Shadow AI no trabalho: ChatGPT, Copilot e ferramentas grátis — política prática, RGPD e AI Act em Portugal

Os colaboradores adoptam ChatGPT, Claude, Gemini, Copilot e extensões de browser mais depressa do que a IT consegue aprovar. Esse intervalo é a shadow AI: IA generativa usada no trabalho sem contrato, sem classificação de dados e muitas vezes sem a direcção saber. Em Portugal, o INE indica que a maioria das organizações ainda não tem competências internas adequadas; estudos de campo descrevem adopção dispersa e caótica. Proibir ferramentas não funciona; governação, contas empresariais e uma política de uma página funcionam. Este guia destina-se a CEO, RH, jurídico, IT e líderes de engenharia que precisam de regras práticas compatíveis com o RGPD e o AI Act. Complementa segurança de IA enterprise e governação de dados para IA. A Damascode ajuda empresas europeias a desenhar stacks aprovados, integrações e políticas via consultoria IT e nearshore.

Índice

• Porque a shadow AI é o default em 2026
• Contexto Portugal e UE (INE, EY, AESE/IST)
• Shadow AI vs shadow IT
• Matriz de risco: ferramenta × dados × consequência
• RGPD ao colar num LLM
• Obrigações do AI Act que já se aplicam
• Ferramentas aprovadas: ChatGPT Business, Copilot, Claude Team, Gemini Workspace
• Política de utilização de IA (modelo de uma página)
• Rollout em 30 dias: IT, RH e comunicação
• Quando passar de chat SaaS a RAG ou agentes à medida
• Monitorização e incidentes (incl. prazos CNPD)
• FAQ
• Referências

Porque a shadow AI é o default em 2026

A IA generativa é a primeira tecnologia enterprise que não exige procurement para começar. Conta pessoal, tier grátis e folha de cliente chegam. Os ganhos são imediatos: emails, actas, propostas, código, anúncios de emprego.

O modo de falha não é malícia. É tratamento invisível de dados:

• PII de clientes
• Preços e contratos não publicados
• CVs e avaliações de desempenho
• Código-fonte e chaves API
• Dados de saúde ou financeiros em anexos

Sem contas enterprise, a organização não impõe retenção, opt-out de treino, SSO, logs de auditoria nem resposta a incidentes. A segurança descobre o uso após fugas, perguntas de clientes ou processos CNPD.

Trate a shadow AI como problema de governação com fix técnico, não de disciplina por proibição.

Contexto Portugal e UE (INE, EY, AESE/IST)

• INE (2025): uso de IA nas empresas portuguesas 11%; falta de competências (74%) e incerteza legal (~57%) entre barreiras; entre adoptantes, geração texto/código (~46%) e análise de linguagem (~59%).
• EY AI Barometer (2025): colaboradores querem mais formação; ~24% em Portugal consideram formação adequada.
• AESE/IST (~81 organizações): compromisso da gestão de topo, mas papéis IA dedicados raros; adopção pessoa a pessoa; qualidade de dados bloqueia casos avançados; segurança da informação filtra projectos.

Política e ferramentas aprovadas atacam competências, clareza legal e gates de segurança sem travar produtividade legítima.

Shadow AI vs shadow IT

A shadow AI acrescenta risco de comportamento do modelo (alucinação, texto jurídico errado, linguagem enviesada em RH).

Matriz de risco: ferramenta × dados × consequência

Regra: se não enviaria por Gmail pessoal, não cole num LLM não aprovado.

RGPD ao colar num LLM

Usar assistente com dados pessoais é tratamento RGPD. Programa mínimo:

1. Base legal — contrato, interesse legítimo (teste de ponderação) ou consentimento.
2. Minimização — redigir identificadores; exemplos sintéticos.
3. Subcontratante — vendor enterprise com DPA; continua controlador.
4. Transferências — subcontratantes e SCCs.
5. Transparência — aviso de privacidade e política interna.
6. Direitos — procedimentos para pedidos de titulares.
7. AIPD — quando tratamento sistemático ou alto risco (RH, monitorização).

Autoridade em Portugal: CNPD. Art. 33 — notificação de violação (72h quando houver risco para direitos).

Não constitui aconselhamento jurídico.

Obrigações do AI Act que já se aplicam

Regulamento (UE) 2024/1689 aplicável directamente. Marcos 2026 relevantes:

Shadow AI viola transparência por definição quando clientes não sabem que um chatbot respondeu. Centralizar em ferramentas aprovadas permite divulgação, logs e gestão de fornecedores.

Ver checklist AI Act e IA no recrutamento.

Ferramentas aprovadas

Critérios para PME portuguesas:

Copilot herda permissões SharePoint — audite partilhas antes de activar.

Nenhuma licença substitui integração com ERP/Primavera ou RAG com permissões — isso é engenharia.

Política de utilização de IA (modelo)

1. Âmbito

Colaboradores e prestadores que usem IA para tarefas da empresa.

2. Princípio

Pode usar IA para trabalhar mais depressa. Responsabilidade pelo resultado é sempre humana.

3. Ferramentas aprovadas

Só: [lista]. Novas ferramentas via [contacto].

4. Nunca colar em IA não aprovada

Dados pessoais, credenciais, contratos não públicos, dados especiais, repositórios proprietários completos (salvo ferramenta aprovada para código).

5. Sempre

Verificar factos; rever antes de enviar externamente; divulgar IA quando exigido; contas da empresa apenas.

6. Decisões sobre pessoas

IA prepara; humanos decidem contratação, despedimento, promoção. Ver recrutamento.

7. Incidentes

Notificar [DPO/segurança] no mesmo dia.

8. Formação

Registar sessões de literacia (Art. 4 AI Act). Rever a cada seis meses.

Rollout em 30 dias

Quando passar a RAG ou agentes à medida

• Respostas com docs internos e permissões
• Fluxos CRM + ERP + ticketing com escrita
• Trilhos de auditoria para clientes regulados
• Custo Copilot por lugar > pipeline governado
• IA embebida no produto para clientes (deployer AI Act)

Caminho: classificar dados → índice com ACL → gateway de tools com aprovação humana → monitorizar custo e qualidade.

Monitorização e incidentes

Passos de incidente: conter → avaliar dados pessoais → CNPD se necessário → notificar clientes → post-mortem.

FAQ

É ilegal usar ChatGPT no trabalho?
Não. Torna-se problema de conformidade com dados pessoais ou decisões reguladas.

Bloquear todos os sites de IA?
Empurra uso para dispositivos pessoais. Prefira caminhos aprovados.

Copilot vs ChatGPT para 50 pessoas?
M365 ordenado → Copilot natural. Stacks mistos → avaliar Enterprise/Claude. Piloto duas semanas.

Relação com prompt injection?
Política evita dados em ferramentas erradas; engenharia protege o que constrói.

Referências

• INE, EY, AESE/IST (2025)
• Regulamentos (UE) 2024/1689 e 2026/1744
• CNPD — cnpd.pt
• Damascode: AI Act, recrutamento