Este post é baseado na conversa de Mackenzie com Noora Ahmed-Moshe no podcast The Secure Disclosure. Ouça o episódio completo.
Uma empresa perdeu um milhão de dólares porque alguém em uma chamada de litígio usou um anotador de IA. Como a cientista comportamental Noora Ahmed-Moshe explica no podcast, a ferramenta resumiu uma conversa confidencial e a enviou à parte adversária, que a usou para forçar um acordo nos seus termos. Especialistas jurídicos alertam que transcrições geradas por IA são agora alvos rotineiros de descoberta em processos judiciais.
Anotadores são apenas um exemplo. Funcionários estão usando IA de mais maneiras do que suas empresas sabem, e a realidade é que eles estão sendo forçados a isso. De acordo com Ahmed-Moshe, é uma resposta ao medo. "Há uma sensação geral de pânico de que a IA virá e tomará seu emprego." Mais de 95% dos empregadores agora querem contratar pessoas com habilidades em IA. Funcionários têm medo de ficar para trás nas ferramentas porque estão lendo corretamente o mercado de trabalho.
Esse medo é o que impulsiona a Shadow AI. Funcionários estão recorrendo a ferramentas não aprovadas porque a tecnologia está avançando mais rápido do que qualquer ciclo de aprovação pode acompanhar. Quando seu departamento de TI tiver executado uma POC e concedido acesso, seus funcionários já terão ouvido de um amigo sobre algo melhor. Quando você lhes dá uma ferramenta aprovada que não se encaixa em seu fluxo de trabalho e depois bloqueia todo o resto, você apenas os fez esconder as ferramentas reais que estão usando.
E é na ocultação que a violação começa.
O pânico agora é sua superfície de ataque
Estudos mostram que mais da metade dos funcionários agora usam ferramentas de IA não aprovadas no trabalho. Mais da metade desses estão alimentando dados confidenciais da empresa em ferramentas que sua empresa não gerencia, monitora ou sequer conhece. Isso significa que materiais sensíveis como documentos legais, dados de clientes e estratégia interna estão fluindo para modelos não verificados.
Mesmo ferramentas conceituadas em planos gratuitos podem estar usando esses dados para treinar modelos. Uma ferramenta menos confiável pode ser diretamente violada. E como Ahmed-Moshe destacou, "Não acho que realmente vimos os riscos se materializarem ainda, porque é muito novo." O raio de impacto ainda está crescendo, e só vimos os primeiros resultados.
Proibir não funciona
O instinto de proibir todo o uso de IA não aprovado é compreensível. A Samsung fez isso com o ChatGPT. Um consultor de segurança publicou no Reddit sobre um cliente que exigiu o mesmo, e então descobriu que seu CEO estava usando o ChatGPT em uma conta pessoal por seis meses para preparar apresentações para o conselho.
Proibir as ferramentas das quais seus funcionários dependem não fará com que parem de usá-las. Como Ahmed-Moshe afirma, "Se você tentar proibir ferramentas de IA em sua organização, não vejo como você pode ter sucesso como empresa daqui para frente." Ferramentas de IA introduzem riscos de segurança genuínos, mas são uma parte essencial de como realizamos o trabalho. Proibir ferramentas de IA é como dizer aos adolescentes para não usarem seus telefones. Eles simplesmente farão isso onde você não pode ver.
Já passamos por isso antes. A Shadow IT existe há anos, e o BYOD nasceu quando as empresas perceberam que bloquear dispositivos pessoais realmente sufocaria a produtividade. Elas precisavam de uma forma de protegê-los. A Shadow AI é o mesmo problema com riscos maiores.
Como adaptar sua postura de segurança para considerar a shadow AI
As organizações que fecham essa lacuna estão eliminando as condições que fazem com que os funcionários queiram esconder o uso de suas ferramentas em primeiro lugar.
O que você pode realmente fazer:
- Obtenha visibilidade primeiro: Audite quais ferramentas estão sendo usadas antes de começar a bloquear qualquer coisa. O Aikido Endpoint monitora cada dispositivo de desenvolvedor em busca de ameaças que estão fora da sua superfície de ataque normal.
- Entenda as lacunas do fluxo de trabalho: Se os funcionários estão usando ferramentas não sancionadas, há uma razão. Encontre-a e feche-a com algo que realmente funcione.
- Crie segurança psicológica: O diálogo aberto supera a punição quando se trata de mudar o comportamento. Equipes de segurança acessíveis obtêm visibilidade que culturas fechadas nunca conseguirão.
- Mova-se mais rápido que o ciclo de aprovação. O processo de POC para implantação de três meses que funcionava para software empresarial não funciona quando o cenário de ameaças e as ferramentas estão mudando mês a mês.
A Shadow AI é o novo phishing, um problema de comportamento humano que os controles técnicos podem reduzir, mas nunca eliminar. O pânico é a vulnerabilidade. Aborde isso primeiro.
{{cta}}
<script type="application/ld+json">
{
"@context": "https://schema.org",
"@graph": [
{
"@type": "BlogPosting",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#article",
"mainEntityOfPage": {
"@type": "WebPage",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse"
},
"headline": "Shadow AI risks start with fear, and banning makes them worse",
"description": "Employees aren't using unapproved AI tools to cause problems. They're scared of falling behind. Here's why banning shadow AI increases your security risk, and what to do instead.",
"image": {
"@type": "ImageObject",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#primaryimage",
"url": "https://www.aikido.dev/images/blog/shadow-ai-risks.png",
"contentUrl": "https://www.aikido.dev/images/blog/shadow-ai-risks.png",
"width": 1200,
"height": 630
},
"datePublished": "2026-05-12T00:00:00+00:00",
"dateModified": "2026-05-12T00:00:00+00:00",
"author": {
"@type": "Person",
"@id": "https://www.aikido.dev/authors/nicholas-thomson",
"name": "Nicholas Thomson",
"jobTitle": "Senior SEO & Growth Lead",
"worksFor": {
"@type": "Organization",
"name": "Aikido Security",
"url": "https://www.aikido.dev"
},
"sameAs": [
"https://www.linkedin.com/",
"https://x.com/"
]
},
"publisher": {
"@type": "Organization",
"@id": "https://www.aikido.dev#organization",
"name": "Aikido Security",
"url": "https://www.aikido.dev",
"logo": {
"@type": "ImageObject",
"url": "https://www.aikido.dev/logo.png"
}
},
"keywords": [
"shadow AI",
"shadow IT",
"AI security risks",
"unapproved AI tools",
"employee AI usage",
"AI data leakage",
"BYOD security",
"AI note-taker risks",
"security posture",
"attack surface",
"AI governance",
"insider threat",
"enterprise AI security",
"AI compliance",
"behavioral security"
],
"articleSection": "Cybersecurity",
"inLanguage": "en-US",
"timeRequired": "PT5M",
"isBasedOn": {
"@type": "PodcastEpisode",
"name": "AI Panic is Driving Shadow IT with Noora Ahmed-Moshe",
"url": "https://creators.spotify.com/pod/profile/thesecuredisclosure/episodes/AI-Panic-is-Driving-Shadow-IT-w-Noora-Ahmed-Moshe-e3ivlbo",
"partOfSeries": {
"@type": "PodcastSeries",
"name": "Secure Disclosures"
}
},
"about": [
{
"@type": "DefinedTerm",
"name": "Shadow AI",
"description": "The use of unapproved or unsanctioned AI tools by employees within an organization without the knowledge or consent of IT or security teams."
},
{
"@type": "DefinedTerm",
"name": "Shadow IT",
"description": "The use of information technology systems, software, and services without explicit organizational approval."
},
{
"@type": "Thing",
"name": "AI security risk",
"sameAs": "https://schema.org/Thing"
},
{
"@type": "Thing",
"name": "BYOD",
"description": "Bring Your Own Device — a policy allowing employees to use personal devices for work purposes."
}
],
"mentions": [
{
"@type": "Person",
"name": "Noora Ahmed-Moshe",
"jobTitle": "Behavioral Scientist",
"sameAs": "https://www.linkedin.com/in/noora-ahmed-moshe/"
},
{
"@type": "Organization",
"name": "Samsung",
"sameAs": "https://www.samsung.com"
},
{
"@type": "SoftwareApplication",
"name": "ChatGPT",
"applicationCategory": "AI Assistant",
"operatingSystem": "Web",
"sameAs": "https://chat.openai.com"
},
{
"@type": "SoftwareApplication",
"name": "Aikido Endpoint",
"applicationCategory": "Security Software",
"operatingSystem": "Web",
"url": "https://www.aikido.dev/attack/surface-monitoring-dast"
}
],
"citation": [
{
"@type": "WebPage",
"name": "Samsung bans ChatGPT and other generative AI use by staff after leak",
"url": "https://www.bloomberg.com/news/articles/2023-05-02/samsung-bans-chatgpt-and-other-generative-ai-use-by-staff-after-leak"
},
{
"@type": "WebPage",
"name": "Eavesdropping by Algorithm: Legal Risks of AI Meeting Assistants",
"url": "https://www.babstcalland.com/news-article/eavesdropping-by-algorithm-legal-risks-of-ai-meeting-assistants/"
},
{
"@type": "WebPage",
"name": "AI Job Market Report",
"url": "https://zapier.com/blog/ai-job-market-report/"
},
{
"@type": "WebPage",
"name": "Many workers are using unapproved AI tools at work",
"url": "https://www.techradar.com/pro/many-workers-are-using-unapproved-ai-tools-at-work-and-sharing-a-lot-of-private-data-they-really-shouldnt"
}
],
"speakable": {
"@type": "SpeakableSpecification",
"cssSelector": ["h1", "h2", ".article-summary"]
}
},
{
"@type": "WebPage",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse",
"url": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse",
"name": "Shadow AI risks start with fear, and banning makes them worse",
"description": "Employees aren't using unapproved AI tools to cause problems. They're scared of falling behind. Here's why banning shadow AI increases your security risk, and what to do instead.",
"isPartOf": {
"@type": "WebSite",
"@id": "https://www.aikido.dev#website",
"url": "https://www.aikido.dev",
"name": "Aikido Security"
},
"primaryImageOfPage": {
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#primaryimage"
},
"breadcrumb": {
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#breadcrumb"
},
"inLanguage": "en-US"
},
{
"@type": "BreadcrumbList",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#breadcrumb",
"itemListElement": [
{
"@type": "ListItem",
"position": 1,
"name": "Home",
"item": "https://www.aikido.dev"
},
{
"@type": "ListItem",
"position": 2,
"name": "Blog",
"item": "https://www.aikido.dev/blog"
},
{
"@type": "ListItem",
"position": 3,
"name": "Shadow AI risks start with fear, and banning makes them worse",
"item": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse"
}
]
},
{
"@type": "Organization",
"@id": "https://www.aikido.dev#organization",
"name": "Aikido Security",
"url": "https://www.aikido.dev",
"logo": {
"@type": "ImageObject",
"url": "https://www.aikido.dev/logo.png"
},
"sameAs": [
"https://www.linkedin.com/company/aikido-security",
"https://x.com/aikido_security"
]
},
{
"@type": "FAQPage",
"mainEntity": [
{
"@type": "Question",
"name": "What is shadow AI?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Shadow AI refers to the use of unapproved or unsanctioned AI tools by employees within an organization, without the knowledge or oversight of IT or security teams. It is a subset of shadow IT and poses significant data security and compliance risks."
}
},
{
"@type": "Question",
"name": "Why do employees use shadow AI?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Employees use unapproved AI tools primarily out of fear of falling behind in a job market where AI skills are increasingly required. When approved tools don't fit their workflows, or approval cycles move too slowly, employees turn to tools that help them do their jobs more effectively."
}
},
{
"@type": "Question",
"name": "Why doesn't banning AI tools work?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Banning AI tools forces usage underground rather than eliminating it. Employees will use personal devices or accounts to access the tools they depend on. As with BYOD, the more effective approach is to create a secure, sanctioned framework that meets employees' actual workflow needs."
}
},
{
"@type": "Question",
"name": "What are the security risks of shadow AI?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Shadow AI poses multiple security risks including sensitive data being fed into unvetted models, data used to train third-party AI systems, exposure through breaches of unsecured tools, and AI-generated content such as meeting transcripts becoming discovery targets in legal proceedings."
}
},
{
"@type": "Question",
"name": "How can organizations reduce shadow AI risk?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Organizations should first gain visibility into what tools are being used, understand the workflow gaps driving unsanctioned usage, create psychological safety so employees feel comfortable disclosing tool usage, and accelerate their approval cycles to keep pace with the speed of AI development."
}
}
]
}
]
}
</script>
