Depois de montar o inventário de casos de uso, você vai olhar para uma lista de trinta ou quarenta linhas e enfrentar a pergunta prática: por onde começar?
Classificar tudo com o mesmo rigor é inviável e, pior, cria uma burocracia que a operação vai contornar. Não classificar nada deixa a empresa exposta exatamente onde importa.
A saída é uma triagem em duas dimensões. Este artigo detalha o método que a governança de IA usa para separar o que exige controle pesado do que pode seguir com regra leve.
Por que duas dimensões bastam
Existem frameworks de avaliação de risco de IA com dezenas de critérios. Eles têm valor em contextos regulados e em modelos próprios. Para a maioria das empresas de médio porte, eles produzem um formulário que ninguém preenche.
Duas dimensões resolvem a triagem inicial com precisão suficiente para decidir onde investir atenção. E têm a vantagem de serem perguntas que qualquer gestor de área consegue responder sem apoio técnico.
Dimensão 1: impacto do erro
A pergunta: se a resposta estiver errada, o que acontece?
As respostas caem em três faixas.
Retrabalho. Alguém refaz o trabalho e perde tempo. Nada sai da empresa e nenhuma decisão foi tomada com base no material. Um resumo de reunião interna mal feito cai aqui.
Informação sensível exposta. Um dado financeiro, contratual ou pessoal chega a um ambiente que não deveria ter acesso. Note que aqui o erro nem precisa estar na resposta: o risco está no que entrou.
Pessoa, contrato ou decisão afetada. Crédito, seleção de candidato, comunicação externa, precificação, ou qualquer material que chegue ao conselho ou a um regulador.
Um ponto que costuma passar batido: o impacto não é uma propriedade da ferramenta, é uma propriedade do uso. O mesmo assistente pode estar na primeira faixa numa área e na terceira em outra.
Dimensão 2: autonomia
A pergunta: até onde o sistema pode agir sem uma nova validação humana?
Aqui a escala é mais fina, e é a dimensão que quase ninguém pergunta.
Sugere. Propõe uma ideia que alguém avalia antes de qualquer coisa acontecer.
Rascunha. Produz um texto ou análise que ainda passa por revisão antes de circular.
Envia. Comunica sem passagem humana. Responde um cliente, dispara um e-mail, publica.
Executa. Age dentro de outro sistema. Cria um registro, atualiza um cadastro, aprova um fluxo.
A autonomia é a dimensão mais volátil das duas. Um caso aprovado como "rascunha" pode migrar para "envia" com uma única mudança de configuração, sem que ninguém reavalie nada. Por isso ela merece um campo próprio no inventário e revisão sempre que o processo mudar.
A matriz de triagem
Cruzando as duas dimensões, cada caso cai em uma de três faixas.
| Autonomia ↓ / Impacto → | Retrabalho | Info sensível | Pessoa ou contrato |
|---|---|---|---|
| Sugere | Faixa 1 | Faixa 1 | Faixa 2 |
| Rascunha | Faixa 1 | Faixa 2 | Faixa 3 |
| Envia | Faixa 2 | Faixa 3 | Faixa 3 |
| Executa | Faixa 2 | Faixa 3 | Faixa 3 |
Essa lógica evita dois extremos igualmente caros: liberar tudo sem critério, ou bloquear toda a inteligência artificial por medo.
Na prática, a maior parte dos casos de uma empresa de médio porte cai na faixa 1. O trabalho de governança mora nas faixas 2 e 3, e normalmente são menos de dez casos.
Controles mínimos por faixa
O que segue é uma sugestão de ponto de partida. Ajuste ao apetite de risco definido pela liderança e às exigências do seu setor.
Faixa 1 · Leve
- Registro no inventário
- Regra geral de uso publicada e conhecida pela área
- Sem exigência de aprovação caso a caso
- Revisão anual
Faixa 2 · Média
Tudo da faixa 1, mais: - Dono nomeado, com poder de suspender o uso - Revisão humana obrigatória antes de qualquer circulação externa - Restrição explícita do ambiente onde o dado pode entrar - Revisão semestral
Faixa 3 · Alta
Tudo da faixa 2, mais: - Teste documentado antes de entrar em uso - Aprovação formal registrada, com data e responsável - Registro das fontes utilizadas em cada saída - Monitoramento de incidentes - Critério explícito de suspensão, definido antes de o caso entrar em produção - Revisão trimestral, ou imediata a cada mudança de modelo, dado, público, decisão ou time
O erro de calibragem mais comum
Empresas que estão começando tendem a superestimar o impacto e subestimar a autonomia.
Superestimar o impacto acontece porque a conversa sobre IA carrega ansiedade. Todo caso parece crítico. O antídoto é forçar a pergunta concreta: se essa saída específica estiver errada e ninguém perceber, o que acontece na semana seguinte? Muitas respostas honestas são "alguém refaz".
Subestimar a autonomia acontece porque a pergunta simplesmente não é feita. O caso é avaliado pelo que a ferramenta produz, não pelo que ela consegue disparar sozinha. Um assistente de baixo impacto com permissão de escrita em um sistema de registro é mais arriscado do que parece.
Classificação não é permanente
Um caso classificado como faixa 1 hoje pode ser faixa 3 em três meses. Basta mudar o modelo, o dado, o público, a decisão ou o time responsável.
O fornecedor atualiza a versão. A base de origem passa a incluir outro tipo de informação. O relatório que era interno começa a circular fora. Nada disso dispara alerta sozinho.
Por isso a classificação entra no ciclo de vida, não numa etapa de aprovação inicial. Aprovar é o começo do controle, não o fim.
Perguntas frequentes
Preciso classificar todos os casos do inventário? Sim, mas a maioria leva menos de um minuto cada. A triagem existe justamente para que você gaste tempo apenas nos poucos casos que exigem.
Quem faz a classificação? Idealmente a área responsável pelo caso, com validação de quem conduz a governança. Classificação feita apenas por uma área central tende a errar o impacto por falta de contexto do processo.
E se um caso ficar entre duas faixas? Suba para a faixa maior. O custo de controle extra em um caso limítrofe é sempre menor do que o custo de um incidente na faixa subestimada.
Isso substitui uma avaliação de impacto de proteção de dados? Não. Se o caso trata dado pessoal, as obrigações da LGPD se aplicam independentemente da faixa em que ele caiu nesta matriz.
Matriz e tabela de controles prontas. O guia de governança de IA traz a matriz de triagem, os controles mínimos por faixa e um autodiagnóstico de maturidade em cinco dimensões. Baixar gratuitamente.