Uma em cada cinco ferramentas de IA que catalogamos deixou de existir

Achado 1 — a taxa de mortalidade é de uma em cada cinco

De 4.991 ferramentas que catalogamos e cujo estado conseguimos verificar, 1.027 não respondem mais: domínio morto, estacionado, 404 ou DNS que não resolve. São 20,6% — uma em cada cinco.

O número não é sobre startups que fecharam: é sobre endereços que um funcionário poderia ter aberto no navegador e que hoje não existem. Para quem construiu rotina em cima de uma delas, o fim não veio com aviso.

Achado 2 — código e produtividade somem quase três vezes mais que plataformas

A taxa varia muito por categoria, e a variação tem lógica. As categorias com mais mortalidade são as de menor barreira de entrada: uma ferramenta de produtividade ou um assistente de código podem ser lançados por uma pessoa em um fim de semana.

As que resistem exigem infraestrutura cara e contínua — provedores de modelo e plataformas de orquestração não somem porque alguém perdeu o interesse.

Achado 3 — as ferramentas de maior risco são justamente as que não somem

Este é o achado que mais contraria a intuição, e o de maior consequência prática para quem decide política de uso de IA.

A leitura honesta é que risco crítico se concentra em categorias dominadas por operações estabelecidas — clonagem de voz, síntese de vídeo, agentes autônomos e modelos de linguagem de grande porte —, enquanto a cauda longa que some é feita de ferramentas de risco moderado. Não afirmamos que ser arriscada torna uma ferramenta durável; afirmamos que, no nosso catálogo, as arriscadas são as que ficam.

A consequência é direta: adiar decisão sobre as ferramentas de maior risco na expectativa de que o assunto passe é a pior aposta possível. O que passa é a cauda longa de risco moderado. O que fica é exatamente o que exige política escrita.

Achado 4 — praticamente toda ferramenta de IA em uso é estrangeira

Entre as 3.607 ferramentas ativas com país de origem identificado, 16 são brasileiras. As outras 3.591 — 99,6% — têm sede no exterior, distribuídas por 79 países.

Para uma empresa brasileira, isso tem uma consequência jurídica que costuma passar despercebida: se há dado pessoal envolvido, praticamente toda adoção de IA é uma transferência internacional de dados, sujeita ao art. 33 da LGPD.

E o prazo já venceu. A Resolução CD/ANPD n.º 19/2024 aprovou as cláusulas-padrão contratuais em 23 de agosto de 2024 e deu doze meses de transição, encerrados em 23 de agosto de 2025. Ver o guia sobre LGPD e ferramentas de IA.

O que estes números mudam na prática

• Inventário não é foto, é filme. Uma lista de ferramentas de IA levantada há um ano tem, pela nossa taxa, cerca de um quinto de entradas que já não existem — e não contém nada do que entrou desde então.
• Dependência operacional é risco mensurável. A pergunta “o que acontece se esta ferramenta sumir?” deixa de ser hipotética quando uma em cada cinco some de fato.
• Bloquear por lista não acompanha. Uma blocklist escrita à mão envelhece nos dois sentidos: perde relevância nas que morreram e não cobre as que nasceram.
• As de maior risco não vão embora sozinhas. Política escrita é a única saída para a faixa crítica, porque esperar não resolve.

Metodologia

O catálogo cobre ferramentas detectáveis como uso de IA em ambiente corporativo: o que aparece em processo, consulta DNS ou histórico de navegação de uma estação de trabalho. Cada entrada tem domínio, categoria, nível de risco e país-sede da empresa mantenedora.

Uma entrada é contada como “deixou de existir” quando a verificação de vivacidade encontra domínio morto, estacionado, 404 ou DNS que não resolve. Entradas retiradas por revisão de escopo — uso pessoal e não corporativo, ou erro de catalogação nosso — são contadas à parte e ficam fora da taxa de mortalidade.

Entrada retirada não é apagada: ela permanece no catálogo com o risco congelado, o que permite comparar mortalidade entre faixas de risco sem distorção.

Limitações, ditas abertamente

• Não é um censo do mercado. É a mortalidade observada no nosso catálogo, cuja seleção reflete o que é detectável como uso corporativo de IA. Ferramentas que nunca catalogamos não entram na conta.
• Não há série temporal. Registramos quando retiramos a entrada, não quando a ferramenta saiu do ar — então não é possível afirmar mortalidade por ano a partir destes dados.
• A classificação de risco é julgamento nosso, a partir de documentação pública. Por isso deixamos de fora achados que apenas mediriam o nosso próprio critério, como a concentração de risco crítico por jurisdição.
• Os percentuais de origem excluem as ferramentas ativas sem país identificado.