Conta pessoal no trabalho: riscos de shadow IT e IA

Quando um funcionário usa o Gmail pessoal para mandar uma proposta, guarda planilhas de clientes no Drive particular ou cola um contrato numa IA com login próprio, a empresa perde o controle sobre aquele dado. Não é má-fé. Quase sempre é pressa. O efeito, porém, é o mesmo: informação da empresa em um lugar que a empresa não administra.

Resumo rápido

Conta pessoal no trabalho tira da empresa o controle de acesso, a trilha de auditoria e a possibilidade de recuperar dados quando a pessoa sai.
A IA generativa multiplicou o problema. O relatório de violações da Verizon de 2026 mostra que 67% dos usuários acessam serviços de IA com contas não corporativas nos equipamentos da empresa.
O CERT.br orienta de forma clara: não use contas pessoais em ferramentas de IA para tarefas do trabalho.
Proibir sem oferecer alternativa não funciona. O caminho é conta corporativa para tudo, política simples e equipe treinada.

Onde a conta pessoal aparece no dia a dia

O fenômeno tem nome: shadow IT, ou TI paralela. É todo recurso usado para trabalho sem que a empresa saiba ou tenha aprovado. Nas PMEs, os casos mais comuns são:

E-mail pessoal para falar com clientes e fornecedores, “porque o corporativo estava lotado”.
Drive, Dropbox ou iCloud particular com planilhas, contratos e backups de pastas inteiras.
WhatsApp pessoal como canal principal de atendimento, com o histórico no celular do vendedor.
Sistemas de terceiros criados com o e-mail pessoal do funcionário: ferramenta de design, encurtador de links, plataforma de assinatura eletrônica, conta de anúncios.
IA generativa com login próprio, usada para resumir contratos, escrever respostas ou analisar planilhas.

Os riscos, sem exagero

Saída de funcionário. É o risco mais concreto. Com conta corporativa, a TI bloqueia o acesso no mesmo dia e transfere o conteúdo para o gestor. Com conta pessoal, a carteira de clientes, o histórico de conversas e os arquivos saem junto.

Invasão da conta pessoal. Conta pessoal raramente tem a mesma proteção que a corporativa. Se a senha vazou em outro site e não há dupla autenticação, os dados da empresa ficam expostos por um caminho que a TI nem sabe que existe.

Nenhuma trilha de auditoria. Em um incidente, a empresa precisa responder quem acessou o quê e quando. Em conta pessoal, esse registro não existe para a empresa.

Responsabilidade pela LGPD. O art. 46 da LGPD exige que a empresa adote medidas de segurança para proteger dados pessoais contra acessos não autorizados e tratamento inadequado. Dado de cliente em conta particular de funcionário é o oposto disso. E, se houver um incidente com risco relevante aos titulares, a comunicação à ANPD e aos titulares tem prazo de três dias úteis, o que exige saber onde os dados estão.

IA generativa: o shadow IT que cresceu mais rápido

A IA levou o problema para outro patamar, porque o usuário não só guarda o dado em outro lugar: ele cola o conteúdo em um serviço externo para ser processado.

Os números confirmam a tendência:

Na pesquisa Work Trend Index de 2024, a Microsoft e o LinkedIn ouviram 31 mil profissionais em 31 países, incluindo o Brasil. 78% dos usuários de IA levavam as próprias ferramentas para o trabalho. Em pequenas e médias empresas, 80%.
O relatório de violações de dados da Verizon (DBIR) de 2026 mostra que os funcionários que usam IA com frequência nos equipamentos da empresa passaram de 15% para 45% em um ano. 67% acessam esses serviços com contas não corporativas. O relatório aponta o uso de IA não aprovada como a terceira atividade mais comum de vazamento de dados não intencional.

A ANPD incluiu “inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais” entre os temas prioritários de fiscalização para 2026 e 2027.

O CERT.br, na cartilha sobre IA, resume o cuidado em frases que valem colar na parede: “Assuma que o que vai para a IA é público” e “Não use contas pessoais em ferramentas de IA para tarefas do trabalho”. A cartilha também orienta trocar dados sensíveis por termos genéricos e verificar quais ferramentas a empresa permite.

A diferença entre conta pessoal e corporativa, no caso da IA, é contratual. Na Microsoft, o uso do Copilot Chat pelas organizações fica coberto pelo adendo de proteção de dados, e a Microsoft informa que prompts e respostas não são usados para treinar os modelos de base. Em uma conta pessoal, valem os termos do consumidor, que o funcionário aceitou sozinho.

O que encontramos em campo

Quando assumimos a TI de uma empresa, é comum encontrar acessos que ninguém mais controla: senhas de administrador que ficaram com o fornecedor anterior, acessos de terceiros esquecidos e sistemas criados com o e-mail de alguém que já saiu. O shadow IT é a versão do mesmo problema dentro da equipe. Tudo funciona até o dia em que a pessoa com a senha não está mais lá.

Como encarregado de dados (DPO) de empresas clientes, a primeira pergunta que faço em um mapeamento de dados é simples: “Onde estão as informações de clientes?”. Se a resposta inclui contas pessoais, esse é o primeiro ponto a corrigir.

Nossa recomendação

Na Pulso, recomendamos tratar o tema como gestão, não como proibição:

Ofereça a alternativa corporativa antes de proibir. E-mail, armazenamento e IA com conta da empresa. No Microsoft 365, e-mail e armazenamento corporativos já fazem parte dos planos, e a IA pode ser usada com a conta de trabalho.
Escreva uma política curta. Uma página, com as ferramentas aprovadas, o que nunca pode ser colado em IA (dados de clientes, contratos, dados financeiros, senhas) e a quem pedir uma ferramenta nova.
Cadastre serviços de terceiros com e-mail corporativo. Nenhum sistema da empresa deve depender do login pessoal de ninguém.
Controle os celulares que acessam dados da empresa. Com gestão de dispositivos móveis, os dados corporativos ficam separados dos pessoais e podem ser apagados se o aparelho for perdido ou o funcionário sair.
Treine a equipe com exemplos reais. A maioria das pessoas usa a conta pessoal por falta de opção ou de informação, não por descuido.
Revise acessos no desligamento. Uma lista simples de contas e sistemas para bloquear e transferir.

Se a empresa trata dados pessoais em volume, vale organizar isso dentro de um projeto de adequação à LGPD, que mapeia onde os dados estão e quem tem acesso.

Próximo passo

A página de produtividade e segurança com Microsoft 365 mostra como montamos um ambiente corporativo completo, com e-mail, arquivos e IA sob controle da empresa. Para ver o que mais muda neste ano, leia também as tendências de cibersegurança para 2026.

Quer saber quanto da informação da sua empresa está fora das contas corporativas? Agende um diagnóstico gratuito.

Fontes

Perguntas frequentes

O que é shadow IT?

É qualquer sistema, aplicativo ou conta usado para trabalho sem conhecimento ou aprovação da empresa. Um Gmail pessoal para mandar propostas, um Drive particular com planilhas de clientes ou um aplicativo de IA com login próprio são exemplos.

Posso proibir o uso de ChatGPT e outras IAs na empresa?

Pode, mas proibir sem oferecer alternativa costuma empurrar o uso para o celular pessoal, onde a empresa não enxerga nada. Funciona melhor definir quais ferramentas são aprovadas, com conta corporativa, e quais dados nunca podem ser colados em nenhuma delas.

Usar IA com conta pessoal fere a LGPD?

Se o funcionário colar dados pessoais de clientes ou colegas, a empresa continua responsável por eles e perde o controle sobre onde foram parar. A LGPD exige medidas de segurança contra acessos não autorizados e tratamento inadequado.

O que acontece com os arquivos quando o funcionário sai da empresa?

Se estão em conta corporativa, a TI bloqueia o acesso e transfere o conteúdo para o gestor. Se estão em conta pessoal, saem junto com a pessoa, e a empresa depende da boa vontade dela para recuperar.

Este conteúdo é informativo e não substitui orientação jurídica.

Shadow IT
Shadow AI
Contas corporativas
LGPD
Microsoft 365

Ver todos os artigos

Conta pessoal no trabalho: os riscos do shadow IT e da IA com login pessoal