O que é governança de shadow AI e o que a política de uma página de um time de marketing deve dizer?

Shadow AI é o uso de ferramentas de IA no trabalho sem o conhecimento ou a aprovação da organização. A governança de shadow AI é o conjunto de regras e verificações que traz esse uso à luz. Para um time de marketing, uma política de uma página basta para começar: ferramentas aprovadas, classes de dados, revisão humana, registro e um canal para incidentes.

Principais conclusões

• Shadow AI é um comportamento normal de pessoas que tentam trabalhar mais rápido; políticas que só proíbem tendem a empurrá-lo para fora das vistas.
• Os principais riscos são vazamento de dados, afirmações não verificadas, direitos autorais e desvio do tom de voz da marca, além de compromissos não registrados.
• Uma boa política cabe em uma página e responde a cinco perguntas: quais ferramentas, quais dados, quem revisa, o que é registrado e o que fazer quando algo dá errado.
• Combine a política com uma lista de ferramentas aprovadas que seja realmente boa o bastante para ser usada.
• Revise a página a cada trimestre; ferramentas e regras mudam rápido.

O que é shadow AI?

É qualquer ferramenta de IA, plug-in, extensão de navegador ou agente que a equipe usa no trabalho sem passar por revisão de TI, do jurídico ou da liderança de marketing. Um redator colando o briefing de um cliente em um chatbot gratuito é o caso clássico. Assim como um freelancer usando um gerador de imagens que o contrato não menciona.

A causa geralmente não é má intenção. As pessoas adotam a ferramenta que ajuda. A mesma pressão alimenta a proliferação de ferramentas de IA, que é um problema de custo além de um problema de risco.

Por que a shadow AI importa para o marketing?

O marketing lida com dados de clientes, planos não divulgados, material confidencial de clientes e afirmações públicas. Cada um pode dar errado por causa de IA não aprovada.

• Vazamento de dados. Dados confidenciais ou pessoais inseridos em uma ferramenta cujos termos permitem retê-los ou usá-los para treinamento.
• Afirmações falsas. Os modelos inventam estatísticas, citações e preços. Veja alucinações de IA no marketing.
• Direitos e transparência. Titularidade pouco clara de ativos gerados e falta de divulgação onde as regras a exigem.
• Desvio de marca. Muitas pessoas fazendo prompts diferentes produzem conteúdo que não soa como ninguém.
• Compromissos ocultos. Agentes que respondem a clientes ou publicam sem deixar registro. Nosso texto sobre o shadow ledger trata disso.

Existe um framework reconhecido para usar como base?

Sim. O National Institute of Standards and Technology (NIST), dos EUA, publicou o AI Risk Management Framework em 26 de janeiro de 2023 como um recurso voluntário. O NIST também lançou um Generative AI Profile (NIST-AI-600-1) em 26 de julho de 2024 para ajudar as organizações a identificar riscos específicos da IA generativa. O framework foi escrito para organizações que desenvolvem ou implantam IA, então um time de marketing deve aproveitar suas ideias — governar, mapear, medir e gerenciar — em vez de adotá-lo por inteiro. A página do NIST observa que o framework está sendo revisado, então confira a versão atual.

Seu responsável jurídico, de segurança ou de proteção de dados também pode precisar aplicar regras locais. Este artigo não constitui aconselhamento jurídico.

O que a política de uma página deve dizer?

Use estas seis seções. Mantenha cada uma em poucas linhas.

1. Finalidade e escopo. Quem ela abrange: funcionários, freelancers e agências que trabalham na sua marca.
2. Ferramentas aprovadas. Uma lista nominal, com um responsável e um jeito de solicitar uma nova ferramenta. Tudo o que estiver fora da lista precisa de aprovação antes.
3. Classes de dados. Diga o que pode entrar em cada ferramenta.
   • Públicos (conteúdo publicado): permitidos em ferramentas aprovadas.
   • Internos (planos, rascunhos): ferramentas aprovadas, somente com termos comerciais.
   • Confidenciais (dados de clientes, lançamentos não divulgados, contratos): somente ferramentas aprovadas para isso.
   • Dados pessoais (nomes de clientes, e-mails, listas de público): não vão para ferramentas de IA, a menos que a área de privacidade tenha dado o aval.
4. Revisão humana. Uma pessoa definida confere fatos, números, citações, afirmações, tom de voz da marca e texto jurídico antes de qualquer publicação. Use nosso checklist de QA para conteúdo de IA.
5. Registro. Anote a ferramenta, a data, a finalidade e o revisor de cada trabalho publicado com apoio de IA. Agentes que agem sozinhos precisam de uma trilha de auditoria e de uma etapa de aprovação.
6. Incidentes. Se dados sensíveis foram colados em uma ferramenta não aprovada ou uma afirmação falsa foi ao ar: avise o contato definido dentro de um prazo fixo, não apague evidências e não espere culpabilização por relatar cedo.

Como trazer à luz o uso de shadow AI que já existe?

1. Pergunte primeiro. Faça uma pesquisa curta, sem julgamento: quais ferramentas de IA você usa e para quê?
2. Classifique as respostas em aprovar, substituir e parar.
3. Ofereça uma boa opção aprovada para cada tarefa comum, ou a lista será ignorada.
4. Treine rapidamente. Uma hora sobre a política e sobre como checar o resultado da IA. Veja como treinar profissionais de marketing juniores em IA.
5. Revise a cada trimestre e atualize a lista de ferramentas.

FAQ

Fontes

• NIST, AI Risk Management Framework.
• Posts da SOMIN: O shadow ledger e alucinações de IA no marketing.