A ferramenta que ninguém aprovou, mas que todos utilizam

Há um momento em que um colaborador tem um problema e procura uma solução. Um texto que precisa de ser feito mais rápido, um conjunto de dados que precisa de ficar mais organizado, um cliente que quer resposta ainda hoje. O balcão de TI demora demasiado, ou não existe balcão nenhum. Então cria-se uma conta, instala-se uma extensão, subscreve-se um plano com um cartão de crédito que ninguém controla. Não por má vontade. Por pressão de trabalho.

É assim que nasce a IA-sombra. Não como revolta contra a política, mas como resposta prática a uma lacuna na política. E não desaparece por si só, porque o motivo pelo qual surgiu — uma tarefa que com IA é feita mais rápido do que sem ela — continua a existir enquanto a política não oferecer uma alternativa. Proibir não muda a tarefa. Muda apenas se sabe ou não que a ferramenta está a ser utilizada.

Por que a lista de TI não corresponde à realidade

Uma lista de software aprovado diz algo sobre o que foi solicitado e autorizado. Não diz nada sobre o que realmente é utilizado. Entre essas duas listas existe uma diferença que se torna maior à medida que as ferramentas de IA se tornam mais acessíveis: sem instalação, sem processo de compra, apenas um navegador e uma conta. Uma extensão do navegador com acesso ao seu e-mail fica fora de qualquer processo de compra e de qualquer lista, ao mesmo tempo que o acesso que possui é tão sensível como o de um sistema aprovado. Quem olha apenas para a lista de TI está a olhar para parte da realidade e a chamar-lhe o todo.

A pergunta que não obtém resposta se primeiro houver consequências

A única forma de saber o que realmente é utilizado é perguntar. Não como uma pergunta de controlo com uma sanção no final, mas como um levantamento sem consequências para quem colabora. No momento em que os colaboradores suspeitam que uma resposta honesta leva a uma conversa com um superior, a informação não desaparece — simplesmente passa a ser clandestina. A mesma ferramenta continua a funcionar, apenas menos visível. Uma organização que quer conhecer a dimensão da IA-sombra tem, portanto, de tratar primeiro a condição sob a qual obtém essa resposta. Não se trata de perder confiança, trata-se de uma questão de ordem: primeiro visibilidade, só depois política.

O que efetivamente é feito com isso

Uma vez recolhido o levantamento, surge algo utilizável: uma lista de ferramentas organizada por função e nível de risco, não por bom ou mau. Uma ferramenta que reescreve texto para uso interno carrega um risco diferente de uma ferramenta que processa dados de clientes ou prepara decisões. Algumas dessas ferramentas surgiram de um uso individual que cresceu até se tornar norma departamental — veja um departamento com subscrição própria — e merecem antes formalização do que proibição. Outras foram configuradas uma única vez para um projeto já concluído, mas o acesso continua aberto; é o padrão descrito em uma configuração de teste que nunca foi desligada. A classificação determina o que é necessário: por vezes nada, por vezes um ajuste, por vezes a integração na estrutura de governança existente.

Sem caça às bruxas, mas com estrutura

O objetivo desta abordagem não é apontar todos os que iniciaram uma ferramenta sem autorização. O objetivo é saber o que está em funcionamento, quem o utiliza, e que risco lhe está associado — para que um administrador, CIO ou General Counsel possa responder a essa pergunta quando lhe for feita, interna ou externamente. Isso exige um método fixo de levantamento que não termine numa única ronda, pois surgem continuamente novas ferramentas. A forma como esse levantamento é construído na prática, incluindo a questão de quem o executa e com que frequência, está descrita em como construir um inventário de IA.

A própria estrutura de governança — que regras se aplicam a que nível de risco, que prazos e obrigações lhe estão associados — é um tema separado com conteúdo próprio e atual, que aqui não é repetido. O que importa nesta página é o mecanismo: obter visibilidade sem cortar o fluxo de informação, e traduzir essa visibilidade numa classificação que se ajuste ao que a organização já tem implementado em matéria de gestão de risco.

Onde isto termina e onde continua

O inventário que revela a IA-sombra muitas vezes não expõe apenas ferramentas isoladas. Revela também que um fornecedor adicionou IA a um sistema já em uso, sem que sobre isso tenha havido uma conversa separada — o padrão por detrás de um fornecedor que integrou IA no seu produto — e que informação empresarial sensível é por vezes simplesmente colada numa janela de chat pública, como descrito em dados empresariais numa janela de chat gratuita. Todas estas formas partilham a mesma origem: uma tarefa para a qual a IA funciona mais rápido do que o processo existente.