O shadow AI já custa US$ 670 mil por vazamento, e agora ele negocia

Na terça-feira, 8 de setembro de 2026, a Meta lançou o Muse, um agente pessoal que não responde perguntas: executa tarefas. Ele abre um navegador, preenche formulário, marca consulta, compra passagem e, nas palavras do próprio anúncio, negocia em nome da pessoa. Continua trabalhando com o aplicativo fechado. Está disponível nos Estados Unidos, no site, no iOS, no Android e no WhatsApp, com plano gratuito medido por uso e assinaturas de US$ 20 e US$ 100 por mês.

A notícia não é o produto. É que ele chega ao celular de um funcionário antes de a maioria das empresas ter escrito uma linha sobre o assunto: 63% das 600 organizações estudadas pela IBM não têm nenhuma política de governança de IA, segundo o Cost of a Data Breach 2025. O lançamento de um agente de consumo capaz de agir sozinho transforma essa lacuna, que até agora custava constrangimento, em exposição com preço definido.

Os números

• US$ 670 mil é o quanto um nível alto de shadow AI — funcionário usando ferramenta de IA não aprovada — adiciona ao custo médio global de um vazamento de dados. Virou um dos três fatores mais caros do relatório, desbancando a escassez de mão de obra em segurança (IBM, Cost of a Data Breach 2025, 600 organizações pesquisadas pelo Ponemon Institute).
• 63% das organizações não têm política alguma para governar uso de IA ou impedir shadow AI (IBM, 2025).
• 97% das organizações que sofreram incidente de segurança envolvendo IA admitem que não tinham controle de acesso adequado a essas ferramentas (IBM, 2025).
• 13% já sofreram ataque que atingiu seus modelos ou aplicações de IA (IBM, 2025).
• Mais de 40% dos projetos de IA agêntica devem ser cancelados até o fim de 2027, por custo crescente, valor de negócio indefinido ou controle de risco insuficiente (Gartner, previsão publicada em junho de 2025).

Um agente não entrega texto, entrega ato consumado

A evolução prática da IA aplicada passa por três camadas que se sobrepõem em vez de se substituir. Predictive prevê e classifica: churn, fraude, score de crédito. Generative cria: texto, código, imagem, síntese. Agentic executa: tarefas de vários passos, com ferramentas, sem alguém confirmando cada etapa.

A diferença prática entre as duas últimas é jurídica antes de ser técnica. O produto de uma conversa com um chatbot é um rascunho que alguém revisa antes de usar. O produto de uma conversa com o Muse é uma compra feita, um formulário enviado, um e-mail que saiu. Não existe rascunho para revisar depois; existe ato para desfazer.

Ou seja: até agora, o risco de um funcionário usar IA por conta própria era o dado que ele colava na janela. Agora o risco inclui o que o agente faz com aquele dado enquanto ninguém olha.

A segurança do Muse protege a pessoa da Meta, não a empresa da pessoa

Vale reconhecer que a arquitetura anunciada é séria. O Muse roda em máquina virtual dedicada, que guarda o agente e os dados da pessoa. Um segundo agente, chamado Sentinel, aprova toda ação destinada à internet. O sistema não tem visibilidade de senha nem de meio de pagamento. Ações sensíveis, como enviar e-mail, exigem aprovação. O usuário recebe trilha de auditoria completa, pode sair do treinamento dos modelos e, no futuro, terá uma versão com chave própria de criptografia — que, segundo a Meta, nem a Meta consegue abrir.

Leia a lista de novo prestando atenção em quem é protegido de quem. Todos os controles miram a relação entre o usuário e a Meta: publicidade, treinamento, senha, criptografia. Nenhum deles responde à pergunta que interessa a um diretor jurídico: o dado da empresa devia estar naquela máquina virtual? A trilha de auditoria vai para o usuário, não para o empregador. A aprovação de ação sensível é dada pelo usuário, não pela política da casa.

Não é falha de projeto. É que o produto foi desenhado para uma pessoa, e vai ser usado dentro de empresas que não pediram nada.

A IBM já colocou preço na lacuna

O número de US$ 670 mil é a parte que muda a conversa no comitê. Ele não descreve um risco hipotético: é o adicional medido no custo médio de vazamento das organizações com uso intenso de ferramentas de IA não aprovadas. No mesmo levantamento, o custo médio global de um vazamento caiu de US$ 4,88 milhões para US$ 4,44 milhões, e o tempo médio para identificar e conter um incidente chegou a 241 dias, o menor em nove anos.

Ou seja: as empresas melhoraram em quase tudo, e pioraram exatamente onde a IA nova entrou. Os 97% sem controle de acesso adequado explicam por quê. Não se governa o que não se inventariou.

O agente corporativo trava, o pessoal já funciona

Aqui está a assimetria que define o problema. A Gartner prevê que mais de 40% dos projetos de IA agêntica sejam cancelados até o fim de 2027 — custo, valor incerto, controle de risco insuficiente. Enquanto o projeto de agente da sua empresa passa por comitê, prova de conceito e revisão de segurança, o agente pessoal do seu funcionário foi instalado ontem, funciona hoje e cobra US$ 20 por mês no cartão dele.

A tentação é proibir. O problema é que proibição sem inventário produz exatamente o cenário que a IBM mediu: uso que continua, agora invisível. A alternativa é credenciar — dizer qual ferramenta é aceita, para qual tipo de dado, com qual registro — e isso exige uma decisão que ninguém pode delegar ao time de segurança sozinho.

Sinais e impactos

Para CEOs e conselhos. A pergunta de pauta não é se a empresa vai usar agentes. É se existe uma linha escrita sobre o assunto, quem aprova exceção e o que acontece quando um agente pessoal executa uma ação com efeito contratual. Estar entre os 63% sem política deixou de ser atraso e passou a ser número em relatório de risco.

Para C-levels e diretores. Antes de política, inventário: qual ferramenta de IA está em uso de fato, em conta pessoal ou corporativa, com qual dado. Os 97% sem controle de acesso adequado são a consequência de pular essa etapa. E vale distinguir uso de rascunho de uso de execução — são riscos de natureza diferente e não cabem na mesma regra.

Para donos de pequenas e médias. O Muse ainda não chegou ao Brasil. Essa é a única vantagem estrutural que uma empresa menor tem nessa história: tempo para escrever a regra antes de o produto aparecer no celular da equipe, em vez de depois. Uma página basta.

Sua empresa sabe o que os agentes dela já estão fazendo?

O retrato é este: um agente de consumo capaz de agir por conta própria acabou de entrar em circulação, protegido por uma arquitetura que cuida da privacidade do usuário e é silenciosa sobre a do empregador. Do outro lado, quase dois terços das empresas não têm regra escrita, quase todas as que tiveram incidente não tinham controle de acesso, e o projeto corporativo de agente tem chance estatística relevante de ser cancelado antes de entregar.

Fechar essa distância não é tarefa de comitê de tecnologia. Exige que quem decide entenda a diferença entre uma IA que sugere e uma que executa, e saiba escrever a regra que separa as duas. É esse repertório que a Masterclass de IA da StartSe foi montada para dar a quem já tem a decisão na mão.