Shadow AI não é ataque. É atalho.
No dia 21 de setembro de 2026, alguém da equipe do Johns Hopkins Bayview Medical Center, em Baltimore, adicionou uma planilha interna do hospital numa ferramenta pública de inteligência artificial. Nela estavam os dados de 3.182 pacientes internados entre maio e setembro.
Nomes, datas de internação e de tratamento, números de prontuário e de conta, setor de atendimento, medicações administradas e o nome dos médicos.
Foi no meio de uma revisão interna e o hospital descobriu no mesmo dia. As cartas aos pacientes começaram a sair em 22 de outubro, com 12 meses de monitoramento de crédito e uma central telefônica para dúvidas, segundo a Becker’s Hospital Review.
O comunicado não diz qual ferramenta foi usada. Não faz diferença. Podia ser qualquer uma das que se abre numa aba de um navegador. O roteiro seria o mesmo.
A resposta teve duas exclusões. A pedido do hospital, o funcionário apagou o prompt, a conversa e o arquivo do histórico da ferramenta. O hospital solicitou à empresa dona da IA que apagasse os dados do lado de lá. Eficiente? Talvez, mas depois que os dados vazam, ninguém consegue garantir para onde eles foram.
A primeira exclusão o hospital consegue ver. A segunda acontece nos servidores de outra empresa, longe de quem pediu. Até 27 de outubro, a Johns Hopkins não tinha dito se a empresa confirmou a exclusão.
Até aqui, parece uma história única e de um hospital sem regra. Não é.
Em maio de 2025, a Johns Hopkins publicou diretrizes que proíbem colocar dados clínicos em ferramentas de IA generativa de terceiros não aprovadas. E em dezembro, liberou para toda a instituição o HopGPT, uma plataforma própria com acesso a modelos como ChatGPT, Claude e Llama. Segundo a TI da universidade, o ambiente é aprovado para dados de pacientes.
Isso tem nome: Shadow AI, a IA usada no trabalho sem o conhecimento ou a aprovação da instituição. Ninguém invadiu nenhum sistema. Alguém tentou acelerar o serviço com o que estava à mão.
Shadow AI não é ataque. É atalho.
Também não é um caso isolado. Em março de 2026, a Health New Zealand, o sistema público de saúde da Nova Zelândia, mandou um memorando às equipes de saúde mental e dependência química do distrito de Rotorua Lakes. Havia sinais de que notas clínicas estavam sendo redigidas em ferramentas gratuitas de IA.
O memorando proibiu o uso clínico dessas ferramentas, inclusive com dados anonimizados, sob risco de processo disciplinar.
Em maio de 2023, o South Metropolitan Health Service, que reúne cinco hospitais em Perth, na Austrália, mandou a equipe parar imediatamente de usar chatbots para escrever notas médicas. Notas feitas assim tinham ido parar no prontuário. Na época, Mark Duncan-Smith, presidente da Associação Médica Australiana no estado, atribuiu o caso a um único médico fazendo um experimento e apontou que o hospital não tinha protocolo nenhum.
Perth não tinha regra. Baltimore tinha regra e ferramenta própria. O atalho apareceu nos dois.
O Cost of a Data Breach 2026, relatório da IBM com o Ponemon Institute, analisou 602 organizações que sofreram vazamento em 16 países. A shadow AI esteve envolvida em 43% dos incidentes de segurança. Um ano antes, eram 20%.
O custo médio desses incidentes chegou a US$ 5,39 milhões, acima da média geral de US$ 4,99 milhões. Vale a ressalva: a amostra só inclui quem já teve vazamento.
Na saúde, a Netskope, empresa de segurança digital, analisou o tráfego de parte dos seus clientes do setor entre dezembro de 2024 e dezembro de 2025. Havia dado regulado, como prontuário e informação clínica, em 89% das violações de política ligadas à IA generativa. Na média de todos os setores, 31%.
Por que as pessoas fazem isso? Talvez para trabalhar mais rápido.
Numa pesquisa da Wolters Kluwer Health com 518 profissionais e gestores de hospitais americanos, em dezembro de 2025, 17% admitiram usar IA não autorizada. Entre os profissionais assistenciais que usaram, 45% apontaram a velocidade como motivo principal. A pesquisa foi encomendada por uma empresa que vende soluções clínicas com IA.
Depois casos como esses, a resposta padrão é reforçar o treinamento. A Johns Hopkins anunciou exatamente isso. Só que o mesmo relatório da IBM mostra o movimento contrário: a fatia de organizações que treinavam a equipe sobre riscos de IA caiu de 36% para 30%.
O treinamento precisa começar por uma definição que parece óbvia e não é: o que é dado sensível. Num hospital, quase tudo. Nome, data de internação, setor, remédio.
Cada item, sozinho, parece inofensivo. Juntos numa planilha, contam a história de alguém. Uma lista de medicações pode revelar o diagnóstico sem nunca citá-lo.
O segundo ponto é menos confortável para quem administra hospitais. Ensinar a não usar não basta se não existe o que usar. Quem tem uma planilha enorme e um prazo curto vai procurar ajuda. Se o caminho aprovado não existe ou é mais lento que a aba aberta no navegador, o atalho vence.
Cobrar ferramenta aprovada também é parte do treinamento. Do lado de quem treina.
No Brasil, a régua é mais curta. A LGPD classifica dado de saúde como dado pessoal sensível. Quando um incidente pode causar risco ou dano relevante, o controlador tem que comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os próprios pacientes. A Resolução CD/ANPD nº 15/2024 fixou o prazo em três dias úteis.
A Johns Hopkins mandou as cartas 31 dias depois de descobrir o problema, dentro do que a lei americana permite. Aqui, seriam três dias úteis.
Para a medicina, há ainda a Resolução CFM nº 2.454/2026, em vigor desde 26 de agosto. Ela põe nas mãos do diretor técnico a fiscalização e as diretrizes de segurança, ética e transparência no uso de IA na instituição. Shadow AI deixou de ser assunto só da TI.
Na disciplina de Saúde Digital, que dou para o oitavo semestre de Medicina na Universidade de Passo Fundo (UPF), a aula de IA generativa tem uma regra simples: dado sensível não entra em IA. Nem o do paciente, nem o seu. Muito menos em ferramenta gratuita.
Ensino também a anonimizar, ou seja, tirar tudo o que permita chegar à pessoa antes de pedir ajuda à máquina.
A Nova Zelândia proibiu essas ferramentas até com dado anonimizado. A anonimização protege o paciente quando quem anonimiza sabe fazer. A proibição protege o hospital quando ninguém sabe quem sabe.
A Johns Hopkins fez quase tudo o que se recomenda. Escreveu a regra, ofereceu a ferramenta, descobriu no mesmo dia e avisou os pacientes. Ainda assim, a planilha saiu por uma aba aberta.
Apagar a conversa leva um clique. O hábito não se apaga tão facilmente.
Francisco Madalosso de Bittencourt é cirurgião plástico, mestre em computação aplicada, professor de Saúde Digital na Universidade de Passo Fundo (UPF), membro da Sociedade Brasileira de Cirurgia Plástica (SBCP) e cofundador da DonnaSafe.
