TI invisível: o risco invisível da “Shadow IT” na governança corporativa moderna

Entendo que a pergunta que toda empresa deveria fazer, neste momento, não é mais “quantas conexões de API temos ativas”, mas sim “quantos agentes de IA estão operando dentro da nossa estrutura”, tomando decisões autônomas sem que o TI, segurança ou jurídico saibam que eles existem.

Nos últimos dois anos, essa tem sido a resposta mais difícil de dar.

Times de marketing, análise de dados e produto passaram a testar, colocando em produção, sem perceber, agentes de IA generativa conectados a sistemas internos, por conta própria.

Leia mais: Especial IT Forum 35 anos: o futuro não pertence a quem domina a tecnologia, mas a quem consegue humanizá-la Uma API (sigla em inglês para “interface de programação de aplicações”) é o mecanismo padronizado que permite que dois sistemas diferentes troquem dados entre si de forma automática e é o que possibilita, por exemplo, que um aplicativo de vendas puxe informações de um sistema financeiro sem que ninguém precise copiar e colar nada manualmente.

Já a governança de API é o conjunto de regras, processos e ferramentas que uma empresa usa para saber quantas dessas conexões existem, quem tem acesso a elas, que tipo de dado circula por ali e quem responde por cada uma.

Em outras palavras: é o controle sobre quem entra e sai por essas portas digitais entre sistemas.

Por muito tempo o termo Shadow IT descrevia algo relativamente contido, como o uso de um software não homologado ou de uma nuvem pessoal para guardar arquivos de trabalho.

O problema atual, entretanto, tem outra natureza que foi além da conexão: não são apenas chaves de API criadas informalmente entre sistemas corporativos e ferramentas externas, mas sim agentes de IA que usam essas chaves para agir por conta própria, consultando bases de dados, tomando decisões e executando tarefas sem que ninguém no centro da organização saiba.

A diferença é relevante porque uma senha compartilhada tem um raio de dano limitado.

Uma API conectada a um sistema corporativo funciona de forma contínua e automatizada, geralmente com acesso amplo a dados sensíveis.

E quando essa conexão alimenta um agente de IA, falamos de exposição e de decisão: o agente continua acessando dados e executando ações mesmo depois que o funcionário que o criou muda de time, sai da empresa ou simplesmente esquece que aquela integração existe.

Dados recentes confirmam que isso não é mais uma exceção.

Um levantamento da FT Consult com 4.700 profissionais brasileiros mostrou que 47% usam ferramentas de IA sem qualquer aprovação formal da empresa, 36% recorrem a ferramentas não homologadas e 59% das organizações ainda não têm nenhuma diretriz sobre uso de IA.