Pax8: dois terços das pequenas empresas com IA criam suas próprias ferramentas sem auditoria

As pequenas e médias empresas deixaram de apenas comprar IA pronta e começaram a montar as próprias soluções. Segundo a pesquisa da Pax8, publicada na segunda-feira, 12 de outubro, dois terços das pequenas empresas que já usam IA criam ferramentas próprias. Em todos os mercados analisados, a maioria delas faz isso sem uma revisão formal e documentada. No total, a pesquisa ouviu 1150 respondentes.

A Pax8 é um marketplace de Denver. Ela vende software em nuvem e de IA para pequenas empresas por meio de provedores de TI, os chamados MSPs. Esses prestadores de serviço costumam funcionar como o departamento de TI terceirizado das empresas menores. Por isso, a Pax8 enxerga o mercado por um ângulo incomum: os números refletem não só a percepção dos donos de negócios, mas também o que acontece na base de clientes de seus parceiros.

O que exatamente elas constroem

Na parte disponível do material, não há uma definição precisa de "ferramenta própria". Em pesquisas desse tipo, o termo costuma abranger vários níveis de complexidade:

• assistentes personalizados baseados em modelos prontos, ajustados para tarefas de um departamento;
• automações em plataformas no-code que conectam e-mail, CRM e documentos;
• scripts e pequenos aplicativos que fazem chamadas a APIs de modelos;
• agentes simples, que executam cadeias de ações.

A barreira de entrada é baixa. Para montar uma ferramenta assim, basta um entusiasta no escritório e uma assinatura de serviço. Isso ajuda a explicar a escala: hoje é mais fácil passar da compra para a construção própria do que era um ou dois anos atrás.

IA invisível e sem papelada

O principal achado está em outro ponto. Em todos os mercados pesquisados, a maioria das empresas não faz revisão formal e documentada dos seus desenvolvimentos de IA. Numa grande corporação, isso não acontece: lá existem equipe de segurança, advogados e comitê de riscos. Numa empresa de 20 a 50 pessoas, essa cadeia costuma não existir. Quem decide é quem consegue montar um protótipo funcional.

Os riscos são bem concretos:

• dados de clientes entram na ferramenta caseira, e ninguém registra para onde eles vão;
• chaves de API e permissões de acesso são concedidas no esquema "o importante é funcionar";
• não fica claro quem responde pelos erros do modelo e pela manutenção da ferramenta se o autor sair da empresa;
• não há registro de alterações, o que dificulta investigar uma falha.

É esse conjunto que costuma ser chamado de shadow AI (IA paralela). Ela cresce onde a ferramenta é útil e a aprovação é vista como burocracia desnecessária.

Principais dados da pesquisa

• Autor: Pax8, Denver, marketplace de IA e software em nuvem para pequenas empresas.
• Amostra: 1150 respondentes.
• Proporção das pequenas empresas que usam IA e constroem as próprias ferramentas: cerca de dois terços.
• Revisão formal e documentada: ausente na maioria das empresas em todos os mercados analisados.
• Data de publicação: 12 de outubro de 2026.

A leitura exige uma ressalva. A Pax8 ganha dinheiro vendendo software e serviços por meio de provedores de TI, e o tema do gerenciamento de riscos se encaixa diretamente em seus interesses comerciais. Isso não invalida os dados, mas pede cautela ao avaliar a dimensão do fenômeno. No trecho disponível, não há detalhamento por país, porte das empresas nem a redação das perguntas, e disso depende o quanto o número de dois terços reflete a realidade.

O que donos de empresas e MSPs podem fazer

Para o dono de uma pequena empresa, o conjunto mínimo de medidas não exige um departamento de segurança. Basta manter um registro: quais ferramentas de IA foram construídas, por quem, com quais dados e com quais acessos. Uma página por ferramenta é suficiente. Depois, vale definir as categorias de dados que não podem ser enviadas aos modelos e nomear um responsável por cada ferramenta.

Para os MSPs, há a oportunidade de oferecer aos clientes um serviço de inventário e auditoria básica das soluções caseiras, antes que elas se tornem uma infraestrutura crítica. Para quem constrói por conta própria, a regra é uma só: se a ferramenta lida com dados de clientes ou toma decisões sem participação humana, ela merece ao menos uma revisão escrita curta antes de entrar em operação.