Em vez de só ler sobre IA, que tal ver uma trabalhando?
Converse com a MIA no WhatsApp e veja como ela atende, qualifica e agenda visitas com leads em tempo real.

Conversar com a MIA agora

Segunda-feira, 8h. A diretoria quer o relatório de performance do lançamento antes da reunião das 10h. A analista de inteligência comercial exporta a base inteira do CRM (3.200 leads com nome, telefone, CPF, renda declarada, situação de crédito e motivo de recusa no financiamento) e sobe o arquivo numa conta pessoal de IA para cruzar os dados e montar o resumo. Às 9h40 o relatório está pronto, e é um bom relatório. Ninguém autorizou, ninguém sabe, ninguém vai descobrir.

Não foi má-fé. Foi produtividade. E é exatamente isso que torna o problema difícil de resolver com a resposta padrão do mercado, que é bloquear. Segundo a Shadow AI Survey 2026 da PagerDuty, 66% dos profissionais já usaram ferramentas de IA no trabalho acreditando que a política da empresa não permitia. Mais grave para quem vende imóvel: 34% já compartilharam dados de clientes com ferramentas públicas de IA, e 31% compartilharam informações financeiras ou documentos confidenciais.

Isso tem nome: Shadow AI. E não acontece só com o time interno. Acontece também com o corretor parceiro no celular dele, onde nenhuma política da sua empresa alcança. Este post explica por que uma incorporadora está estruturalmente mais exposta do que a média das empresas, qual é o risco real (que não é o que a maioria dos gestores imagina) e como montar governança de IA sem travar a operação comercial.

O que é Shadow AI e por que o nome importa?

Shadow AI é o uso de inteligência artificial fora da visibilidade e dos mecanismos de governança da organização. Acontece quando a empresa não sabe qual ferramenta está sendo usada, para qual finalidade, nem quais dados estão sendo enviados a qual fornecedor. É a evolução do Shadow IT, com exposição de dados corporativos muito maior.

A diferença em relação ao Shadow IT antigo não é de grau, é de natureza. Uma planilha pirata ou um software instalado sem licença ficavam na periferia do processo. A IA entra no centro dele.

“Shadow AI é a evolução do Shadow IT, mas com nível de exposição de dados corporativos muito maior. A diferença é que a inteligência artificial passa a participar diretamente da produção de conteúdo, das análises e até mesmo das decisões do dia a dia.”

Patrick Nascimento, especialista em cibersegurança, no podcast Conversa Assinada da ClickSign, agosto de 2026

O nome importa porque muda o diagnóstico. Se você chamar de “problema de disciplina”, a solução parece ser política e punição. Se chamar de “problema de visibilidade”, a solução passa a ser instrumentação e governança. A segunda leitura é a correta, e há um dado que a sustenta: 89% dos profissionais conheceram a ferramenta de IA que usam no trabalho primeiro no uso pessoal, segundo a PagerDuty. A tecnologia não entrou pela porta da TI. Entrou pela porta de casa, e o time só levou junto para o trabalho.

Por que a incorporadora está mais exposta que outros setores?

Por três razões estruturais: parte do time comercial é externa e não opera em dispositivo corporativo, então as ferramentas de detecção não o alcançam; o dado que circula no atendimento imobiliário está entre os mais sensíveis que existem; e, perante a LGPD, a responsabilidade é da incorporadora como controladora, não do corretor que colou os dados.

Vale destrinchar cada uma, porque elas se somam em vez de se alternar.

É por isso que a estratégia de bloqueio falha mais rápido no setor imobiliário do que em qualquer outro. Você pode bloquear o acesso a ferramentas de IA na rede do stand de vendas e no notebook da coordenação. Não pode bloquear o celular de um parceiro que não é seu funcionário. E mesmo no dispositivo que você controla, existe uma saída trivial que nenhum firewall resolve, como Luis Veloso, CRO da Morada.ai, resumiu no episódio: “vai tirar uma foto da tela.”

Qual é o risco real e qual é o risco imaginário?

O risco imaginário é o modelo de IA aprender o segredo estratégico da sua empresa. O risco real é dado pessoal identificável exposto na janela de contexto de uma ferramenta que você não controla, e alucinação sobre preço, prazo ou condição de pagamento entrando na conversa com o cliente. São problemas de natureza diferente e exigem respostas diferentes.

A confusão entre os dois é o que mais paralisa comitês de inovação em incorporadoras. A discussão trava em “não vou entregar meus dados para uma empresa americana” e nunca chega no risco que de fato existe na operação comercial.

“A Embraer usar um LLM americano tem um baita problema. Agora, a empresa que pode ser até grande, mas do interior de Goiás, que não trabalha com tecnologia, contratar uma conta corporativa na nuvem: o risco dela não é a Anthropic, diferente da Embraer. Mas o risco dela é outro, é dos colaboradores, é de dados sensíveis, é de LGPD.”

Luis Veloso, CRO da Morada.ai

Traduzindo para a sua operação: a sua incorporadora não está na fronteira tecnológica mundial. Ninguém vai treinar um modelo com o seu diferencial de arquitetura. Os dois riscos que realmente importam são outros.

Risco 1: dado pessoal parado na janela de contexto

Quando o corretor cola a planilha de leads numa conta pessoal de IA, aquele dado não desaparece depois da resposta. Ele fica no histórico daquela conta, acessível a quem tiver acesso a ela, respondendo a novas perguntas. Se o corretor sai da carteira e leva o celular, os dados dos seus compradores saem com ele, e você não tem registro de que isso aconteceu.

O contexto regulatório brasileiro deixou de ser hipotético em dezembro de 2025. Pela Resolução CD/ANPD nº 30/2025, a Autoridade Nacional de Proteção de Dados definiu quatro eixos prioritários de fiscalização para 2026-2027, e o quarto é “inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais”. São 75 ações de fiscalização previstas no período entre os quatro eixos, segundo apuração do TELETIME.

Risco 2: alucinação com consequência comercial

Esse é o risco que o setor subestima. Um corretor pede a uma IA externa que resuma a condição de pagamento de uma unidade. A ferramenta não tem a tabela vigente, não tem a política de desconto aprovada, não tem o saldo real de estoque. Ela preenche a lacuna com algo plausível, e aquele texto plausível e errado vai para o WhatsApp do cliente.

Isso não é erro de digitação. É expectativa criada que o contrato não sustenta, e expectativa não cumprida é uma das origens clássicas do distrato. É também a diferença prática entre uma IA que opera com dados reais do seu estoque e um chatbot genérico que responde por padrão de linguagem, distinção que detalhamos no post sobre IA e chatbot no mercado imobiliário.

O custo do primeiro risco já tem ordem de grandeza medida. No Cost of a Data Breach Report, conduzido pelo Ponemon Institute com 600 organizações e analisado pela IBM, uma em cada cinco organizações violadas relatou violação decorrente de Shadow AI. E as que tinham alto nível de Shadow AI registraram, em média, US$ 670 mil a mais no custo da violação.

Bloquear o acesso a IA resolve o problema?

Não. Bloqueio funciona no dispositivo corporativo e falha em todo o resto: celular pessoal, notebook de casa, foto da tela. E cobra um preço em retenção de talento. Na pesquisa da PagerDuty, 77% dos profissionais acham que as restrições de IA da empresa limitam seu crescimento profissional, e 75% procurariam outro emprego que oferecesse melhor desenvolvimento em IA.

Existe uma analogia que descreve bem o que aconteceu aqui, e ela vem de um conto de Goethe que Yuval Harari recuperou (e que a Disney transformou em Fantasia). Um aprendiz pede para aprender feitiçaria. O feiticeiro entrega uma vassoura e manda limpar o chão. O aprendiz, indignado, espera o mestre sair, abre o livro de feitiços e enfeitiça a vassoura, que começa a limpar sozinha. Ótimo, até ele descobrir que não sabe fazê-la parar. Desesperado, corta a vassoura ao meio, e ela vira duas.

“O que aconteceu com inteligência artificial foi isso. A vassoura já está enfeitiçada, gente. Não tem como parar. Então se você quer travar na sua organização, você vai ficar para trás.”

Luis Veloso, CRO da Morada.ai

O dado da IBM reforça onde está a lacuna de verdade: 63% das organizações violadas não têm política de governança de IA ou ainda estão desenvolvendo uma. E entre as que já têm política, apenas 34% fazem auditoria regular para identificar uso de IA não autorizada. O problema, portanto, não é falta de proibição. É falta de visibilidade.

Há ainda um efeito colateral perverso do bloqueio: ele não elimina o uso, elimina o registro do uso. Você troca um problema que pode medir por um problema que não pode.

Por que o time usa IA escondido mesmo sabendo que não deveria?

Porque a pressão por velocidade é real e a ferramenta entrega. E porque os processos deixaram de ser sólidos: a cada semana surge um modelo anunciado como melhor que o anterior, o que gera ansiedade e medo de ficar para trás. Sem um caminho seguro claramente definido pela empresa, cada pessoa improvisa o seu.

Luis Veloso usa a modernidade líquida do filósofo Zygmunt Bauman para explicar o mecanismo. Antes, os processos e as estruturas de uma empresa eram sólidos. Hoje eles escorrem pelos dedos, porque a velocidade de transformação é grande demais para que qualquer estrutura endureça. O reflexo natural disso, nas palavras dele, é gerar ansiedade. E ansiedade em ambiente corporativo se manifesta como o corretor testando por conta própria a ferramenta que viu num story.

Dois números da PagerDuty completam o quadro e explicam por que política escrita não basta. Primeiro: 72% dos profissionais acreditam conhecer IA melhor do que o próprio time de tecnologia da empresa. Segundo: 86% dizem trabalhar em empresas que têm política de IA, mas 81% acreditam que a liderança opera sob um conjunto de regras diferente do resto da companhia.

Uma política que o time considera desatualizada e desigual não é cumprida. É contornada.

Como fazer a IA da empresa ganhar a competição interna?

Entregando a melhor ferramenta, não a mais restrita. Quando a IA homologada pela empresa tem o contexto do negócio e as integrações com os sistemas, migrar para o modelo lançado na semana passada fica mais custoso do que continuar onde está. O colaborador passa a escolher a ferramenta interna por conveniência, não por obediência.

“Estabelecida a governança, traga o seu contexto, e aí a engenharia de contexto, não é mais engenharia de prompt. E o outro ponto é: traga uma estrutura de MCP segura. Porque quando eu tenho as integrações e o contexto, começa a ficar mais custoso ir para a melhor IA que surgiu semana passada do que usar a IA que a empresa está me recomendando. Porque ela vai ser a melhor, porque ela tem o melhor contexto e a melhor integração.”

Luis Veloso, CRO da Morada.ai

Aplicado à operação comercial de uma incorporadora, a assimetria fica evidente quando você lista lado a lado o que cada ferramenta sabe.

Nenhuma dessas linhas é sobre segurança. Todas são sobre utilidade. Um corretor não abandona a ferramenta interna quando ela responde melhor do que a alternativa, e ela responde melhor porque tem acesso ao que a alternativa não tem. É o mecanismo prático por trás da adoção de padrões abertos de integração, tema que detalhamos no post sobre MCP e integração de sistemas em incorporadoras.

Uma estrutura que permite múltiplos modelos tem ainda um efeito secundário: se o colaborador confia que a ferramenta da empresa está sempre atualizada com os melhores modelos disponíveis, ele para de caçar a novidade da semana por conta própria.

A Morada.ai é a plataforma de IA que opera o ciclo comercial de incorporadoras, do primeiro contato ao pós-venda. Nossa tese sobre esse problema é a lógica de sistema operacional: uma camada de IA configurada pela sua estrutura de TI a partir da sua política de governança, alimentada com o contexto da empresa e conectada aos sistemas por integrações governadas. Não é mais um sistema na sua stack. É o lugar governado onde a IA passa a acontecer.

Como montar a governança de IA sem travar a operação comercial?

Em cinco passos, nesta ordem: dar visibilidade antes de bloquear, homologar um modelo padrão, entregar contexto e integrações, conceder graus de liberdade por impacto comprovado e ensinar uma regra de bolso que o corretor consiga aplicar sozinho no meio de um atendimento. A ordem importa mais do que a velocidade.

Passo 1: visibilidade antes de bloqueio

Antes de decidir o que proibir, é preciso saber o que está sendo usado. Existem hoje ferramentas capazes de identificar o primeiro uso de uma IA no dispositivo corporativo. A partir dessa identificação, avalia-se em qual contexto de negócio a ferramenta entrou, quais dados ela processa e qual seria o impacto operacional de bloqueá-la. O bloqueio deixa de ser a regra e passa a ser a exceção reservada a risco alto. Limitação a registrar: essa instrumentação alcança o dispositivo corporativo. Para o corretor parceiro no celular pessoal, o único caminho real é o Passo 3.

Passo 2: homologar um modelo padrão e ensinar boas práticas

Defina qual ferramenta é a oficial, em conta corporativa, com o processamento de dados contratualmente delimitado. E ensine o uso, em vez de só publicar a proibição: treinar o time em boas práticas de uso de IA aplicadas ao setor resolve mais do que uma política nova. Como resume Luis Veloso: “ensinar a pessoa a não enfiar o dedo na tomada, não é assim que faz.” O processo de homologação de uma nova ferramenta precisa ser rápido, porque um processo de três meses garante que ninguém vai esperar por ele.

Passo 3: entregar contexto e integrações

É o passo que resolve o ponto cego do time externo, porque não depende de controlar o dispositivo de ninguém. Depende de a ferramenta da empresa ser boa o suficiente para o corretor querer usá-la. É também o passo mais trabalhoso, e o único que muda o comportamento em vez de tentar contê-lo. Para o desenho prático dessa camada, veja o guia sobre como implementar IA em uma incorporadora.

Passo 4: graus de liberdade por impacto comprovado

Nem todo mundo precisa do mesmo nível de liberdade. A recomendação é dar liberdade ampla no início, propor desafios concretos, medir quem produz resultado e então ampliar a autonomia de quem comprovou impacto. Esse investimento inicial em consumo é o custo de identificar os contribuidores de alto impacto da sua operação.

Na Morada.ai, que trabalhava com IA preditiva antes do ciclo atual de hype, o princípio foi levado ao limite: quatro colaboradores viraram sócios por impacto gerado, e um deles operava dez agentes de IA simultaneamente. O ponto não é copiar o modelo de sociedade. É entender que quem gera impacto desproporcional com IA precisa ser identificado e retido, não contido.

Passo 5: uma regra de bolso que caiba na cabeça do corretor

Ninguém no meio de um plantão de sábado vai consultar uma política de doze páginas. Precisa caber em uma pergunta. A que Luis Veloso propõe vem do imperativo categórico de Kant: se todo mundo na empresa fizer exatamente isso, o resultado é bom? Se a resposta for não, não faça.

Traduzida para o dia a dia comercial, ela vira um teste de dois segundos antes de mandar qualquer coisa para uma IA externa: se todo mundo no time comercial fizesse exatamente isso com esse mesmo tipo de informação, seria aceitável? Subir a base de leads com CPF e renda reprova de imediato. Pedir ajuda para reescrever um texto genérico de apresentação, não.

O que fazer quando descobrir que alguém usou IA sem autorização?

Avaliar antes de punir, com três perguntas: houve boa-fé? gerou impacto? o impacto foi positivo ou negativo? Punir de imediato quem agiu de boa-fé ensina o time a esconder melhor, não a usar melhor. E esconder melhor é o pior cenário possível, porque destrói a visibilidade que é pré-requisito de toda governança.

Má-fé comprovada é outro assunto e comporta a resposta disciplinar de sempre. Mas a maior parte dos casos de Shadow AI numa operação comercial não é má-fé. É alguém tentando entregar mais rápido com a ferramenta que tinha à mão.

O caso descoberto tem um destino melhor do que a advertência: virar entrada no processo de homologação. Se um corretor encontrou uma ferramenta que resolve um gargalo real do atendimento, essa é a informação mais valiosa que a TI vai receber naquela semana. Avalia-se risco e utilidade em paralelo, e o que passar entra oficialmente para todo mundo.

Conclusão: o problema não é o time, é a ausência de um lugar

Shadow AI numa incorporadora não é indisciplina do time comercial. É o sintoma de duas coisas acontecendo ao mesmo tempo: existe demanda real por IA na operação, e não existe um lugar governado onde ela possa acontecer. Os dois se resolvem juntos ou nenhum se resolve.

Isso reposiciona a conversa na diretoria. Descobrir que boa parte do time comercial usa IA por conta própria não é má notícia sobre as pessoas. É a prova mais barata que você vai conseguir de que existe demanda interna por uma camada de inteligência na operação, e de que o esforço já está sendo gasto fora do seu controle, sem retorno mensurável para a empresa.

A resposta certa não é escolher entre inovação e segurança, porque elas não são opostas: a segunda existe para viabilizar a primeira. Ou, na síntese de Luis Veloso no episódio: “você vai pular de paraquedas, pula com segurança, mas não deixa de pular.”

Luis Veloso, CRO da Morada.ai

Empreendedor com experiência em startups, inteligência artificial e mercado imobiliário. Atualmente é CRO da Morada.ai.

Este post foi produzido com auxílio do Claude Code. Quer aprender a fazer o mesmo para o seu negócio? Siga @oluisveloso no Instagram.

Perguntas frequentes sobre Shadow AI em incorporadoras

O que é Shadow AI?

Shadow AI é o uso de ferramentas de inteligência artificial fora da visibilidade e dos mecanismos de governança da empresa. Caracteriza-se quando a organização não sabe qual ferramenta está sendo usada, para qual finalidade, nem quais dados estão sendo enviados a qual fornecedor. É a evolução do conceito de Shadow IT, com exposição de dados corporativos significativamente maior, porque a IA participa da produção de conteúdo, das análises e das decisões.

Um corretor usar o ChatGPT com dados de clientes viola a LGPD?

Pode configurar tratamento de dados pessoais sem base legal adequada e sem controle do controlador, que é a incorporadora. A responsabilidade perante a LGPD é da incorporadora, não do corretor parceiro. A ANPD incluiu inteligência artificial e tecnologias emergentes entre os quatro eixos prioritários de fiscalização do biênio 2026-2027, pela Resolução CD/ANPD nº 30/2025. Para avaliação do caso concreto, consulte assessoria jurídica especializada.

Bloquear ferramentas de IA na rede da empresa resolve o Shadow AI?

Não. O bloqueio funciona no dispositivo corporativo e não alcança celular pessoal, notebook doméstico ou foto de tela. No setor imobiliário o problema é maior, porque parte do time comercial é externa e nunca esteve no dispositivo controlado. Segundo a IBM, 63% das organizações violadas não têm política de governança de IA ou ainda estão desenvolvendo uma: a lacuna é de visibilidade, não de proibição.

Qual é o maior risco de Shadow AI numa incorporadora?

São dois. O primeiro é dado pessoal identificável de comprador (CPF, renda declarada, situação de crédito) parado no histórico de uma conta pessoal de IA que a empresa não controla nem consegue revogar. O segundo é alucinação sobre preço, prazo ou condição de pagamento chegando ao cliente pelo WhatsApp, criando expectativa que o contrato não sustenta e alimentando distratos.

Como uma incorporadora começa uma política de uso de IA?

Comece pelo levantamento do que já está em uso, sem punição, para obter visibilidade real. Depois homologue um modelo padrão em conta corporativa, entregue a esse modelo o contexto do negócio e as integrações com CRM e ERP, defina graus de liberdade por impacto comprovado e ensine uma regra de bolso simples o suficiente para ser aplicada durante um plantão de vendas.

Quer um lugar governado para a IA acontecer na sua operação?

O Diagnóstico Digital da Morada.ai mapeia em 20 minutos quais processos do seu ciclo comercial estão dependendo de improviso, onde os dados de comprador estão circulando sem controle e quais tarefas podem ser assumidas por agentes de IA com governança hoje.

Sem tempo de ler tudo? Peça para a IA resumir ou explicar este artigo pra você:

Explicar no ChatGPTPesquisar no PerplexityResumir no Claude

Quer ver essa inteligência na prática? Fale com a nossa:Falar com a MIA