A inteligência artificial já entrou nas empresas, mesmo onde ainda não existe uma estratégia corporativa para ela. Ferramentas generativas são usadas diariamente por profissionais para escrever, resumir documentos, analisar informações, programar e apoiar decisões, muitas vezes antes que as organizações tenham definido políticas, ferramentas oficiais ou critérios de uso. É nesse ponto que a IA passa a operar com a lógica do CPF dentro do CNPJ.

O risco vai além de um colaborador inserir informações sensíveis em uma ferramenta não homologada. Decisões podem passar a depender de respostas que a empresa não consegue explicar, e parte da inteligência da operação pode ficar concentrada em contas, prompts, agentes e automações que pertencem a uma única pessoa. "A produtividade individual pode até ser fácil de ver. O difícil é enxergar o quanto da operação passou a depender de uma conta que a empresa não controla", afirma Geraldo Franciscani, CEO da Guidance IA, consultoria de dados e inteligência artificial.

Nem todo uso apresenta o mesmo nível de risco. Um primeiro rascunho de comunicação interna tem consequências limitadas. A situação muda quando uma resposta influencia decisões sobre crédito, contratação, contratos, atendimento, estoque ou precificação. Quanto maior o impacto da decisão, maior precisa ser o controle sobre a participação da tecnologia. Três erros aparecem com frequência: tentar resolver qualquer problema com IA generativa quando outra tecnologia seria mais adequada; inserir informações corporativas em ferramentas sem controles de acesso, segurança e privacidade; e confundir ganho individual de produtividade com uma estratégia capaz de gerar resultado sustentável para o negócio.

Há ainda um risco menos visível: a dependência. Um profissional começa acelerando uma tarefa, depois cria prompts mais detalhados, adiciona documentos, monta agentes e automatiza parte da rotina, até que essa estrutura se torna essencial para a área. Se o contexto, as instruções e os acessos estiverem concentrados em uma conta individual, parte da inteligência construída pode sair junto com o colaborador. É uma nova versão de um problema antigo, o dos processos críticos que dependem de uma única pessoa, agora ainda menos visível, porque o conhecimento pode estar disperso em históricos de conversa, bibliotecas pessoais e integrações que a organização nem sabe que existem.

A preocupação não se restringe ao uso individual. O AI Safety Index, divulgado em 2026 pelo Future of Life Institute, avaliou nove empresas de inteligência artificial em indicadores de segurança, avaliação de riscos, governança e transparência, e a maior nota geral foi C+. O resultado não classifica as ferramentas como inseguras, mas reforça que as empresas não podem transferir integralmente aos fornecedores a responsabilidade por entender como uma tecnologia será incorporada às suas operações. Contas não homologadas podem operar sem o contexto e os controles exigidos pela organização, que perde visibilidade sobre o que foi compartilhado.

A discussão ganha outra dimensão quando envolve dados pessoais. A Lei Geral de Proteção de Dados estabelece princípios como finalidade, necessidade, transparência, segurança e responsabilização, além de medidas para proteger dados contra acessos não autorizados. O fato de uma ferramenta ter sido acionada por iniciativa de um colaborador não afasta as questões relacionadas ao tratamento desses dados. O tema está no radar da Autoridade Nacional de Proteção de Dados, que dedicou à IA generativa o terceiro volume da série Radar Tecnológico. No plano internacional, o AI Risk Management Framework, do National Institute of Standards and Technology, organiza a gestão de riscos em quatro funções: governar, mapear, medir e gerenciar. Já a norma ISO/IEC 42001 define requisitos para sistemas de gestão de IA nas organizações. A convergência aponta para uma lógica: o nível de controle precisa acompanhar o nível de risco da aplicação.

Para Franciscani, uma estratégia corporativa de IA não começa pela escolha de uma ferramenta, mas pela decisão de negócio que precisa ser melhorada e pelas condições para que a tecnologia participe dela. "IA empresarial não é apenas conversar com um modelo. É conectar dados, regras e processos para apoiar decisões", diz.

À medida que agentes, copilotos e automações passam a integrar mais processos, a IA ocupa uma camada antes reservada aos sistemas e ao conhecimento institucional. E ela raramente entra pela porta da frente: chega pela conta pessoal, com o documento da empresa colado no prompt, sem identidade corporativa e sem registro. O desafio deixa de ser impedir o uso, porque o bloqueio apenas empurra a IA para o celular e faz a empresa perder até a visibilidade que tinha. O desafio passa a ser garantir que decisões, conhecimento e processos críticos não dependam de usos que a companhia não consegue explicar, transferir ou revisar. O teste é simples: diante de um incidente, a empresa sabe dizer o que saiu, por onde saiu e quem tinha acesso? 

Governar IA, nesse sentido, não é criar um controle novo, é fazer a IA passar pela governança que a empresa já tem. Quando a IA do CPF começa a decidir pelo CNPJ, a governança se torna uma questão de continuidade e estratégia de negócio.