Comece grátis

Guia para TI

Apps de shadow AI: o que a TI pode fazer com as ferramentas que a equipe cria com IA

Resposta rápida

Parta do princípio de que esses apps já existem. Encontre-os sem culpar ninguém e depois dê aos criadores um único lugar aprovado para publicar: atrás do login da empresa, com um responsável nomeado para cada app. Uma política de uma página resolve o resto.

Proibir ferramentas de IA quase nunca funciona. Isso só leva os apps para um lugar que você não vê. Esta página explica o que é shadow AI, os riscos reais dos apps internos feitos com IA, como encontrar o que já existe e uma política que você pode copiar.

Última atualização Escrito pelo TeamOnly. Fazemos um dos lugares onde os criadores podem publicar, e dizemos isso quando o assunto aparece.

01Definições

O que é shadow AI?

Três termos que costumam se confundir. Eles descrevem o mesmo hábito em etapas diferentes.

Shadow IT
Softwares e serviços que as pessoas usam no trabalho sem que a TI saiba ou aprove. Uma conta pessoal de compartilhamento de arquivos, uma ferramenta de projetos paga no cartão de alguém.
Shadow AI
O mesmo, com ferramentas de IA. Funcionários colam dados da empresa em assistentes de chat ou recursos de IA que a TI não revisou.
Apps de shadow AI
A parte nova. Funcionários usam Claude Code, Cursor, Lovable, Replit, Bolt ou v0 para criar um app que funciona, publicam e mandam o link para os colegas. O app guarda dados da empresa e continua no ar.

O terceiro é diferente porque dura. Um chat termina em um minuto. Um app tem usuários, dados e um link que continua funcionando, muitas vezes na conta pessoal de quem criou.

Verificado em 25 de outubro de 2026. Fontes: Retool AI Governance Report 2026 (uma pesquisa de fornecedor, junho de 2026), resumo da pesquisa da Red Access no The Hacker News (um artigo de colaborador, maio de 2026).

02Os riscos reais

O que pode dar errado com apps internos feitos com IA?

O código raramente é o problema principal. Onde o app fica, e quem consegue abri-lo, quase sempre é.

  • Links públicos com dados da empresa

    Muitas plataformas de criação de apps publicam na internet aberta, a menos que você pague pela opção privada ou a encontre. Um link que ninguém divulgou ainda acaba compartilhado, e às vezes indexado por buscadores.

  • Senhas compartilhadas

    Uma senha para o app inteiro acaba em conversas de chat e e-mails. O app não sabe quem fez o quê, e quem sai da empresa continua sabendo a senha.

  • Apps em contas pessoais

    O app roda na plataforma em que o criador se cadastrou, cobrado no cartão dele, com o login dele. A empresa não tem acesso de administrador e talvez nem saiba que o app existe.

  • Sem responsável quando alguém sai

    Quando o criador sai, o app continua no ar sem ninguém responsável, ou para quando o cartão dele é cancelado. Nos dois casos, a equipe que dependia dele é a última a saber.

  • Nenhuma lista do que existe

    Não dá para revisar, corrigir ou desativar um app que você não conhece. Sem uma lista, todos esses riscos ficam invisíveis.

  • Segredos no código, bancos de dados abertos

    Às vezes as ferramentas de IA escrevem chaves de API em código que roda no navegador, onde qualquer pessoa que abre o app consegue ler. Um banco de dados hospedado com a segurança em nível de linha (RLS) desligada pode ser lido sem passar pelo app.

03Passo a passo

Como encontro os apps que já existem?

Nenhuma ferramenta sozinha encontra todos. Estes passos, juntos, encontram a maioria em uma tarde.

  1. Pergunte, sem culpar ninguém

    Mande uma mensagem curta: “Se você criou com IA uma ferramenta que os colegas usam, conte para a gente. Nada vai ser desligado, queremos ajudar você a manter tudo funcionando com segurança.” Os criadores costumam gostar de alguém ter perguntado.

  2. Confira relatórios de despesas e faturas de cartão

    Procure assinaturas de Lovable, Replit, Bolt, Vercel, Netlify, Supabase, Cursor e Claude. Uma plataforma de criação de apps num relatório de despesas quase sempre significa um app em algum lugar.

  3. Confira onde as pessoas entraram com a conta de trabalho

    O Google Workspace e o Microsoft Entra listam os apps de terceiros que as pessoas conectaram com a conta de trabalho, e os logs de login mostram quais elas usam. As plataformas de criação de apps aparecem ali quando alguém se cadastra com “Entrar com o Google” ou com a Microsoft.

  4. Procure endereços de apps

    Pesquise nos logs de DNS ou do proxy web, e no chat da empresa, endereços como *.lovable.app, *.replit.app, *.vercel.app, *.netlify.app e *.pages.dev. Links no chat costumam ser o caminho mais rápido até os apps que as pessoas realmente usam.

  5. Confira os inventários de navegadores e dispositivos, se tiver

    Se você gerencia navegadores ou notebooks, o inventário mostra extensões de IA e apps instalados como Cursor ou Claude. Isso diz quem está criando, não o que foi criado, então depois pergunte.

  6. Anote tudo

    Uma linha por app: nome, responsável, onde está hospedado, que dados guarda, quem usa. Essa planilha é seu primeiro inventário e mostra quais apps migrar primeiro.

04Copie

Uma política de vibe coding para adotar

Curta o bastante para as pessoas lerem. Troque as partes entre [colchetes] e envie.

Política: ferramentas criadas com IA

  1. O que ela cobre. Qualquer app, script ou ferramenta criada com ajuda de IA (Claude Code, Cursor, Lovable, Replit, Bolt, v0 ou similares) usada por alguém além de quem criou.
  2. Criar é permitido. Qualquer pessoa pode criar ferramentas para o próprio trabalho. Você não precisa de permissão para testar uma ideia.
  3. Onde os apps ficam. Apps usados pelos colegas são publicados em [nosso host aprovado]. Não em conta pessoal, e não em hospedagem pública.
  4. Login primeiro. Todo app pede uma conta da empresa antes de mostrar qualquer tela ou dado. Nada de senhas compartilhadas nem links públicos.
  5. Dados. Dados internos de trabalho podem. Dados pessoais de clientes, dados de cartão de pagamento, dados de saúde e senhas de outros sistemas precisam de uma conversa com a TI antes. Dados da empresa nunca vão para um app em conta pessoal.
  6. Chaves e senhas. Chaves de API e senhas ficam nas configurações de segredos do host. Nunca no código, e nunca no chat.
  7. Todo app tem um responsável. O responsável mantém o app funcionando e decide quem pode abrir: a empresa toda ou uma lista de nomes.
  8. Quando alguém sai. Antes de alguém sair ou mudar de função, os apps dessa pessoa passam para um novo responsável. Um app que ninguém assume é desligado.
  9. Avise, sem culpa. Se você encontrar um app com dados da empresa que qualquer pessoa consegue abrir, avise [contato da TI]. Ninguém se complica por avisar.
  10. Revisão. A TI revisa a lista de apps a cada [trimestre]. Apps que ninguém usou em [90 dias] podem ser apagados depois de falar com o responsável.

Quer em texto simples? A versão em Markdown desta página tem a política pronta para colar (em inglês).

Por que não simplesmente proibir?

As pessoas criam essas ferramentas porque resolvem problemas reais. Uma proibição não elimina o problema, ela leva a ferramenta para uma conta pessoal. Um único lugar aprovado para publicar dá a você as mesmas ferramentas, atrás do seu login, numa lista que você consegue ler.

05Um lugar aprovado

Dê aos criadores um lugar seguro para publicar

A política funciona quando o host aprovado faz a parte difícil, assim os criadores não têm como errar. É isso que o TeamOnly faz.

Login antes de qualquer código do app rodar
Cada requisição a cada app é verificada primeiro. Quem não entrou nunca chega ao app. Não existe opção para tornar um app público.
Só contas da empresa
Os colegas entram com o Google de trabalho, a Microsoft de trabalho ou um código enviado ao e-mail corporativo. Só os seus domínios entram, e contas pessoais são barradas.
Todos os apps numa lista
O painel mostra cada app da sua empresa, o responsável, quem pode abrir e cada publicação. O acesso é a empresa toda ou uma lista de nomes.
Um novo responsável quando alguém sai
Os administradores passam um app para um novo responsável no painel. Desative a conta de trabalho de alguém e os novos logins param. Os administradores escolhem quanto tempo dura o login nos apps, de 8 horas a 30 dias.
Sair de todos os lugares
Um administrador pode desconectar um criador de todos os terminais e do painel de uma vez.
Apps separados
Cada app tem seu próprio banco de dados, armazenamento de arquivos e segredos, e o cookie de sessão fica restrito ao próprio endereço. As chaves são definidas com npx teamonly secrets set, fora do código.

O Builder custa $19 por mês para um criador e 3 apps. O Team custa $249 por mês com apps e criadores ilimitados. Quem só usa os apps não paga. Preços.

O que ele não faz: o TeamOnly hospeda apps web internos com front-end em React e uma API em JavaScript ou TypeScript. Não hospeda sites públicos nem apps em Python, e hoje não temos certificação SOC 2 nem ISO. Detalhes de segurança.

TeamOnly para TIComeçar

06FAQ

Perguntas frequentes

Todas as perguntas e respostas

O que é shadow AI?

Shadow AI (IA nas sombras) é quando funcionários usam ferramentas de IA no trabalho sem que a TI saiba ou aprove, muitas vezes com dados da empresa. Começou com os assistentes de chat. Agora inclui também apps funcionando, que os funcionários criam com IA e compartilham com os colegas.

Qual é a diferença entre shadow IT e shadow AI?

Shadow IT é qualquer software ou serviço que as pessoas usam no trabalho fora da visão da TI, como uma conta de compartilhamento de arquivos ou uma ferramenta de projetos paga com cartão pessoal. Shadow AI é a mesma coisa com ferramentas de IA. Os apps de shadow AI vão um passo além: a pessoa não só usa uma ferramenta, ela criou uma, e essa ferramenta guarda dados da empresa.

Devemos proibir o vibe coding?

Uma proibição quase nunca elimina a necessidade. As pessoas criam essas ferramentas porque resolvem problemas reais, então a proibição leva tudo para contas pessoais onde você não vê. A maioria das empresas se sai melhor com uma política curta e um único lugar aprovado para publicar.

Como encontramos os apps feitos com IA que as pessoas já criaram?

Pergunte, sem culpar ninguém. Depois confira os relatórios de despesas em busca de assinaturas de Lovable, Replit, Vercel e similares, a lista de apps de terceiros que as pessoas conectaram com a conta de trabalho no Google Workspace ou no Microsoft Entra, e os logs de DNS ou do chat em busca de endereços como *.lovable.app ou *.vercel.app.

O que uma política de vibe coding deve incluir?

O que as pessoas podem criar, onde os apps devem ser publicados, que todo app exige login da empresa, quais dados são permitidos, onde ficam chaves e senhas, quem é o responsável por cada app e o que acontece quando essa pessoa sai. A política desta página cabe em uma página e pode ser copiada como está.

Apps feitos com IA são um risco de segurança?

Em ferramentas internas, o maior risco costuma ser onde o app fica, não o código: um link público, uma senha compartilhada, uma conta pessoal, chaves escritas no código ou ninguém responsável depois que o criador sai. Cada um desses pontos pode ser resolvido pelo lugar onde o app é publicado.

Continue lendo

Acesso antecipado

Dê aos seus criadores um único lugar aprovado para publicar.

Todos os planos já estão abertos, e os criadores podem testar grátis por 14 dias sem cartão. Sua empresa fica pronta na hora, e os criadores podem publicar no mesmo dia.

Teste grátis por 14 diasOu assine agora

Sem cartão no teste. Depois, a partir de $19 por mês, cancele quando quiser.

Ainda não? Receba novidades

Use seu e-mail corporativo. Escrevemos pouco, e só quando há novidade que valha a pena.

Dúvidas vão para hello@teamonly.dev, e uma pessoa responde.