Governança de IA: um checklist para o conselho e o CIO

O que é governança de IA e por que ela é tema de conselho?

Governança de IA responde a três perguntas: o que a IA está fazendo na empresa, sob quais regras e quem responde por ela. Quando a IA só sugeria textos, essas perguntas pareciam detalhe técnico. Quando ela passa a operar processos, tocar dados de clientes e influenciar decisões, elas viram tema de risco, reputação e resultado.

Por isso o assunto sobe para o conselho. O conselho não precisa entender cada modelo, mas precisa saber se a empresa tem visibilidade sobre seus usos de IA, se os riscos relevantes estão mapeados e se existe alguém respondendo por eles. É o mesmo papel que já exerce em segurança da informação e proteção de dados.

Há também o ambiente regulatório. A LGPD está em vigor, com a ANPD como autoridade, e setores regulados seguem regras de órgãos como Bacen, CVM, ANS e Anvisa. O PL 2.338/2023, o marco legal da IA, foi aprovado pelo Senado em 10 de dezembro de 2024 e, até outubro de 2026, seguia em análise em uma comissão especial da Câmara, com votação adiada para depois das eleições. O texto pode mudar, mas a direção é de abordagem por risco, com supervisão humana, transparência e registros.

Checklist de governança de IA para o conselho

1 · Temos um inventário dos usos de IA? O conselho deve receber uma visão consolidada de onde a IA é usada, para que serve e quais áreas são donas de cada uso.

2 · Sabemos quais usos são mais sensíveis? Peça uma classificação de risco que destaque usos que afetam decisões sobre pessoas, dados sensíveis ou processos críticos.

3 · Quem responde pela IA? Deve haver responsáveis nomeados, com papéis claros entre negócio, TI, jurídico, segurança e privacidade.

4 · Como medimos valor e risco? A governança deve mostrar tanto o resultado que a IA entrega quanto os incidentes, exceções e revisões, com relatos periódicos ao conselho.

Checklist de governança de IA para o CIO

1 · Acesso mínimo. Cada agente ou ferramenta de IA deve acessar só os dados e sistemas necessários para a tarefa, seguindo as mesmas permissões que valem para as pessoas.

2 · Dados no perímetro. Defina em que ambientes a IA pode processar dados da empresa, sob quais contratos, e ofereça alternativas corporativas para que ninguém precise usar ferramentas por conta própria.

3 · Trilha de auditoria. Registre quais dados a IA acessou, qual regra aplicou, qual foi o resultado e quem aprovou. Sem registro, não há como explicar uma decisão.

4 · Supervisão humana. Defina em quais decisões a IA atua sozinha, em quais sugere e uma pessoa decide, e como funciona a revisão quando alguém contesta, inclusive o pedido de revisão de decisões automatizadas previsto na LGPD (art. 20).

5 · Fornecedores e contratos. Revise com o jurídico o que cada fornecedor de IA oferece em registros, proteção de dados e transparência, e quem fica com o contexto e as regras construídas na operação.

Como começar a governança de IA sem travar a inovação?

O erro mais comum é tentar escrever a política perfeita antes de saber o que existe. Comece pelo inventário e pelos usos mais sensíveis. Uma governança proporcional ao risco permite que usos simples sigam rápido e que os críticos recebam mais controle.

Também ajuda colocar a governança dentro da operação, e não ao lado dela. Quando as regras, as permissões e os registros estão no próprio fluxo de trabalho, a equipe não precisa preencher controles à parte. A governança deixa de ser um freio e passa a ser a forma normal de trabalhar.

Por fim, trate a governança como algo vivo. A regulação ainda está em discussão, os usos de IA mudam e a empresa aprende. Reveja o inventário e a classificação de risco com frequência e ajuste com o time jurídico quando a lei for aprovada.

Uma boa regra prática é separar três níveis. Usos de baixo risco, como resumir documentos internos, seguem com orientação geral. Usos de risco moderado, como apoiar o atendimento, pedem regras de acesso e registro. Usos sensíveis, que influenciam decisões sobre pessoas ou processos críticos, exigem supervisão humana definida, revisão periódica e acompanhamento do jurídico. Assim, o esforço de controle fica onde o risco realmente está.

Como a Semantix coloca a governança dentro da operação

Na Semantix, agentes de IA cuidam do volume e especialistas cuidam do julgamento, e você escolhe até onde a Semantix vai: a plataforma, a construção com o seu time ou a operação com resultado em contrato. O Safetix, parte da Semantix AI Suite, governa essa operação: aplica regras e permissões, dá acesso só ao necessário e rastreia cada execução, com as aprovações humanas registradas. Os dados pessoais são mascarados antes de chegar ao modelo, e o cliente escolhe onde os modelos rodam, inclusive no Brasil ou em ambiente próprio.

Operamos com certificações ISO 27001, ISO 27701, PCI-DSS e SOC 2 Type II e acompanhamos as discussões da ABRIA e do PL 2.338/2023. Para quem está desenhando a estratégia, o ponto de partida é um diagnóstico que mostra onde estão os riscos e o valor da IA na sua operação.

É assim que a Semantix, The Enterprise AI Company, constrói empresas que aprendem.