Governança de IA é o conjunto de regras, papéis e controles que define como a empresa escolhe, usa e monitora sistemas de IA. Ela existe para que decisões sobre modelos, dados e fornecedores sigam um critério único, documentado e auditável. Implementar começa com inventário, dono e política mínima, não com um comitê grande nem com uma ferramenta.
O que governança de IA cobre, e o que não cobre
Governança de IA responde a quatro perguntas: quais sistemas de IA a empresa usa, quem decide sobre eles, com que regras, e como se prova que as regras foram seguidas. Isso inclui o modelo de machine learning que roda há cinco anos no crédito, o assistente de IA generativa que o marketing contratou por assinatura e o agente que o time de TI está construindo.
Ela não é a política de privacidade, embora dependa dela. Não é segurança da informação, embora use os mesmos controles de acesso. E não é um comitê que aprova ou veta projetos. Comitê é uma das formas de operar a governança, não a governança em si. Já escrevemos sobre como montar um comitê de governança de IA sem travar a inovação.
Por que governança de IA importa agora?
Três forças puxam o assunto ao mesmo tempo.
Regulação brasileira. A LGPD já se aplica a qualquer sistema de IA que trate dado pessoal, e a maior parte dos casos de uso corporativos trata: atendimento, crédito, recrutamento, marketing. Detalhamos as implicações em LGPD e IA generativa nas empresas brasileiras, e a forma como a própria Cortex IQ trata dados pessoais está na página de LGPD.
Norma internacional. A ISO/IEC 42001 é a norma de sistema de gestão de IA. Ela não é obrigatória, mas está virando a linguagem comum entre empresa, auditor e cliente grande. Cobrimos o que ela exige em ISO 42001 e maturidade de IA.
Regulação europeia como contexto. O AI Act da União Europeia entrou em vigor em 1 de agosto de 2024, e o grosso das obrigações passou a valer em 2 de agosto de 2026, com os sistemas de alto risco do Anexo III previstos para 2 de dezembro de 2027, segundo o cronograma de implementação do AI Act. Empresa brasileira que vende para a Europa, ou que é fornecedora de quem vende, já recebe questionário sobre isso.
Além da regulação, existe o motivo operacional: sem critério único, cada área escolhe ferramenta, modelo e fornecedor do seu jeito, e ninguém sabe quantos sistemas de IA a empresa realmente tem. Esse é o cenário mais comum que encontramos.
Quais são os pilares da governança de IA?
Seis pilares cobrem o essencial. Para cada um, o primeiro artefato é simples de produzir e já muda o nível de controle. A última coluna indica em que semana do plano de 90 dias descrito abaixo cada artefato costuma nascer.
| Pilar | O que cobre | Primeiro artefato | Semana do plano de 90 dias |
|---|---|---|---|
| Inventário e classificação de risco | Quais sistemas existem, o que decidem e sobre quem | Planilha com sistema, dono, dado usado e nível de risco | Semanas 1 a 3 |
| Papéis e decisão | Quem aprova, quem opera, quem responde | Matriz de responsabilidade por sistema | Semanas 3 a 4 |
| Dados e privacidade | Base legal, minimização, retenção, dado sensível | Registro de tratamento por caso de uso, alinhado à LGPD | Semanas 5 a 7 |
| Avaliação e monitoramento de modelos | Precisão, viés, deriva, incidentes | Ficha de avaliação com baseline e limiar de alerta | Semanas 6 a 9 |
| Fornecedores e modelos de terceiros | Contratos, uso de dados pela plataforma, dependência | Checklist de due diligence de fornecedor de IA | Semanas 7 a 9 |
| Transparência e supervisão humana | Quando avisar o usuário, quando um humano revisa | Regra escrita de escalada humana por sistema | Semanas 9 a 12 |
O pilar de avaliação de modelos é o que mais empresas pulam, e o que o regulador mais pergunta. Detalhamos como fazer em auditoria de modelos de IA antes do regulador.
Como implementar governança de IA em 90 dias?
O erro clássico é começar pela política completa. Em 90 dias dá para sair do zero e ter uma governança que funciona, se a ordem for enxergar, decidir e operar.
Dias 1 a 30: enxergar
- Levantar todos os sistemas de IA em uso, incluindo assinaturas de SaaS com IA embutida e planilhas com modelo. A lista sempre é maior do que a diretoria imagina.
- Classificar cada um por risco: que decisão toma, sobre quem, com que dado, e o que acontece se errar.
- Nomear um dono por sistema. Uma pessoa, não uma área.
- Registrar os incidentes conhecidos dos últimos meses. Resposta errada de chatbot, dado pessoal colado em ferramenta externa, modelo que ninguém sabe retreinar.
Dias 31 a 60: decidir
- Escrever a política mínima, de duas a quatro páginas: o que é permitido, o que exige aprovação, o que é proibido, e quem aprova.
- Definir o fluxo de aprovação de novo caso de uso, com prazo de resposta. Se o fluxo demora um mês, as áreas vão contornar.
- Fechar o registro de tratamento de dados pessoais dos casos de risco alto, junto com o encarregado de dados.
- Montar a ficha de avaliação de modelo: baseline, métrica, limiar de alerta e periodicidade de revisão.
Dias 61 a 90: operar
- Rodar o fluxo de aprovação com dois ou três casos reais e ajustar o que emperrar.
- Aplicar o checklist de fornecedor nos contratos de IA que vencem nos próximos meses.
- Escrever a regra de escalada humana para cada sistema que fala com cliente ou toma decisão sobre pessoa.
- Estabelecer a cadência: uma revisão semanal curta das decisões em aberto e uma revisão trimestral do inventário.
No fim dos 90 dias, a empresa tem inventário, dono, política, fluxo e cadência. Não tem certificação, e não precisa ter. Tem o que a ISO/IEC 42001 chama de sistema de gestão em estado inicial, e o que o regulador chama de diligência demonstrável.
Quais erros mais travam a governança de IA?
- Começar pela ferramenta. Plataforma de governança sem inventário é dashboard vazio. Planilha com dono resolve os primeiros seis meses.
- Comitê que só diz não. Quando aprovar demora e negar é rápido, a governança vira sinônimo de bloqueio e as áreas passam a esconder projetos.
- Política de quarenta páginas. Ninguém lê. Regra que não cabe em uma reunião de trinta minutos não é seguida.
- Governar só a IA generativa. Os modelos de crédito, churn e fraude que já rodam há anos costumam ter risco maior e menos controle do que o chatbot novo.
- Sem baseline, tudo é crítico. Se todo sistema é de alto risco, nenhum é. Classificar bem é o que permite ser rigoroso onde importa e leve onde não importa.
- Dono coletivo. "A área de dados é responsável" significa que ninguém é. Nome e sobrenome por sistema.
Próximo passo
Se a sua empresa cresceu mais rápido do que os critérios de decisão sobre tecnologia e fornecedores, o Governance As a Service é um acompanhamento semanal para padronizar essas decisões antes que o crescimento vire bagunça. Começa por um diagnóstico de governança e termina com processo documentado que a próxima pessoa contratada consegue seguir.