Mais de 80% dos trabalhadores usam ferramentas de IA que seus empregadores não aprovaram. Nos seguros, onde os dados dos clientes são sensíveis e a exposição E&O é real, esse número não é uma estatística – é um risco
Kate Grasman, diretora de informação do Grupo Heffernan, estava dizendo a alguém na semana passada para parar de usar uma tecnologia até que ela pudesse revisá-la. Na semana anterior, era outra pessoa. Isto não é uma falha de governação em Heffernan. É a realidade operacional atual das seguradoras nos EUA.
“Na semana passada, eu estava dizendo a alguém para parar de usar uma tecnologia até que eu a revisasse”, disse ela em uma recente mesa redonda de transformação da Rede de Líderes de Negócios de Seguros dos EUA. “Fazemos uma pesquisa de back-end para ver se as pessoas estão usando tecnologia que não deveriam, e isso, é claro, aconteceu”.
A escala do problema está documentada em dados que a indústria tem demorado a confrontar. De acordo com o IBM Cost of a Data Breach Report 2025, uma em cada cinco organizações já sofreu uma violação ligada à IA não sancionada, com a Shadow AI adicionando uma média de US$ 670.000 aos custos de violação nas organizações afetadas. O relatório State of Shadow AI da UpGuard descobriu que mais de 80% dos trabalhadores usam ferramentas de IA não aprovadas. A pesquisa de 2026 da ISACA descobriu que 25% das organizações não possuem nenhuma política ativa de IA.
Nos seguros, onde os dados do cliente incluem informações pessoais, detalhes de apólices e registos financeiros, e onde a exposição E&O está associada à qualidade do aconselhamento e da documentação que esses registos suportam, esses números têm um peso específico.
Qual é a aparência real da IA sombria
Shadow AI não é sofisticado. É um funcionário colando o aplicativo de seguro de um cliente em uma ferramenta de IA baseada em navegador para gerar um resumo. É um produtor que usa uma assinatura pessoal de IA para redigir um texto de proposta que inclua dados proprietários da empresa. É um CSR que usa uma extensão de navegador AI que não foi revisada para tratamento de dados.
Cada uma dessas ações envia dados fora do perímetro de segurança da organização para um sistema que não foi avaliado quanto à conformidade com as obrigações de tratamento de dados da empresa, com os requisitos de cobertura de E&O ou com os acordos de dados da operadora. As seguradoras cibernéticas estão examinando cada vez mais isso.
O uso não autorizado de IA está emergindo como base para a negação de sinistros, juntamente com motivos estabelecidos, como falta de autenticação multifatorial e planos de resposta a incidentes não documentados, de acordo com a análise atual do mercado de seguros cibernéticos.
Kristen Skender, diretora de crescimento da Jimcor Agencies, descreve o primeiro passo que sua empresa deu quando a IA no nível do consumidor se tornou acessível. “Primeiro, tivemos que analisar quais são os nossos procedimentos e expectativas e como podemos comunicá-los claramente a todos os membros da nossa equipe. Assim que a oportunidade de IA se tornou um nível de consumidor onde qualquer pessoa poderia acessá-la, foi então que fomos claros sobre esses procedimentos e expectativas em relação às aprovações e ao manual.”
A velocidade com que essa etapa de comunicação é importante não pode ser exagerada. A lacuna entre a IA tornar-se acessível e uma organização publicar uma política clara de utilização aceitável é a janela na qual as utilizações mais prejudiciais tendem a tornar-se hábitos estabelecidos.
A resposta não é proibição – é um canal
A abordagem de Grasman em Heffernan reflete isso diretamente. “Também não queremos impedir a criatividade. Como você desbloqueia e aproveita os recursos que os membros de nossa equipe têm, porque eles estão realmente fazendo o trabalho dia após dia? Então, o que fizemos foi certamente tentar colocar maneiras que as pessoas possam realmente trazer diferentes capacidades para nós, para que possamos revisá-las do ponto de vista de segurança, garantindo que o uso seja apropriado.”
Esse processo de gerenciamento de fornecedores – “traga-nos a tecnologia para que você possa usá-la” – é uma entrada estruturada para ferramentas identificadas pela equipe que preserva a revisão da segurança organizacional, ao mesmo tempo que reconhece que os funcionários continuarão a encontrar tecnologia útil por conta própria. A alternativa, a pura proibição, simplesmente conduz o uso para a clandestinidade, onde não pode ser monitorado ou revisado.
Skender defende o mesmo ponto do lado da cultura organizacional. “Nosso objetivo final é criar colaboração e parceria na forma como desenvolvemos novas ideias. Sim, colocamos barreiras de proteção, mas também incentivamos que as pessoas compartilhem, colaborem e trabalhem juntas e determinem como podemos autorizar esse uso, como podemos torná-lo significativo para o que fazem.”
O problema 80/20
Jennifer Kessel, diretora de operações da Serviços de seguros do USGoferece o enquadramento mais prático do desafio da governação. A automação resolverá cerca de 80% de um determinado fluxo de trabalho. Os 20% restantes são para onde os funcionários procuram soluções por conta própria – e onde a IA sombra tende a proliferar.
“Podemos resolver talvez 80% de um problema implementando algum tipo de solução tecnológica. Nossa equipe irá encontrar uma solução para os outros 20%.
Essa reformulação – tratar a descoberta de IA sombra como uma função de inteligência empresarial e não como um problema de conformidade – é a postura de governação mais útil disponível. A organização que trata a procura de ferramentas pelos funcionários como um sinal sobre necessidades não satisfeitas está numa posição melhor do que aquela que a trata apenas como um risco a suprimir.
O risco de exposição dos dados continua a ser real e a infraestrutura de governação deve existir. Mas as empresas que lidam com a IA sombra de forma mais eficaz são aquelas que a aceitaram como uma condição contínua, em vez de um problema a ser resolvido uma vez.
