Alguém da área de crédito, de compras ou de planejamento precisa de uma ferramenta que a fila da TI não vai entregar neste trimestre. Hoje essa pessoa não abre chamado: ela descreve o que quer num gerador de aplicação e tem algo funcionando na sexta. A ferramenta resolve o problema real dela, roda com dado corporativo dentro e não existe em nenhum inventário.
Esse é o formato mais comum de risco novo no agro em 2026, e ele não aparece no relatório de vulnerabilidades porque ninguém sabe que aquilo está no ar. Adotar IA generativa acrescenta uma superfície de risco que não existia. A tese deste artigo é que dá para adotar sem abrir essa superfície, e que a ordem das decisões é o que separa os dois resultados.
O código que ninguém revisou
Aplicação gerada por IA parece pronta antes de estar. A interface funciona, o fluxo faz sentido, a demonstração para o gestor convence. O que não aparece na tela é o que costuma faltar: credencial gravada no próprio código, banco exposto sem regra de acesso, autenticação improvisada, nenhum registro de quem consultou o quê, nenhuma documentação para a próxima pessoa manter.
Num ambiente de agro isso pesa mais do que a média. A operação é sazonal e a janela de correção é curta: a ferramenta improvisada costuma nascer justamente no pico, quando a área está sob pressão de recebimento, de expedição ou de fechamento de safra, e é exatamente o momento em que ninguém tem tempo de parar para revisar.
O ponto que interessa ao diretor de tecnologia não é o mérito do código. É que essa aplicação entra em produção sem passar por nenhuma das etapas que a empresa criou para se proteger, e continua rodando até que alguém, por iniciativa própria, vá olhar o que existe por baixo dela.
O risco também vem do outro lado da cadeia
Existe uma segunda porta, e ela não depende de nenhuma escolha feita dentro da sua empresa. Em 19 de abril de 2026 a Vercel publicou um comunicado sobre um incidente de segurança: variáveis de ambiente armazenadas na plataforma, que decriptam para texto claro, foram expostas, incluindo chaves de API, tokens e credenciais de banco de dados. Segundo o mesmo comunicado, a origem foi o comprometimento do Context.ai, uma ferramenta de IA de terceiro usada por um funcionário da Vercel, que levou ao acesso à conta corporativa dele. O relato está em vercel.com/kb/bulletin/vercel-april-2026-security-incident.
A leitura útil não é sobre aquele fornecedor em particular. É sobre o caminho: a porta de entrada não foi servidor mal configurado nem senha fraca, foi uma ferramenta de IA adotada por fora, dentro de uma empresa da cadeia. Quem hospedava aplicação ali não participou daquela escolha e mesmo assim ficou exposto.
Shadow AI, portanto, é um problema de duas mãos. A empresa precisa responder pelo que o próprio time adota e precisa saber o que os fornecedores dela adotaram. A segunda parte não se resolve com política interna, se resolve reduzindo a quantidade de lugares onde dado corporativo pode estar.
Proibir empurra o uso para a sombra
A reação comum depois do primeiro susto é bloquear tudo e centralizar o desenvolvimento de volta na TI. Funciona por algumas semanas e depois produz o pior dos dois mundos: o uso continua e a visibilidade acaba. Quem precisa fechar a análise até sexta vai fechar, com a ferramenta que estiver ao alcance, e o caminho escolhido some do inventário.
O modelo que sustenta é outro, e já tem nome em muitas operações: desenvolvimento federalizado. As áreas continuam criando as próprias aplicações, dentro de uma stack pré-definida e segura, com critérios estabelecidos pela TI. A área ganha velocidade, a TI ganha previsibilidade e a empresa para de descobrir sistema em produção por acaso.
A diferença entre as duas posturas não é de rigor, é de desenho. Proibir transfere o risco para fora do campo de visão. Organizar mantém o risco onde ele pode ser medido.
Onde o dado fica quando alguém pergunta
Antes de escolher modelo, vale responder uma pergunta mais simples: quando uma pessoa cola um documento e pergunta alguma coisa, onde esse texto fica gravado, e por quanto tempo? Em ferramenta de IA de uso pessoal a resposta depende de termos que ninguém negociou e que mudam sem aviso.
A arquitetura do Auramind responde isso por desenho, não por configuração de meio do caminho. É BYOC sobre Amazon Bedrock: o dado permanece dentro do ambiente AWS do próprio cliente, com S3, RDS, API Gateway, Lambda e CloudWatch, sob framework RAG. Quem já tem conta AWS não abre relação nova de nuvem para adotar IA generativa com governança, não estende o perímetro e não negocia tratamento de dados com mais um fornecedor. São 20 modelos de 12 provedores, e a organização decide quais ficam habilitados. Nenhum dado do cliente vai para treino de modelo público.
Permissão vem antes de resposta
A regra de acesso que já existe no ERP precisa valer para a resposta da IA. Parece óbvio, e quase nunca acontece: o assistente é ligado sobre o acervo inteiro e responde igual para quem tem e para quem não tem direito de ver aquele número.
Assistente que responde tudo para todo mundo não é assistente corporativo, é vazamento com interface amigável. Por isso a permissão é por departamento, não por lista geral de usuários, e cada agente tem identidade própria com controle granular de acesso. Somam-se o assunto restrito definido pela empresa, o filtro de conteúdo na entrada e na saída e o mascaramento automático de dado pessoal. Regra de negócio aplicada antes de a resposta sair, não ajuste de modelo depois.
A política só funciona se a alternativa for boa
Política de uso de IA escrita em comitê só se sustenta se existir uma alternativa corporativa capaz de atender a demanda real das áreas. Sem isso, a regra vira documento e o uso vira contorno.
O desenho que funciona tem três partes na ordem certa. Primeiro sobe o canal único de acesso, com múltiplos modelos e dado protegido. Depois vem o bloqueio dos endpoints de outras ferramentas de prompt, inclusive no navegador, que só é defensável quando já existe para onde as pessoas irem. Por último entra a homologação: IA nova passa por avaliação antes de ser liberada, e o volume desses pedidos cai naturalmente conforme a ferramenta corporativa passa a resolver o que motivava cada um deles.
Inverter essa ordem é o erro mais caro do projeto. Bloqueio antes da alternativa cria conformidade de fachada. Alternativa boa cria adesão.
O que sobra registrado
Duas coisas são lembradas tarde demais em projeto de IA: a trilha de auditoria e o teto de gasto. A primeira aparece quando o jurídico pergunta o que foi perguntado, por quem e com qual documento em anexo. A resposta precisa ser um relatório, não um palpite. No Auramind, 100% das interações ficam registradas, com quem perguntou, o quê, com qual modelo e a que custo.
A segunda aparece quando a fatura chega. Consumo de modelo cresce junto com a adoção, que é o resultado que o projeto persegue. Teto definido antes, por pessoa e por área, permite comemorar o crescimento de uso em vez de explicá-lo na reunião de orçamento.
O roteiro que serve para qualquer setor
Cinco passos, na ordem que evita retrabalho. Servem para cooperativa, trading, indústria, varejo e serviços.
- 01 Mapeie o que já roda fora da TI antes de escrever a política. Política feita sobre inventário imaginário regula o uso que não existe.
- 02 Decida onde o dado fica antes de escolher o modelo. Modelo troca em seis meses. A relação de nuvem e o tratamento de dados ficam anos.
- 03 Dê uma stack segura para as áreas continuarem criando. Interromper o movimento não é opção realista em setor nenhum.
- 04 Ligue a alternativa corporativa antes de bloquear qualquer coisa. Bloqueio sem alternativa produz contorno, e contorno é invisível por definição.
- 05 Meça adoção e custo desde o primeiro dia. Quem não mede na semana um não prova nada na reunião de renovação.
Como medir adoção de verdade
Licença ativada não é adoção. O indicador que importa separa dois tipos de inativo que aparecem juntos no relatório e exigem ações opostas.
| O que medir | O que revela | Ação |
|---|---|---|
| Usuários que nunca usaram | Falha de ativação: ninguém mostrou o primeiro caso de uso | Ativação, com exemplo da própria área |
| Usuários que usaram e pararam | Falha de expectativa: a resposta não resolveu o problema | Resgate, com investigação do que falhou |
| Uso por área | Onde virou rotina e onde ficou em teste permanente | Replicar o padrão de quem engatou |
| Custo por modelo | Modelo caro usado onde o barato resolveria | Ajuste de habilitação por departamento |
Sobre ritmo, uma expectativa realista evita frustração de sponsor: um ciclo de testes de cerca de 60 dias antes da liberação ampla, entrada pelas áreas de maior exigência de controle, como tecnologia e compliance, e expansão departamento por departamento. Adoção que começa por todo mundo ao mesmo tempo costuma terminar em ninguém.
Perguntas frequentes
Nos primeiros dias a resposta parece pior do que a da ferramenta que a pessoa usava. Por quê?
Quem vem de outra IA onde já tinha histórico e personalização acumulados percebe, no começo, que as respostas não saem iguais às que estava habituado a receber, porque a ferramenta ainda não acumulou esse histórico com aquele usuário. A diferença diminui conforme a pessoa usa e constrói esse histórico, chegando a personalização equivalente ou superior à anterior. É curva de adaptação, não limitação da ferramenta.
Precisamos parar o desenvolvimento nas áreas de negócio?
Não é o caminho que se sustenta. O modelo é federalizado: as áreas continuam criando dentro de uma stack pré-definida e segura, com critérios da TI.
Bloquear os endpoints de IA pública não gera revolta interna?
Gera quando não há alternativa. Com o canal único corporativo funcionando antes, o bloqueio deixa de ser perda e passa a ser troca de endereço.
Já temos conta AWS. Precisamos de mais um contrato de nuvem?
Não. A arquitetura é BYOC sobre Amazon Bedrock, com o dado permanecendo no ambiente AWS do próprio cliente. Quem já tem a conta usa a que tem.
A governança não falha na política. Falha na hora de aplicá-la
Quase toda empresa que conversa sobre IA já tem, ou está escrevendo, uma política de uso. O que costuma faltar não é a regra, é o lugar onde ela pega: sem canal único com dado protegido, permissão herdada e registro de cada interação, o documento do comitê continua sendo documento. Adotar IA sem abrir porta nova é menos uma questão de restringir e mais uma questão de ordem: governança primeiro, acesso único depois, medição desde o começo.