Shadow procurement de ferramentas de IA: o risco por área

Shadow procurement de ferramentas de IA é a compra ou assinatura de uma ferramenta de IA por uma área da empresa — comercial, marketing, RH, jurídico — usando cartão corporativo ou aprovação local, fora do processo central de compras e sem revisão de segurança, contrato ou custo pelo TI ou pelo procurement. É diferente de um colaborador usar o ChatGPT pessoal sem autorização (isso é shadow AI individual); aqui é a própria área, muitas vezes com aval do gestor local, contratando e pagando por uma ferramenta que a empresa nunca avaliou formalmente. Este guia é para quem lidera governança de IA, TI ou procurement e precisa fechar esse ponto cego antes que ele vire risco de dado, custo duplicado ou contrato mal negociado — e assume que os princípios gerais de governança de IA na prática já foram lidos.

Shadow procurement não é shadow AI — a diferença que muda a solução

Os dois fenômenos parecem o mesmo problema, mas pedem respostas diferentes:

	Shadow AI (uso individual)	Shadow procurement (compra por área)
Quem age	O colaborador, sozinho, sem avisar ninguém	O gestor da área, com orçamento próprio
Como aparece	Conta gratuita ou pessoal em ferramenta pública	Assinatura paga, muitas vezes recorrente, no cartão corporativo da área
O risco central	Dado da empresa entrando em ferramenta não aprovada	Contrato sem revisão de segurança, dado e LGPD; custo duplicado entre áreas
Quem resolve	Política de uso + canal de ferramentas aprovadas	Procurement + TI + governança de custo (FinOps)

Shadow AI — o uso individual não autorizado — já é bem documentado: a proibição simples não funciona, e a resposta certa é oferecer alternativa aprovada com capacitação. Shadow procurement é o problema seguinte, que aparece justamente quando a empresa avança na maturidade: a área não está mais "escondendo" o uso, ela está comprando abertamente, só que fora do processo formal — e é exatamente por isso que devida diligência completa de fornecedor, como descrita em gestão de risco de fornecedores de IA, nunca chega a acontecer: ninguém do procurement sequer sabe que a compra existe até a nota fiscal aparecer.

Por que isso acontece agora, especificamente com IA

Três fatores tornam IA mais propensa a compra descentralizada do que qualquer onda de SaaS anterior:

1. Preço de entrada baixo, ativação instantânea. Um plano individual ou de time pequeno custa menos que o limite de aprovação que exigiria passar pelo procurement central — a ferramenta entra no cartão corporativo da área sem disparar nenhum alçada.
2. Velocidade de lançamento de produto. Toda semana surge uma ferramenta nova relevante para uma função específica (agente de prospecção, copiloto jurídico, gerador de conteúdo) — o processo central de aprovação não acompanha esse ritmo, e a área que precisa do resultado agora não espera.
3. A decisão parece pequena até ser somada. Cada assinatura isolada parece baixo risco; o problema aparece quando dezenas de áreas fazem o mesmo, ao mesmo tempo, sem que ninguém veja o total.

O tamanho do problema já aparece em pesquisa de mercado: segundo estimativas da Gartner e da Everest Group, entre 30% e 40% do gasto total de TI em grandes empresas já acontece fora do controle formal de TI, e 90% dos colaboradores usam ferramentas de IA pessoais no trabalho contra apenas 40% das empresas com assinatura oficial equivalente — um hiato de quase 50 pontos percentuais entre o que o time já usa e o que a empresa efetivamente contratou e governa (Gartner via Vectra AI). Ferramentas de IA já são adotadas de forma descentralizada em áreas como atendimento, vendas, marketing, jurídico, RH e desenvolvimento de software, frequentemente sem política corporativa definida, monitoramento centralizado de custo ou rastreabilidade de dado (E-Commerce Brasil; Portal Information Management).

Os riscos específicos da compra descentralizada

• Contrato sem cláusula de segurança e dado. Uma assinatura fechada diretamente pela área raramente inclui as cláusulas que o procurement exigiria — retenção de dado, uso para retreinamento de modelo, jurisdição de armazenamento, direito de auditoria.
• Exposição de LGPD sem controlador visível. Se ninguém no jurídico ou DPO sabe que a ferramenta processa dado pessoal, a empresa não consegue nem mapear o risco, quanto mais responder a um incidente — o tema de fundo está em LGPD e IA generativa.
• Custo duplicado entre áreas. É comum três ou quatro áreas diferentes pagando, sem saber, por ferramentas com sobreposição de função — dinheiro que um catálogo central economizaria em poder de negociação e eliminação de duplicidade.
• Nenhum controle de acesso por perfil. Sem processo central, ninguém define quem, dentro da área, deveria ter acesso à ferramenta e a que dado — o modelo de controle que resolve isso está detalhado em controle de acesso a ferramentas de IA por perfil de usuário.
• Continuidade em risco sem ninguém perceber. Um fornecedor comprado informalmente pode sair do ar ou mudar de preço sem que a empresa tenha qualquer plano de contingência — o ângulo completo de continuidade está em vendor lock-in de fornecedores de IA.

Como fechar o ponto cego: catálogo aprovado, não proibição

A resposta que funciona não é bloquear compra por área — isso só empurra a decisão de volta para o shadow AI individual. Funciona construir um caminho aprovado mais rápido do que o caminho informal:

1. Mapeie o que já existe. Levante, por conciliação de cartão corporativo e nota fiscal, quais ferramentas de IA cada área já paga hoje — o primeiro catálogo nasce do que já está em uso, não de uma lista teórica.
2. Classifique por criticidade, não trate tudo igual. Uma ferramenta que só gera rascunho de texto interno pede menos rigor que uma que processa dado de cliente ou decide algo sobre pessoa — aplique o mesmo princípio de proporcionalidade de gestão de risco de fornecedores de IA.
3. Crie uma via rápida para ferramentas de baixo risco. Se toda compra precisa do mesmo processo de seis semanas, a área vai contornar de novo — uma aprovação simplificada para categorias já mapeadas como baixo risco reduz o incentivo a comprar por fora.
4. Centralize a visibilidade de custo, não necessariamente a compra. Nem toda empresa precisa centralizar 100% da contratação — mas toda empresa precisa de um lugar único que mostre quanto cada área gasta com IA, para eliminar duplicidade e negociar em escala.
5. Publique o catálogo onde a área realmente procura. Um catálogo que vive num documento perdido não compete com a rapidez de assinar direto no cartão — ele precisa estar visível no canal de decisão da área (Slack, portal de compras, onboarding do time).

A conexão com o financiamento e a governança de custo de IA

Compra por área descentralizada é, quase sempre, sintoma de um problema anterior: a empresa ainda não decidiu como o custo de IA é distribuído e cobrado internamente. Quando não existe um modelo claro de cost center, chargeback ou orçamento por área para IA, cada gestor resolve sozinho — no cartão da própria área. O desenho desse modelo de financiamento, incluindo como ele reduz o incentivo à compra descentralizada, está em financiamento do centro de enablement em IA.

Como a Jetpacks aborda isso no diagnóstico de governança

O estágio Launchpad do método Flight Plan mapeia, entre outras coisas, o uso de IA que já existe na empresa — incluindo ferramentas contratadas por área fora do processo central — antes de desenhar qualquer trilha ou política nova. É o mesmo princípio deste guia: catalogar o que já existe é o primeiro passo, não a proibição. A Jetpacks é parceira oficial da Replit no Brasil e já aplicou esse diagnóstico com clientes como Hypera Pharma, Volvo, BMR Medical e C12 Brasil.

FAQ

Shadow procurement é a mesma coisa que shadow AI?

Não. Shadow AI é o colaborador usando uma ferramenta gratuita ou pessoal por conta própria, sem avisar ninguém. Shadow procurement é a área comprando e pagando abertamente por uma ferramenta, com orçamento próprio, mas fora do processo formal de compras e revisão de segurança. Os dois pedem resposta diferente — política de uso para um, processo de compras e FinOps para o outro.

Proibir compra fora do procurement central resolve o problema?

Raramente sozinho. Proibição sem alternativa rápida costuma empurrar a decisão de volta para o shadow AI individual — a área encontra um jeito de usar a ferramenta de qualquer forma, só que agora sem nem o registro do cartão corporativo. A via que funciona combina limite claro com um caminho de aprovação rápido para ferramentas de baixo risco.

Quem deveria ser dono desse processo: TI, procurement ou governança de IA?

Nenhum sozinho. Procurement traz o processo de contratação e negociação; TI e segurança avaliam o risco técnico e de dado; a função de governança de IA (ou o centro de enablement) decide critério e prioridade. Empresas que colocam essa responsabilidade só em uma área tendem a travar o processo ou perder visibilidade de custo.

Como identificar quais ferramentas já estão sendo compradas por área?

Concilie extrato de cartão corporativo e nota fiscal por centro de custo — a maioria das assinaturas de IA aparece como despesa recorrente de baixo valor, fácil de passar despercebida individualmente, mas visível quando somada por categoria de fornecedor.

Um catálogo de ferramentas aprovadas trava a inovação da área?

O oposto costuma acontecer quando o catálogo é bem desenhado: ele elimina o tempo de negociação e revisão jurídica repetido a cada nova compra, porque a ferramenta já passou pela avaliação uma vez. O que trava inovação é um processo de aprovação lento e único para qualquer risco, não a existência do catálogo em si.

Shadow procurement é um problema só de empresa grande?

É mais visível em empresa grande porque tem mais áreas comprando ao mesmo tempo, mas o princípio vale para qualquer porte: sempre que existe orçamento descentralizado e ausência de processo central para IA, a compra por fora tende a acontecer. Empresas menores tendem a resolver isso com um processo mais simples, sem menos rigor sobre o risco em si.

Conclusão: visibilidade primeiro, controle depois

Shadow procurement de ferramentas de IA não se resolve proibindo compra por área — se resolve tornando o caminho aprovado mais rápido do que o caminho informal, com um catálogo vivo, classificado por risco e alinhado a um modelo claro de financiamento. O primeiro passo nunca é a política; é o mapeamento do que já está sendo comprado hoje, área por área. Se sua empresa ainda não sabe quantas ferramentas de IA estão sendo pagas fora do procurement central, o diagnóstico gratuito da Jetpacks mapeia isso em 30 a 45 minutos, junto com o primeiro passo prático para fechar essa lacuna.