá-los; retirá-los; e avaliar tudo de novo todos os anos. O inventário também alimenta a análise de lacunas ao AI Act e o plano de formação em IA, porque a formação deve acompanhar as ferramentas que cada grupo usa.
Se quiser uma primeira fotografia antes de montar o registo completo, a avaliação gratuita de governação de IA da Opsio pergunta que ferramentas e fornecedores usa e devolve uma visão da sua maturidade em dez áreas.
Como encontrar a IA que já está na empresa
Nenhuma fonte, sozinha, apanha tudo. Combine várias:
| Fonte | O que revela | Limitações |
|---|---|---|
| Faturas, cartões de empresa e despesas reembolsadas | Subscrições de IA pagas por departamentos ou pessoas | Não apanha ferramentas gratuitas |
| Contratos e renovações de software | Funcionalidades de IA adicionadas a produtos já contratados (CRM, ERP, recursos humanos) | Os fornecedores nem sempre destacam a IA nas renovações |
| Consentimentos OAuth no Microsoft 365 ou Google Workspace | Aplicações de terceiros com acesso a correio, calendário ou ficheiros | Só cobre o que usa a conta empresarial |
| Proxy, firewall e CASB | Tráfego para domínios de serviços de IA conhecidos | Não vê dispositivos pessoais nem redes domésticas |
| Gestão de dispositivos e extensões do navegador | Aplicações e extensões instaladas | Depende da cobertura da gestão de dispositivos |
| Inquérito anónimo a todos os colaboradores | Utilizações reais, incluindo contas pessoais | Só funciona se ninguém tiver medo de responder |
| Entrevistas às áreas de negócio | Casos de uso, dados envolvidos e decisões apoiadas em IA | Consome tempo; priorize recursos humanos, crédito, apoio ao cliente e marketing |
| Repositórios de código e pipelines | Chamadas a APIs de modelos e projetos internos de IA | Exige apoio das equipas técnicas |
Uma dica que funciona: anuncie o inventário como uma amnistia. Quem declarar agora a ferramenta que usa não é penalizado e ajuda a escolher a versão aprovada. A taxa de resposta muda radicalmente.
Que campos deve ter o inventário de IA
Comece com poucos campos obrigatórios e acrescente detalhe apenas aos sistemas de maior risco. Uma folha de cálculo partilhada chega para começar; uma ferramenta de GRC só compensa quando o número de sistemas cresce.
| Campo | Exemplo de preenchimento | Porque é necessário |
|---|---|---|
| Nome e fornecedor | Assistente de triagem de candidaturas, [Fornecedor X] | Identificação e diligência devida |
| Finalidade e caso de uso | Ordenar candidaturas para funções de armazém | Classificação de risco depende da finalidade |
| Papel da empresa | Responsável pela implantação | Define as obrigações aplicáveis |
| Nível de risco (AI Act) e justificação | Risco elevado – anexo III, emprego | Prazos e obrigações; a justificação é prova |
| Dados tratados | Dados pessoais de candidatos; sem categorias especiais | RGPD, AIPD, transferências |
| Pessoas afetadas | Candidatos externos | Direitos fundamentais, informação, transparência |
| Utilizadores internos | Equipa de recrutamento (6 pessoas) | Formação e literacia por função |
| Dono interno | Diretora de Recursos Humanos | Responsabilidade e atualização |
| Estado | Aprovado / em avaliação / proibido / descontinuado | Controlo do ciclo de vida |
| Localização dos dados e contrato | UE; contrato de subcontratação assinado | RGPD e segurança |
| Supervisão humana e registos | Recrutador revê todas as rejeições; logs 12 meses | Artigo 26.º para risco elevado |
| Data da última revisão | Outubro de 2026 | Mostra que o registo está vivo |
Para sistemas de risco elevado, acrescente referências à declaração de conformidade do fornecedor, às instruções de utilização, à avaliação de impacto sobre os direitos fundamentais (quando aplicável) e às evidências de informação aos trabalhadores. Para modelos de finalidade geral usados por API, registe a posição do fornecedor face ao Código de Práticas; o artigo sobre GPAI e modelos de finalidade geral explica porquê.
Classificar cada linha do inventário
Com o inventário feito, cada sistema recebe uma classificação, sempre justificada:
- Prática proibida? Retirar imediatamente e documentar a retirada.
- Risco elevado? Anexo I (componente de segurança de produto regulado) ou anexo III (emprego, crédito, educação, serviços essenciais e outros). Obrigações a partir de 2 de dezembro de 2027 ou 2 de agosto de 2028.
- Transparência? Chatbots, conteúdo gerado, falsificações profundas: obrigações desde 2 de agosto de 2026.
- Risco mínimo. Mantém-se no inventário, com regras de utilização e literacia.
Os prazos de cada categoria estão no calendário do AI Act.
Manter o inventário vivo
Um inventário feito uma vez e arquivado fica desatualizado em três meses. Ligue-o a processos que já existem:
- Compras: nenhuma ferramenta com IA é adquirida ou renovada sem entrada no inventário e verificação do fornecedor.
- Pedidos de novas ferramentas: o formulário de pedido alimenta diretamente o registo.
- Gestão da mudança: quando um fornecedor ativa uma nova funcionalidade de IA num produto existente, o dono revê a linha.
- Revisão periódica: trimestral para sistemas de risco elevado, anual para os restantes.
- Monitorização técnica: alertas de proxy ou CASB para novos domínios de IA, revistos mensalmente.
Exemplo ilustrativo: uma consultora com 60 pessoas em Lisboa
Imagine uma consultora de gestão com 60 pessoas. Um inquérito de amnistia revela catorze ferramentas de IA, das quais só três foram aprovadas: contas pessoais de dois assistentes de conversação usadas para rever relatórios de clientes, um assistente de reuniões que grava chamadas com clientes sem aviso e um gerador de apresentações que guarda ficheiros fora da UE. A resposta sensata é aprovar uma versão empresarial de um assistente, com contrato de subcontratação e sem treino com os dados da empresa, bloquear o assistente de reuniões, definir regras de informação e lançar uma sessão de formação de 45 minutos. O inventário passa a ter nove linhas ativas, cada uma com dono.
Perguntas frequentes
O que é shadow AI?
É o uso de ferramentas de inteligência artificial por colaboradores sem conhecimento ou aprovação da organização, por exemplo contas pessoais de assistentes de IA, extensões de navegador ou assistentes de reuniões instalados por iniciativa própria. O risco está em dados pessoais e confidenciais tratados sem controlo e em usos que podem cair nas obrigações do AI Act.
O AI Act obriga a ter um inventário de IA?
Não existe um artigo que diga «faça um inventário». Mas é impossível demonstrar que não usa práticas proibidas, que promove a literacia ou que cumpre deveres de risco elevado sem saber que sistemas tem. As recomendações da ANACOM sobre o artigo 5.º começam precisamente pela identificação dos sistemas de IA.
Como se deteta a shadow AI sem vigiar os trabalhadores?
Combine dados agregados (faturas, tráfego para domínios de IA, aplicações com acesso à conta empresarial) com um inquérito anónimo e conversas com as equipas. Evite monitorização individual desproporcionada: a vigilância de trabalhadores tem limites no Código do Trabalho e no RGPD. O objetivo é conhecer usos, não punir pessoas.
Que ferramenta usar para o inventário de IA?
Para a maioria das PME, uma folha de cálculo partilhada com campos bem definidos e um dono por linha é suficiente. Quando o número de sistemas cresce ou há vários sistemas de risco elevado, uma ferramenta de governação, risco e conformidade ajuda a gerir revisões, evidências e fluxos de aprovação.
Quem deve ser o dono do inventário de IA?
Um responsável central, muitas vezes de segurança da informação, conformidade ou governação de IA, mantém o registo. Cada linha tem, porém, um dono de negócio que responde pelo sistema: a diretora de recursos humanos pela ferramenta de recrutamento, o diretor comercial pelo CRM com IA.
Do inventário à governação, em 40 minutos
O inventário diz-lhe o que existe; a governação diz quem decide e com que regras. A avaliação gratuita de governança e maturidade em IA da Opsio tem 14 passos e demora cerca de 40 minutos, com perguntas em português sobre as ferramentas, os fornecedores e os dados que usa. Ao submeter, recebe um retrato de maturidade em dez áreas e quatro documentos redigidos a partir das respostas: quadro de governança de IA, política de utilização de IA, checklist de diligência devida para fornecedores e modelo de avaliação de riscos. São entregues em inglês, em Word editável, e ficam seus, sem custos. O enquadramento do regulamento está no guia do AI Act, e para a componente de dados pessoais veja a nossa página de conformidade com o RGPD.
Este artigo é informação geral e não constitui aconselhamento jurídico. Confirme o texto consolidado do Regulamento (UE) 2024/1689, na redação dada pelo Regulamento (UE) 2026/1744, e as regras laborais e de proteção de dados aplicáveis. Situação à data de outubro de 2026.
Sobre o autor
Diretor de Inovação
Jacob lidera a inovação na Opsio, especializando-se em transformação digital, IA, IoT e soluções impulsionadas pela cloud que convertem tecnologia complexa em valor empresarial mensurável. Com quase 15 anos de experiência, trabalha em estreita colaboração com os clientes para conceber soluções escaláveis de IA e IoT, otimizar processos de entrega e criar estratégias tecnológicas que impulsionam um crescimento sustentável e um impacto empresarial a longo prazo.
Normas editoriais: Este artigo foi escrito por um profissional certificado e revisto pela nossa equipa de engenharia. Atualizamo-lo quando a tecnologia ou a regulamentação que aborda muda; as datas acima indicam a última atualização. A Opsio mantém independência editorial — recomendamos soluções pelo seu mérito técnico, não por relações comerciais.