Como montar um comitê de governança de IA sem travar a inovação

Um comitê de governança de IA que analisa todo pedido na mesma fila, em reunião mensal, produz um resultado previsível: as pessoas passam a usar IA sem pedir. O comitê que funciona decide rápido o que é simples e gasta tempo só com o que pode machucar alguém. Esse desenho cabe numa empresa média, com as pessoas que ela já tem.

O problema que o comitê precisa resolver

O uso de IA dentro das empresas já existe, com ou sem aprovação. O Work Trend Index 2024, pesquisa da Microsoft e do LinkedIn com 31 mil trabalhadores em 31 países, encontrou que 78% de quem usa IA no trabalho leva a própria ferramenta. Nas empresas pequenas e médias, 80%. Quando a governança é lenta, esse número não cai. Ele só sai do seu campo de visão.

Por isso o objetivo de um comitê de IA não é aprovar projetos. É dar um caminho oficial que seja mais rápido do que o atalho, e reservar o escrutínio pesado para os poucos casos que merecem.

Por que formalizar agora

Três referências já dão forma ao que se espera de uma governança de IA, e nenhuma delas exige burocracia:

• O NIST AI Risk Management Framework, publicado em janeiro de 2023, organiza a gestão de risco em quatro funções (Govern, Map, Measure, Manage). A função Govern trata exatamente de papéis, responsabilidades e políticas. Em julho de 2024 o NIST publicou o perfil para IA generativa (NIST AI 600-1), que lista riscos específicos como confabulação, privacidade de dados e segurança da informação.
• A ISO/IEC 42001:2023 é a norma de sistema de gestão de IA. Ela exige política, papéis definidos, avaliação de impacto e controle do ciclo de vida, no mesmo formato de outras normas ISO de gestão. Escrevemos sobre ela em ISO 42001 como régua de maturidade.
• Para quem vende para a União Europeia, o AI Act já está em vigor em partes. Depois do Digital Omnibus, publicado em julho de 2026, as obrigações para sistemas de alto risco listados no Anexo III, como crédito e recrutamento, passaram para 2 de dezembro de 2027. Adiado, não cancelado.

No Brasil, o PL 2338/2023 segue aguardando parecer na Câmara, sem data de votação. Mas o modelo que ele propõe é baseado em risco, igual ao europeu e ao do NIST. Um comitê que já classifica uso por risco vai precisar de ajustes, não de reconstrução, quando a lei vier.

O desenho: três faixas de risco

A decisão mais importante do comitê é também a mais simples: separar os usos em faixas, com critérios escritos que o próprio time consegue aplicar. Uma versão que funciona para a maioria das empresas médias:

Faixa 1, uso livre com regra. Ferramenta oficial, sem dado pessoal de cliente, sem decisão sobre pessoas, com um humano revisando o resultado antes de sair da empresa. Exemplos: rascunho de e-mail, resumo de relatório público, apoio a código em repositório sem segredo. Não passa pelo comitê. Basta a política de uso.

Faixa 2, registro e checagem. Usa dado interno ou pessoal, mas a IA só sugere e uma pessoa decide. Exemplos: sugestão de resposta no atendimento, triagem de tickets, assistente com RAG sobre documentos internos. O time preenche um formulário de uma página e o responsável de dados e o de segurança dão ok assíncrono. Prazo curto e definido.

Faixa 3, análise completa. A IA decide ou age sobre pessoas ou dinheiro sem revisão humana caso a caso, usa dado sensível, ou fala com o cliente em nome da empresa. Exemplos: concessão de crédito, ranqueamento de candidatos, agente que emite reembolso, chatbot público. Aqui o comitê se reúne, pede avaliação de impacto, define métricas de monitoramento e quem pode desligar o sistema.

A Microsoft usa uma lógica parecida em escala muito maior. O Responsible AI Standard v2, publicado em 2022, define "usos sensíveis" (impacto na situação jurídica ou em oportunidades de vida, como crédito, emprego e saúde; risco de dano físico ou psicológico; ameaça a direitos humanos) e exige que esses casos sejam comunicados ao Office of Responsible AI para revisão adicional. O resto segue o padrão interno.

O chatbot público está na faixa 3 por um motivo concreto. Em 2024, um tribunal canadense condenou a Air Canada a pagar a diferença de tarifa a um passageiro que seguiu uma informação errada do chatbot da empresa. O argumento de que o chatbot seria uma entidade separada foi rejeitado. O que o agente diz ao cliente, a empresa disse.

Quem senta na mesa

Um comitê só de jurídico vira veto. Um só de tecnologia ignora risco regulatório. As decisões da faixa 3 misturam os dois com impacto no negócio, então a mesa precisa de:

• Um dono de negócio com poder de decisão, que responde pelo resultado do uso. Sem ele, o comitê vira órgão consultivo.
• Tecnologia ou dados, para dizer o que é tecnicamente viável e quanto custa monitorar.
• O encarregado de dados pessoais (o DPO previsto na LGPD) ou o jurídico.
• Segurança da informação, para os riscos de acesso, vazamento e prompt injection.
• Quando existir, risco ou compliance, principalmente em empresa regulada.

Poucas pessoas, com suplentes nomeados. Se a reunião depende de uma agenda específica para acontecer, o comitê vai atrasar.

Regras de funcionamento que evitam gargalo

1. Prazo de resposta escrito por faixa. Por exemplo: faixa 2 respondida em até cinco dias úteis; faixa 3 com primeira resposta em até dez. Se o prazo estourar sem manifestação, o pedido sobe para o patrocinador executivo, não fica parado.
2. Formulário curto. Finalidade, dados usados, quem decide, o que acontece se a IA errar, como desligar. Se o formulário tem mais de uma página, as pessoas vão preencher mal.
3. Inventário único de usos de IA aprovados, com dono, faixa e data da próxima revisão. É a mesma lista que o regulador, um auditor ou um cliente grande vai pedir.
4. Registro de decisões. Cada aprovação ou recusa com a justificativa em duas linhas. Em seis meses, isso vira a jurisprudência interna que permite ao time se autoclassificar.
5. Revisão por gatilho, não só por calendário: troca de modelo ou fornecedor, mudança de finalidade, incidente, reclamação de cliente.

Um exemplo de semana

Uma empresa de serviços com cerca de 400 funcionários recebe três pedidos na mesma semana.

O marketing quer usar IA para gerar variações de anúncio. Faixa 1: ferramenta oficial, sem dado pessoal, revisão humana antes de publicar. Resolve-se com a política, sem reunião.

O atendimento quer um assistente que sugere respostas com base no histórico do cliente. Faixa 2: há dado pessoal, mas o atendente decide o que envia. O responsável de dados checa base legal e retenção, segurança checa o fornecedor, e a aprovação sai em dias.

O financeiro quer um agente que aprova automaticamente renegociações de dívida até um valor. Faixa 3: decisão automatizada que afeta interesses do cliente, o que atrai o direito de revisão do artigo 20 da LGPD. O comitê pede o critério documentado, o caminho de contestação, o log de cada decisão e um piloto limitado com revisão amostral. O projeto não é recusado. Ele começa menor e com instrumentos de controle.

Sinais de que o comitê virou gargalo

• A fila de pedidos cresce todo mês e o tempo médio de resposta sobe.
• Pedidos da faixa 1 estão chegando ao comitê porque ninguém confia no critério.
• O comitê nunca recusou nem condicionou nada, o que indica que ele não está olhando de verdade.
• Você descobre usos relevantes de IA por acaso, numa conversa de corredor ou numa fatura de cartão.

Os primeiros 60 dias

1. Semana 1 e 2: inventário do que já está em uso, sem punição. Pergunte aos gestores e confira faturas de software.
2. Semana 3: escreva os critérios das três faixas com exemplos da própria empresa e publique a política de uso da faixa 1.
3. Semana 4: nomeie os membros e suplentes, defina prazos e o formulário.
4. Semanas 5 a 8: rode os pedidos reais, registre cada decisão e ajuste os critérios onde houver dúvida recorrente.
5. Dia 60: revise o que travou, o que passou rápido demais e o que ainda está fora do inventário.

Próximo passo

Se hoje a sua empresa não tem uma lista dos usos de IA em produção, o comitê começa por ela, não pela primeira reunião. Montar esse critério e acompanhar as decisões semana a semana é o trabalho do Governance As a Service. E se o seu próximo passo é saber o que registrar em cada decisão de modelo, leia auditoria de modelos de IA antes do regulador.