Como Detetar Shadow AI na Sua Equipa

Hoje em dia toda a gente usa ferramentas de IA, especialmente no trabalho. E as empresas estão a criar políticas de utilização de IA para garantir que os colaboradores não partilham dados da empresa com ferramentas não autorizadas. Mas antes de decidir que ferramentas a sua equipa pode utilizar, precisa da lista das ferramentas que já estão a ser usadas e de quanto tempo é gasto em cada uma.

Obter essa lista é o que a maioria das pessoas quer dizer quando pergunta como detetar shadow AI. Tem muito pouco a ver com montar um programa de segurança e muito a ver com ler corretamente os seus próprios dados de utilização.

Foi exatamente isto que fizemos no nosso próprio workspace na semana passada. Esses números estão mais abaixo, e são reais.

O Que É Shadow AI?

Shadow AI é qualquer ferramenta de IA que a sua equipa utiliza para trabalhar sem aprovação ou supervisão. Os colaboradores podem, sem saber, partilhar registos de clientes, termos de contratos, dados financeiros ainda não divulgados ou código-fonte. Podem até fazê-lo através de uma conta pessoal, o que significa que não terá qualquer registo do que foi partilhado nem forma de auditar isso mais tarde.

O ChatGPT num separador do navegador. Um assistente de programação que alguém instalou para testar e nunca desinstalou. Uma extensão de IA no navegador. Uma funcionalidade de IA ativada dentro de software que já paga.

Uma ferramenta é usada porque está ali e resolve o problema. Quando a opção aprovada chega seis meses atrasada, ou chega e faz o trabalho mal, a não aprovada toma conta do assunto. O shadow AI costuma ser um problema de oferta que se manifesta como um problema de segurança.

Porque É Difícil Ver o Shadow AI

As pessoas iniciam sessão com contas pessoais

O Verizon Data Breach Investigations Report de 2026 concluiu que 45% dos colaboradores usam agora IA regularmente no trabalho, acima dos 15% do ano anterior, e que 67% dos que acedem a serviços de IA em dispositivos corporativos estavam autenticados com contas não corporativas. É por isso que a consola de administração do seu Google Workspace pode não lhe mostrar um login pessoal no ChatGPT. 

A IA chega dentro de software que já aprovou

A sua ferramenta de gestão de projetos, o seu CRM e a sua ferramenta de design muito provavelmente já têm as suas próprias ferramentas de IA. É por isso que pode não conseguir detetá-las, porque a ferramenta principal já está aprovada. 

É também por isso que bloquear não funciona como primeira jogada. Se bloquear uma ferramenta ao nível da rede, os colaboradores podem passar para o telemóvel, um portátil pessoal ou uma conta pessoal na mesma máquina. 

Como detetar shadow AI na sua equipa: quatro sítios onde procurar

1. Os seus dados de utilização de apps e sites

Use ferramentas de deteção de IA e de controlo de tempo com capacidades de monitorização. Estas podem fornecer-lhe a lista de que aplicações e sites as pessoas usam durante as sessões de trabalho. E quando as ordena, consegue identificar as ferramentas de IA: cursor, claude.ai, chatgpt.com, gemini.google.com, perplexity.ai, além de uma longa cauda de ferramentas mais pequenas.

2. Detalhe do navegador, não apenas “Chrome”

Se o seu relatório de utilização apenas mostrar o tempo gasto no Chrome, naturalmente não vai ver o shadow AI. Precisa dos nomes dos sites por baixo do navegador e, idealmente, dos registos ao nível do URL, para conseguir ver claramente a utilização de IA. 

3. As funcionalidades de IA dentro de software que já usa e paga

As ferramentas de deteção podem deixar passar ferramentas que não são inerentemente de IA, uma vez que já as aprovou pela sua funcionalidade principal. Esta parte tem de ser verificada manualmente. Percorra as ferramentas da sua lista de subscrições, abra as definições de administração e anote que funcionalidades de IA estão ativadas, quem as ativou e a que dados seus conseguem aceder.

4. Pergunte diretamente à sua equipa

Pergunte o que as pessoas usam e para que o usam. Isto funciona muito melhor quando explica o que planeia fazer com a resposta, que deverá ser aprovar a maior parte.

É boa ideia fazer esta pergunta antes de ter os dados de utilização à sua frente, porque caso contrário pode soar a acusação. Mas mesmo que já tenha a lista de ferramentas e saiba que há algumas não autorizadas no meio, avance e fale com a sua equipa. 

Dois Tipos de Ferramentas de Deteção de Shadow AI

Estas ferramentas dividem-se em duas categorias: ferramentas de segurança e ferramentas de gestão de equipas.

Plataformas de Segurança e Governação de SaaS

As ferramentas de deteção de shadow AI da categoria de segurança conseguem detetar, bloquear e impor regras. Normalmente são as equipas de segurança ou de IT que as adquirem. 

Teramind funciona ao nível do endpoint. Deteta ferramentas de IA não autorizadas, navegadores nativos de IA, extensões de navegador, apps de IA para desktop e modelos locais que nunca passam por uma firewall de rede, captura transcrições completas de prompts e respostas e bloqueia a introdução ou colagem de código-fonte ou PII em prompts de IA. É também um produto completo de monitorização de colaboradores e DLP, por isso vem com gravação de ecrã e tudo o que isso implica para a sua equipa. 

Reco cobre o lado do SaaS. Funciona sem agente e apenas de leitura, integrando-se com o seu fornecedor de identidade para obter a lista de aplicações conhecidas e analisando os metadados de email em busca de sinais de registos em ferramentas não autorizadas. Também encontra ferramentas de IA e copilots que acedem aos seus dados através de concessões OAuth e integrações de terceiros. Por ser apenas de leitura, não consegue impedir ninguém de introduzir dados sensíveis numa ferramenta de IA. 

Knostic está orientado para assistentes de IA empresariais em vez de chatbots públicos. Fornece controlos de acesso baseados no princípio da necessidade de saber para assistentes como o Microsoft Copilot, o Glean e o Gemini, deteta a utilização de shadow AI e produz registos de auditoria que mostram quem acedeu a que dados através de que sistema de IA. Está também posicionado como um add-on ao Microsoft Purview para deteção de partilha excessiva. Relevante se a sua preocupação for dados internos a chegarem ao colega errado através de um copilot. 

Auvik é a mais orientada para operações de IT das cinco. Implementa coletores leves de endpoint e extensões de navegador que observam a atividade web, compara o que vê com uma base de dados de mais de 125 000 aplicações, sinaliza como ativamente utilizadas as apps acedidas várias vezes por semana e notifica-o quando alguém visita uma plataforma de IA recém-descoberta. Também monitoriza o desperdício de licenças e os gastos com SaaS, que muitas vezes é o argumento interno mais fácil de defender. 

Ferramentas de Análise de Equipas e Controlo de Tempo

As ferramentas de deteção da categoria software de análise de equipas focam-se em mostrar a utilização de ferramentas de IA. Não bloqueiam nada, e normalmente são os gestores de equipa que as adquirem, em vez do departamento de segurança. 

Para o trabalho de deteção, o que importa é se a ferramenta lhe dá os nomes ao nível do site, o tempo por ferramenta, uma repartição por pessoa e por equipa, e histórico suficiente para conseguir comparar este mês com o mês passado. Muitos controladores de tempo têm um relatório de apps e sites. Mas nem todos lhe dão os relatórios detalhados de que precisa para uma deteção precisa de ferramentas de IA. 

WebWork está nesta categoria. Dá-lhe um relatório de apps e sites com detalhe ao pormenor, incluindo o tempo por ferramenta por pessoa e por equipa, juntamente com URLs. Também se liga a ferramentas de IA através de MCP, o que significa que pode obter respostas sobre shadow AI na sua equipa perguntando diretamente ao seu modelo de IA. A próxima secção é esse relatório, aplicado ao nosso próprio workspace.

Como Foi Uma Semana de Utilização de IA no Nosso Próprio Workspace

Usamos o WebWork na nossa própria equipa, por isso fomos buscar os números em vez de os descrever de forma abstrata. Isto é um workspace ao longo de uma semana, a semana de 17 a 23 de agosto de 2026, e é um exemplo do aspeto do relatório.

Em todo o workspace registámos 36 721 minutos. As ferramentas de IA representaram 15,6% desse tempo, ou seja, 95,3 horas.

Por equipa, a Engenharia representou 48,3 horas de IA, quase tudo em Cursor. A Produção de Website veio a seguir com 27,1 horas, sobretudo em Claude. A Gestão registou 12,8 horas, o Marketing de Produto 10,8, o Design de Produto 4,5, a Garantia de Qualidade 3,7 e a Gestão de Sucesso do Cliente 3,5, onde o ChatGPT em vez do Claude foi a ferramenta líder.

O relatório de apps e sites regista que aplicações e sites as pessoas usam durante as sessões registadas, com o tempo gasto por ferramenta, repartido por membro e por equipa. Tenha em conta que o detalhe ao nível do URL está disponível a partir do plano Plus.

Além disso, quando liga o WebWork a ferramentas de IA através de MCP, obtém a repartição acima em percentagens — a utilização de ferramentas de IA em toda a equipa, dividida em ferramentas autorizadas e não autorizadas, com a frequência de utilização de cada uma.

Uma coisa que convém deixar clara: o WebWork dá-lhe visibilidade e não imposição de regras. Não bloqueamos ferramentas, não inspecionamos prompts nem apanhamos dados copiados e colados. Se são essas as capacidades de que precisa, escolha entre as plataformas de segurança da secção anterior. 

O que lhe podemos dizer é que ferramentas de IA a sua equipa usa, quem as usa e quanto tempo é gasto em cada uma.

Se quiser ver este relatório na sua própria equipa, o WebWork é gratuito durante 14 dias, sem necessidade de cartão. Dê-lhe uma semana de registo e obtenha a lista de IA.

O Que Fazer com os Dados Depois de os Ter

Aprove as ferramentas que as pessoas já usam

Se a sua equipa já usa uma ferramenta e não há uma objeção séria a ela, coloque-a na lista de aprovadas e compre contas de equipa. Uma conta de equipa é visível, controlada e normalmente mais barata do que as subscrições individuais que as pessoas apresentam a despesa uma de cada vez. Também tira a utilização das contas pessoais, que era o verdadeiro problema.

Nomeie ferramentas específicas na política

Nomeie as ferramentas que estão aprovadas, nomeie as que não estão e diga porquê, e indique que categorias de dados nunca podem entrar em nenhuma delas. Podem ser registos de clientes, credenciais, dados financeiros ainda não divulgados e código-fonte que não é seu.

Diga o que vai fazer em relação a uma ferramenta que ainda não está na lista

Dê às pessoas uma forma de pedir, e responda no prazo de uma semana. Assim cria transparência e constrói confiança, para que os membros da equipa se sintam à vontade para fazer qualquer pergunta que tenham sobre as ferramentas que usam. 

Volte a verificar os números

Corra o mesmo relatório daqui a um mês e novamente daqui a um trimestre, porque estão constantemente a aparecer novas ferramentas. Ao voltar a verificar, vai perceber se a política pegou ou se a utilização apenas se mudou para outro sítio.

Comece Pelo Que a Sua Equipa Já Está a Fazer

A deteção é o passo mais barato de qualquer programa de IA, e é o que torna todas as decisões seguintes mais fáceis. Para escrever uma política sensata, precisa de dados reais sobre que ferramentas as pessoas da sua equipa já usam. 

Vamos correr este relatório de novo no próximo trimestre e ver o que mudou. Talvez apareçam novas ferramentas, ou talvez equipas diferentes comecem a usar ferramentas diferentes. 

Se quiser a mesma visão da sua equipa, experimente o WebWork grátis durante 14 dias ou marque uma demo e nós mostramos-lhe os relatórios com os seus próprios dados. De qualquer forma, comece pela lista. A política fica muito mais fácil de escrever depois de a ter.