Shadow IT com IA na saúde: 7 em 10 organizações perdem controle de dados de pacientes

Sete em cada dez organizações de saúde já detectaram ferramentas geradas por IA processando dados de pacientes fora do controle do departamento de TI. O dado, divulgado pelo Help Net Security, descreve um problema de governança que começa antes de qualquer política: ninguém consegue regular o que ainda não sabe que existe.

Shadow IT com IA na saúde: o que o levantamento encontrou

A proporção de 70% se refere a organizações do setor de saúde que identificaram, em algum momento, ferramentas de IA tratando informações de pacientes sem passar pela alçada da TI. Vale ler o número pelo que ele é: um piso. Trata-se de detecções confirmadas, não de estimativas do total em uso. Ou seja, o volume real de ferramentas rodando à margem tende a ser maior do que o apontado pela pesquisa — cada ferramenta descoberta sugere outras que continuam invisíveis.

O fenômeno é uma variação do velho shadow IT, agora turbinado por modelos generativos que qualquer pessoa consegue acionar sem instalar nada, sem chamado de TI e sem contrato com fornecedor.

Assistentes de código: o vetor mais difícil de fechar no Shadow IT com IA

A revisão de código, principal controle de qualidade do desenvolvimento de software, cobre apenas o que é formalmente enviado ao repositório. Ela não enxerga o caminho percorrido antes disso — e é exatamente nesse trecho que o risco se concentra.

Um desenvolvedor que precisa depurar uma consulta costuma colar amostras de dados para o assistente entender o formato. O código que chega ao pull request parece limpo; o conteúdo compartilhado com a ferramenta externa, não. Como o registro do que foi colado raramente existe, a auditoria posterior fica sem material para investigar.

Por que a governança de inventário falha no Shadow IT com IA na saúde

Os controles clássicos do setor — catálogo de aplicações homologadas, avaliação de fornecedores, bloqueio de domínios, classificação de dados — partem todos de uma premissa silenciosa: a organização sabe o que está rodando. Shadow IT inverte essa lógica. O item mais crítico é justamente o que não aparece na lista, e a detecção, quando acontece, costuma ser reativa — depois de um incidente, de uma auditoria ou de uma denúncia interna.

O resultado é um ciclo desconfortável para o setor de saúde: a descoberta de uma ferramenta não gera controle sobre as demais, apenas sobre aquela.

O impacto do Shadow IT com IA na saúde no Brasil

A LGPD classifica dados de saúde como sensíveis e exige base legal específica e tratamento restrito, o que eleva a régua de qualquer ferramenta que toque nesse tipo de informação. Hospitais, operadoras e laboratórios brasileiros costumam operar com times de TI enxutos e pressão crescente por produtividade — combinação que favorece a adoção informal de assistentes.

A notícia não traz recorte brasileiro, então não há como afirmar que a proporção de 70% se replica aqui. O que se pode dizer é que o modelo de governança baseado em inventário formal tem o mesmo ponto cego em qualquer país. Quem já trabalha com disciplina de engenharia de agentes, como no método AI-DLC levado à AWS Marketplace pela SoftwareOne, parte de uma vantagem: o registro do que a IA acessa vira parte do processo, não um subproduto dele.

O que a pesquisa sobre Shadow IT com IA na saúde não responde

O levantamento não detalha quais ferramentas foram encontradas, de quais fornecedores, quantos registros de pacientes foram processados ou se houve vazamento confirmado. Também não explica como as organizações fizeram a detecção — se por monitoramento de rede, auditoria interna ou descoberta acidental. Sem esses dados, não é possível dimensionar a gravidade caso a caso, apenas o tamanho do fenômeno.

O recado central, porém, dispensa detalhamento: enquanto a governança de IA na saúde depender de saber o que já foi encontrado, ela continuará correndo atrás.

Perguntas frequentes sobre Shadow IT com IA na saúde

O que é shadow IT na saúde?

É o uso de ferramentas e serviços de tecnologia — inclusive assistentes de IA generativa — por funcionários fora do conhecimento e do controle do departamento de TI. No setor de saúde, o risco é maior porque essas ferramentas frequentemente processam dados de pacientes.

A revisão de código não resolve o problema?

Resolve apenas em parte. A revisão cobre o que é formalmente enviado ao repositório, mas não o que foi compartilhado com assistentes de IA durante o desenvolvimento, antes do envio.

Como reduzir esse risco na prática?

O caminho apontado pela própria lógica do problema é tornar visível o que hoje é invisível: registrar o que as ferramentas de IA acessam, em vez de depender apenas de inventários formais que só enxergam o que já foi homologado.