A adoção de inteligência artificial pelas empresas nem sempre ocorre de forma coordenada. Funcionários utilizam plataformas variadas, contas pessoais, extensões de navegador e recursos integrados a aplicações cotidianas sem supervisão, gerando pontos cegos quando informações confidenciais circulam por prompts, uploads e códigos.
Segundo o estudo State of the Internet (SOTI): The Enterprise AI Usage Risk Report 2026, da Akamai Technologies, a IA avança mais rápido que a governança. O levantamento revela que 47,11% das conversas corporativas com IA ocorrem por identidades pessoais. Além disso, 14,4% das interações vinculadas a e-mails corporativos usam planos gratuitos ou assinaturas individuais, fora dos controles das licenças empresariais.
A pesquisa aponta ainda que o uso da tecnologia está concentrado em um grupo reduzido: quase 20% dos funcionários usam IA semanalmente, mais de 30% mensalmente e pouco mais de 40% trimestralmente. Em paralelo, o ecossistema de extensões de navegador expõe as redes, com quase 75% das ferramentas de IA solicitando permissões altas ou críticas de acesso.
O risco do ecossistema se estende a vulnerabilidades técnicas: 16,31% dessas extensões possuem falhas conhecidas (CVEs), contra 10,8% entre as comuns. Extensões de IA também são quase três vezes mais propensas a pedir acesso a cookies do que as comuns, e 41,91% exigem permissão para scripts, abrindo espaço para ataques como Vibe Hacking, CursorJacking e CometJacking.
O perigo do shadow AI reside na circulação não monitorada de dados em telas, anexos e prompts. Com a evolução de agentes autônomos que operam diretamente nos fluxos de trabalho, a Akamai defende que esses sistemas sejam tratados como uma nova classe de identidade corporativa, exigindo controles próprios de acesso, monitoramento e governança contínua.
Para mitigar esses riscos sem travar a inovação, a recomendação envolve identificar os usuários mais intensivos e mapear as ferramentas em uso para eliminar o shadow AI. As organizações devem monitorar interações em tempo real, revisar permissões de extensões e aplicar o princípio do menor privilégio aos agentes autônomos, garantindo visibilidade total sobre a circulação de dados.
