Imagine um funcionário de uma empresa de contabilidade que, para ser mais rápido, cola extratos bancários de clientes no ChatGPT para gerar relatórios. Ou um programador que envia código-fonte para o Claude para detetar bugs. Ou um gestor de RH que pede ao Gemini para resumir currículos de candidatos. Nenhum deles pediu autorização à empresa. Nenhum deles sabe para onde vão esses dados. Este é o fenómeno BYOAI — Bring Your Own AI — e é provavelmente o maior risco de segurança digital que as empresas estão a ignorar em 2025.
O que é o BYOAI e porque está a crescer
BYOAI é a versão moderna do velho shadow IT, mas com uma diferença crucial: as ferramentas de IA são gratuitas, fáceis de usar e incrivelmente úteis. Um funcionário não precisa de autorização de IT para abrir o ChatGPT no browser. E os números mostram que estão a fazê-lo em massa. Um estudo da Gartner de 2025 revelou que quase metade dos profissionais de cibersegurança sénior já detetou uso generalizado ou limitado de IA não aprovada nas suas organizações. A IBM, por seu lado, reporta que as violações de dados envolvendo shadow AI custam, em média, mais 670 mil dólares do que as violações tradicionais.
Os riscos reais do BYOAI
Vazamento de dados sensíveis
O risco mais óbvio e mais grave. Quando um colaborador cola dados de clientes, informação financeira, código fonte, segredos comerciais ou dados pessoais num chat de IA público, essa informação sai do controlo da empresa. Os modelos de IA podem usar esses dados para treino, armazená-los em servidores externos, ou simplesmente torná-los acessíveis a terceiros. Para setores regulados — banca, saúde, seguros — isto pode significar violações de RGPD, LGPD, HIPAA ou outras normas de compliance.
Falta de rastreabilidade
Ao contrário do software corporativo, que gera logs e auditorias, o uso de contas pessoais de IA é invisível para o departamento de IT. A empresa não sabe quem enviou o quê, para que ferramenta, com que finalidade. Isto torna impossível investigar incidentes, cumprir obrigações legais ou provar que os dados foram tratados corretamente.
Decisões baseadas em alucinações
Outro risco menos óbvio é o da qualidade da informação. Se um gestor toma uma decisão de negócio com base num resumo gerado por IA que continha uma alucinação — um facto inventado, um número errado, uma interpretação enviesada — a empresa pode sofrer consequências reais sem nunca saber que a origem do erro foi uma ferramenta não aprovada.
Como as empresas estão a reagir
As reações das organizações dividem-se em três grandes grupos:
- Proibição total — algumas empresas, especialmente em setores regulados, optam por bloquear o acesso a ferramentas de IA nos dispositivos corporativos. O problema é que os funcionários encontram sempre formas de contornar o bloqueio, nomeadamente através dos seus próprios dispositivos ou contas pessoais.
- Adoção controlada — a abordagem mais sensata. A empresa escolhe ferramentas de IA seguras, negocia contratos com proteção de dados, e oferece acesso oficial aos colaboradores. Isto permite aproveitar os ganhos de produtividade sem os riscos de segurança.
- Políticas BYOAI — algumas organizações estão a criar políticas explícitas que permitem o uso de IA pessoal, desde que com regras claras sobre que dados podem ser partilhados, com que ferramentas, e com que formação obrigatória.
O que as empresas portuguesas devem fazer
Em Portugal, o BYOAI é ainda um tema pouco discutido, mas a realidade é que os colaboradores portugueses também usam ChatGPT, Claude e Gemini no dia-a-dia profissional. Para as empresas portuguesas, o caminho mais inteligente passa por:
- Assumir que o BYOAI já existe — negar a realidade não elimina o risco
- Formar os colaboradores — explicar que dados podem ou não ser partilhados com IA
- Oferecer alternativas seguras — ferramentas corporativas com proteção de dados contratual
- Criar uma política de uso de IA — clara, simples e aplicável
Conclusão
O BYOAI não é uma moda passageira. É a nova realidade do trabalho. Os colaboradores vão continuar a usar IA para serem mais produtivos, com ou sem autorização. A questão não é se devem ou não usar, mas sim como garantir que o fazem em segurança. As empresas que ignorarem este fenómeno arriscam-se a ter uma violação de dados que podia ter sido evitada com uma simples conversa e uma política clara.
