Imagine que amanhã de manhã você recebe uma análise de variações preparada por inteligência artificial. O texto parece profissional. Os números estão corretos. Mas a explicação principal foi inferida, sem evidência.
Quem autorizou esse uso? Qual regra determinava o que precisava ser revisado? E se essa análise chegasse ao conselho, quem responderia por ela?
Essas três perguntas somam o que é governança de IA: quem decide, com quais regras e quem responde. Este guia traduz o assunto para a prática, sem começar por uma norma de cem páginas e sem transformar governança em burocracia.
O que é governança de IA
A definição formal diz que governança de inteligência artificial é o sistema de regras, práticas, processos e ferramentas que alinha o uso da IA à estratégia, aos valores e às obrigações da organização.
É uma definição correta e pouco operacional. Uma tradução mais direta: governar IA é definir quatro coisas.
Propósito. Para qual finalidade a IA pode ser usada naquele contexto específico.
Limites. Até onde ela pode ir sozinha, e o que está fora de escopo.
Evidência. O que precisa ficar registrado para que a decisão seja auditável depois.
Responsabilidade. Quem assume o resultado quando ele chega a alguém de fora.
Note que nenhum desses quatro itens é técnico. Governança de IA é uma disciplina de gestão que se apoia em tecnologia, não o contrário.
Onde a governança realmente começa
O erro mais comum é pensar que a governança começa quando a empresa compra uma grande plataforma. Na prática ela começa muito antes.
Começa quando alguém envia uma planilha para uma ferramenta pública. Quando marketing autoriza uma resposta automática. Quando finanças usa IA para explicar uma variação mensal.
Parte desse uso é oficial. Parte acontece como experimento. Parte simplesmente não é conhecida pela liderança. Esse último grupo tem nome: uso invisível, ou shadow AI.
O problema não é experimentar. O problema é não saber qual informação entrou, qual decisão saiu e que impacto isso teve. Por isso a primeira pergunta de governança não é "qual norma vamos adotar". É "onde a IA está sendo usada hoje".
Controle proporcional ao impacto
Existe um jeito errado de implantar governança, e ele é exigir aprovação para cada uso. O resultado é sempre o mesmo: a equipe para de pedir e passa a usar por fora, agora sem nenhum registro. A política gerou exatamente o uso invisível que queria eliminar.
Governar IA é aplicar controle proporcional ao impacto. Resumir uma reunião interna não exige o mesmo processo que recomendar crédito, selecionar um candidato ou produzir comunicação financeira externa.
Isso leva à ideia mais importante deste guia:
O risco não está no modelo. Está no contexto, nos dados e na decisão que será tomada com a resposta.
A consequência prática é que não faz sentido classificar ferramentas como seguras ou inseguras. O mesmo modelo, com o mesmo prompt, muda de categoria de risco conforme muda o que se faz com a saída.
Onde a governança de IA se encaixa
Toda vez que alguém propõe o tema, aparece a mesma pergunta: de quem é isso? Da TI? Do jurídico? Do compliance?
Governança de IA não é um departamento. Ela atravessa disciplinas que já existem na empresa.
No topo está a governança corporativa, que define estratégia, valores, apetite de risco e quem presta contas. Abaixo, a governança de tecnologia, que cuida de arquitetura, fornecedores, acessos e dados. Ao lado, privacidade, compliance e segurança da informação.
A governança de IA conecta tudo isso ao comportamento específico do sistema: o que ele pode fazer, com quanta autonomia, como será avaliado e como continuará sendo monitorado.
O processo continua pertencendo ao negócio. Na análise de variações, tecnologia protege o ambiente, mas quem responde pela análise financeira é a controladoria. Criar um comitê não transfere responsabilidade, apenas organiza quem já a tem.
Governar, gerir e operar
Três verbos costumam aparecer misturados, e a confusão entre eles explica boa parte das políticas bonitas que não mudam nada no dia a dia.
| Verbo | O que significa | Quem faz |
|---|---|---|
| Governar | Definir direção, limites e autoridade de supervisão | Conselho e liderança |
| Gerir | Transformar decisões em políticas, processos e controles | Gestores e funções de apoio |
| Operar | Executar o uso no dia a dia | Equipes |
Quando essas camadas se desconectam, a política fica bem escrita e o uso diário fica sem controle. Ou o contrário: a operação cria controles razoáveis que nunca são reconhecidos formalmente e desaparecem quando a pessoa que os criou sai da empresa.
Os dois controles que sustentam o resto
1. O inventário de casos de uso
Você não consegue governar aquilo que não conhece. Por isso o primeiro controle não é uma política, é um registro. Ele cabe numa planilha e tem sete campos: nome do caso, área responsável, objetivo, ferramenta usada, dados utilizados, decisão afetada e impacto do erro.
O nome importa mais do que parece. "Usar IA na controladoria" não é um caso de uso, é um rótulo. "Preparar a explicação mensal das variações para revisão da contabilidade" já entrega propósito, público, responsável e o ponto em que a revisão humana precisa acontecer.
O passo a passo completo está em como montar o inventário de casos de uso de IA.
2. A classificação de risco
Depois do inventário, classifique olhando duas dimensões. Impacto: se a resposta estiver errada, o que acontece? Autonomia: até onde o sistema pode agir sem nova validação humana?
Impacto baixo com autonomia baixa permite controles leves. Quanto maior qualquer uma das duas, maior a exigência de teste, aprovação, registro e monitoramento. A matriz completa está em como classificar risco de IA por impacto e autonomia.
O ciclo não termina no lançamento
Para não transformar esse trabalho numa coleção de documentos, use um ciclo de quatro etapas: definir, avaliar, tratar e governar.
A quarta é a que quase todo mundo pula, e é a única que não tem data para terminar. Um caso aprovado hoje pode se tornar inadequado em três meses. Basta mudar o modelo, o dado, o público, a decisão ou o próprio time.
O fornecedor atualiza a versão. O relatório que era interno começa a circular fora. A pessoa que revisava sai da empresa. Nada disso dispara um alerta sozinho.
O que já vale no Brasil
A LGPD já existe e já se aplica. Se o caso de uso trata dados pessoais, a empresa precisa considerar finalidade, necessidade, segurança e as obrigações aplicáveis. Usar IA não suspende a proteção de dados.
Sobre regulação específica de inteligência artificial, o cenário ainda está em construção. O detalhamento está em LGPD e inteligência artificial: o que já vale hoje.
Quanto às referências internacionais, ISO 42001, NIST AI RMF e princípios da OCDE são mapas complementares, não três projetos separados. A comparação está em ISO 42001, NIST AI RMF e OCDE: qual usar.
O framework CLARO
Diagnóstico de maturidade costuma virar um questionário de cem itens que ninguém responde com honestidade. O CLARO usa cinco dimensões:
- Contexto: qual o caso, o objetivo, o público e a decisão afetada
- Lógica: quais critérios, fontes e regras orientam a resposta
- Aplicação: como o caso é testado, aprovado e integrado ao processo real
- Risco: quais dados, ameaças e limitações precisam de controle
- Ownership: quem responde, quem monitora e quem decide as mudanças
O padrão mais comum é a empresa com boa tecnologia e baixa maturidade em ownership. Tem política e não tem inventário. Faz testes e não monitora o uso real. O objetivo não é nota máxima em tudo, é saber qual lacuna você tem.
Um plano de 30 dias
Nenhum item abaixo depende de comprar ferramenta nova, contratar consultoria ou criar comitê.
- Semana 1. Mapeie os casos de uso conversando com as áreas e monte o inventário inicial.
- Semana 1. Publique uma regra simples: quais dados podem entrar, quais ferramentas são recomendadas e quando a revisão humana é obrigatória.
- Semana 2. Escolha os três casos de maior impacto.
- Semanas 2 e 3. Dê um dono a cada caso e defina teste, aprovação, registro e monitoramento.
- Semana 4. Rode um piloto controlado e revise a evidência.
No fim do mês a empresa não terá governança perfeita. Terá visibilidade, prioridade, responsabilidade e um ciclo que pode melhorar.
O maior inimigo da governança de IA não é a resistência interna. É a ambição. Começar pequeno não significa começar sem rigor. Significa concentrar onde o impacto é maior.
Perguntas frequentes
Governança de IA exige criar um comitê? Não. Em empresa de médio porte, a mesma pessoa pode acumular os papéis de propor, avaliar e aprovar. O problema não é acumular papéis, é ninguém saber quem tem a responsabilidade.
Precisamos de certificação para ter governança de IA? Não. Uma empresa pequena ou média precisa de decisões repetíveis, responsáveis definidos e evidência suficiente do risco que assume. Certificação é uma consequência possível, nunca o ponto de partida.
Governança vai atrasar os projetos de IA? Vai, se for desenhada como bloqueio. Não vai, se for desenhada como fronteira e aplicada de forma proporcional ao impacto de cada caso.
Por onde começar se não temos nada hoje? Pelo inventário. Três conversas com as áreas que mais produzem material que circula fora do time já revelam a maior parte do que existe.
Baixe o guia completo. Reunimos tudo isso em um material de 30 páginas com plano de 30 dias, template de inventário, matriz de triagem, tabela de controles mínimos e autodiagnóstico CLARO. Baixar gratuitamente.