Governança de IA: por onde começar sem travar a inovação

O problema não é a IA, é a ausência de dono

Quando um agente de IA aprova um pagamento, classifica um chamado ou nega uma solicitação, alguém precisa responder por aquilo. Sem isso definido antes, a pergunta só aparece depois do erro, no pior momento possível, e a resposta costuma ser um pedido de desculpas acompanhado da suspensão do projeto.

É por isso que governança não atrasa a adoção: ela é a condição para que a adoção sobreviva ao primeiro incidente. Organizações que pulam essa etapa costumam avançar mais rápido nos três primeiros meses e parar tudo no quarto.

Quatro perguntas que definem o essencial

Antes de framework, política e comitê, quatro perguntas resolvem a maior parte do risco:

• Quem decide o quê? Qual a alçada do agente e a partir de que ponto sobe para uma pessoa.
• O que fica registrado? Não só o resultado, mas o critério, a versão do modelo e os dados usados.
• Onde está o botão de parada? Quem pode desligar, em quanto tempo, e o que acontece com o que estava em curso.
• Que dado a IA pode ver? Base mínima necessária, e o que nunca sai do ambiente.

Uma organização que responde essas quatro por escrito, para cada caso de uso, já está à frente da maioria.

Comece por caso de uso, não por política geral

Política corporativa de IA escrita antes do primeiro caso real costuma envelhecer sem nunca ter sido aplicada, porque foi redigida sobre hipóteses. O caminho que funciona é o inverso: escolha um caso de uso concreto, defina as regras dele, opere, e transforme o que aprendeu em política.

Isso também evita a armadilha mais comum, que é tratar todo uso de IA com o mesmo rigor. Um agente que sugere resposta a um analista não precisa do mesmo controle de um agente que executa transação financeira. Classificar por risco é o que impede a governança de virar burocracia uniforme.

Rastreabilidade é o que sustenta a auditoria

Decisão automatizada precisa ser explicável muito depois de tomada, às vezes anos depois, quando ninguém lembra do contexto. Isso significa registrar o suficiente para reconstruir o raciocínio: entrada, critério aplicado, versão do modelo ou da regra, alçada vigente e o resultado.

Sem esse registro, a organização fica numa posição ruim em auditoria: sabe o que aconteceu, mas não consegue demonstrar por que aconteceu. E, em setor regulado, não demonstrar equivale a não ter feito.

Humano no circuito, mas no lugar certo

Colocar uma pessoa para aprovar tudo anula o ganho e cria um carimbador. Não colocar ninguém cria risco sem dono. O desenho útil fica no meio: aprovação humana onde o erro é caro ou irreversível, autonomia onde o erro é barato e reversível.

Um bom teste: se o revisor aprova mais de 95% dos casos sem alterar nada, ele não está revisando, está atrasando. Esse ponto deve virar autonomia, e o esforço de revisão deve migrar para onde há divergência real.

Os frameworks ajudam, mas não decidem por você

A ISO 42001 traz um sistema de gestão para IA, o NIST AI RMF organiza a análise de risco, e a LGPD já impõe requisitos quando há dado pessoal envolvido, incluindo o direito de revisão de decisão automatizada. São bons pontos de partida.

Mas nenhum deles diz qual alçada o seu agente de compras deve ter. Framework organiza a conversa; a decisão continua sendo da organização, e precisa ser tomada por quem conhece o processo, não apenas pela área de tecnologia.

Como montar em etapas

Um caminho que costuma funcionar, sem parar a operação:

• Inventário: quais usos de IA já existem, inclusive os que ninguém aprovou formalmente.
• Classificação por risco, com critério simples: impacto do erro e reversibilidade.
• Regras por caso de uso, respondendo as quatro perguntas do início.
• Registro e monitoramento, com revisão periódica do que a automação decidiu.
• Política corporativa, escrita a partir do que já está operando.

Repare que a política vem por último. É o oposto do que costuma ser feito, e é justamente por isso que costuma funcionar.