Governança de IA na prática: um plano de uma página

Comece a governança de IA com 5 controles: inventário de uso, regras para os dados, revisão humana, avaliação de fornecedores e um fluxo de resposta a incidentes. Para uma empresa sem equipe de compliance, o mínimo que funciona é ter um responsável definido e evidências da aplicação de cada controle. Assim, é possível responder a um questionário de cliente sem prometer controles que você não consegue demonstrar.

Use o AI Risk Management Framework do National Institute of Standards and Technology, ou NIST AI RMF, para organizar o trabalho. Considere a ISO/IEC 42001, norma internacional de sistemas de gestão de IA, quando uma certificação externa fizer sentido para o negócio. Analise separadamente o AI Act da União Europeia para identificar as obrigações legais que se aplicam ao seu papel e ao seu caso de uso. Cada um resolve um problema diferente.

As descrições dos referenciais e as datas da União Europeia abaixo foram verificadas nas páginas oficiais do NIST, da ISO e da Comissão Europeia em 20 de outubro de 2026. Este é um guia operacional, não uma orientação jurídica; procure assessoria qualificada para entender suas obrigações legais específicas.

O que é governança de IA?

A governança de IA define quem pode usar IA, em quais atividades, com quais dados e quem continua responsável quando ela produz uma resposta ou executa uma ação. As políticas estabelecem as regras; aprovações, restrições técnicas e registros permitem aplicá-las no dia a dia.

Pense em um jardim compartilhado. Uma lista de plantas permitidas não diz quem pode abrir o portão, alterar a irrigação ou cuidar de um canteiro danificado. É preciso definir limites, indicar um responsável e ter como identificar e corrigir problemas. Comprar ferramentas de jardinagem melhores não resolve essas questões.

Na empresa, essa diferença fica clara quando um assistente de atendimento deixa de apenas redigir respostas e passa a emitir reembolsos. O modelo pode continuar o mesmo, mas sua autoridade mudou. A governança deve identificar essa mudança antes que a nova permissão afete os clientes.

A governança de dados cuida da informação: acesso, qualidade, usos permitidos e retenção. A governança de IA acrescenta o comportamento: o que o sistema pode inferir, recomendar ou fazer, como você verifica isso e quem lida com as consequências.

Um modelo de governança de IA em uma página

Em uma empresa de 20 a 500 pessoas, dimensione o processo conforme as consequências de cada uso. Defina um responsável, uma regra e um registro para cada controle. O modelo a seguir é uma proposta original de operação para pequenas empresas, não uma lista de requisitos para certificação nem um substituto para a avaliação de cada sistema.

Escopo: Uso de IA pelos funcionários e funcionalidades de IA em vendas, atendimento e engenharia, incluindo as incorporadas a softwares já utilizados.
Executivo responsável: O diretor de operações (COO) ou o fundador. Os líderes de cada área respondem por seus fluxos de trabalho; o líder de TI ou segurança responde pelo acesso e pelos controles técnicos.
Quando exigir aprovação: Uma nova finalidade, fonte de dados sensíveis, público externo ou permissão para executar ações exige análise antes do uso.

Frequência de revisão: Revise o cadastro trimestralmente e sempre que houver mudanças na finalidade, nas permissões, no comportamento do fornecedor ou nos dados. Essa é uma frequência inicial sugerida; aumente-a quando as consequências justificarem.
Exceções: Registre quem aprovou, o motivo, as restrições e a validade. Uma exceção não documentada representa uma exposição desconhecida.
Prestação de contas ao conselho e aos clientes: Mostre o que está no escopo, o que está sob controle, o que continua pendente e quem responde pela próxima decisão.

Mantenha essa página curta. Deixe o inventário e as evidências nos documentos de apoio, com acesso restrito quando os registros contiverem informações de clientes ou funcionários. A página serve como índice de um processo em funcionamento.

Boas práticas de governança de IA em vendas, atendimento e código

Comece pelo fluxo de trabalho com maior capacidade de expor dados ou afetar um cliente. Contar apenas assinaturas de ferramentas deixa de fora as permissões que realmente importam.

Catalogue os usos, não apenas os nomes das ferramentas

Crie uma entrada separada quando o mesmo produto tiver outra finalidade ou permissões diferentes. Um assistente que redige textos de vendas e um fluxo que enriquece cadastros de clientes merecem entradas distintas, mesmo que usem o mesmo fornecedor.

Em cada entrada, registre a finalidade de negócio; o responsável; o serviço e a conta; as categorias de dados; os sistemas conectados; os acessos de leitura e escrita; as pessoas afetadas; o método de revisão; o status da aprovação; e a data da última revisão. Para um sistema desenvolvido pela empresa, acrescente o modelo em produção ou a configuração do serviço e um link para seu registro de alterações.

Peça aos líderes das áreas que incluam extensões de navegador, assistentes de reunião, assistentes de programação, automações e funcionalidades de IA ativadas em softwares já utilizados. Cruze as respostas com os registros disponíveis de cobrança e acesso. Descreva a cobertura com honestidade: uma pesquisa com funcionários acompanhada da revisão de contas é um método de descoberta, não uma prova de que todo uso não autorizado foi encontrado.

Em uma empresa hipotética de 30 pessoas, o fundador pode manter o cadastro enquanto os líderes de vendas, atendimento e engenharia confirmam suas entradas. A vantagem é ter um caminho claro para encaminhar decisões, sem criar um comitê permanente.

Política de governança de IA: deixe claro quais dados podem ser usados

Escreva regras que um funcionário consiga seguir: qual conta, quais dados e qual tarefa. “Use IA com responsabilidade” não diz a um vendedor se ele pode colocar o contrato de um cliente em uma janela de chat.

Adote um padrão conservador: materiais públicos podem ser usados em ferramentas aprovadas; cadastros de clientes, código confidencial e informações comerciais internas exigem um serviço e um caso de uso especificamente aprovados. Mantenha credenciais e segredos fora dos prompts. Submeta informações pessoais sensíveis a uma avaliação explícita, em vez de abrir uma exceção informal.

Registre as condições da aprovação: configurações de retenção, permissões de acesso, uso contratual dos dados e a integração envolvida. A declaração de um fornecedor sobre treinamento de modelos não responde, por si só, onde os prompts ficam armazenados ou quem pode acessá-los. São verificações distintas.

Use o modelo de política de uso aceitável de IA publicado no site para definir as regras voltadas aos funcionários. Vincule-o a este processo de governança para que cada exceção tenha um responsável e uma data de revisão.

Faça a revisão humana antes de gerar consequências

Quem revisa precisa ter acesso às informações de origem, critérios claros, tempo suficiente e autonomia para rejeitar a saída. Uma pessoa que apenas clica em um botão de aprovação, sem essas condições, acrescenta pouca proteção.

Em vendas, exija que alguém confira promessas sobre preços, segurança e termos contratuais antes de enviá-las a um potencial cliente. No atendimento, deixe o assistente redigir respostas com base em materiais aprovados, enquanto um funcionário designado verifica reembolsos, alterações de conta e divulgação de informações sensíveis. Na engenharia, submeta as alterações geradas aos mesmos controles de revisão de código, testes e liberação que você exige das demais contribuições.

Para cada fluxo de trabalho, descreva as falhas que impedem a liberação. Uma resposta de atendimento que expõe dados de outro cliente deve ser reprovada, por mais bem escrita que pareça. Uma alteração de código que passa em um teste unitário, mas contorna a autorização, continua sendo inaceitável.

Um agente de IA, software capaz de usar ferramentas para executar ações, precisa de limites de permissão além da revisão das saídas. Restrinja as contas, os registros e as ações que ele pode acessar. Teste esses limites antes de conceder acesso de escrita e mantenha uma forma de revogá-lo.

Avalie o fornecedor e a configuração que você usa

Avalie o serviço que está contratando, incluindo o plano, o tipo de conta e a integração. Uma página genérica sobre segurança é material de apoio, não uma descrição da sua configuração.

Mantenha um registro breve destas verificações:

• Tratamento de dados: Quais entradas, saídas e metadados ficam retidos? Eles são usados para treinamento? Quais controles de exclusão existem?
• Contrato e processamento: O que o contrato permite, quais outros fornecedores processam os dados e quais compromissos se aplicam a incidentes?
• Identidade e permissões: É possível controlar acessos, remover um funcionário que saiu da empresa e restringir sistemas conectados?
• Evidências operacionais: Quais logs, avisos de mudança e canais de suporte você consegue obter para esse fluxo?
• Saída e falha: É possível desativar a funcionalidade, revogar credenciais e continuar a tarefa essencial sem ela?

Marque toda pergunta sem resposta como pendente. Se a dúvida envolver dados de clientes ou uma ação irreversível, reduza o escopo ou mantenha o uso suspenso até que alguém aceite um risco específico e documentado.

Aproveite o processo de incidentes que já existe

Dê aos funcionários um caminho claro para relatar uma resposta insegura, exposição de dados, ação não autorizada ou suspeita de uso indevido. Quem atender primeiro deve saber quem pode desativar a integração e quem decide se ela pode voltar a operar.

Registre o fluxo afetado, o horário, os dados envolvidos, a saída ou ação relevante, as permissões e os logs disponíveis. Restrinja o acesso a essas evidências. Contenha o problema, avalie quem foi afetado e atribua a responsabilidade por eventuais obrigações de notificação previstas nos contratos e nas regras aplicáveis.

Depois, corrija o controle que falhou. Se um assistente de atendimento expôs um documento restrito, apagar a resposta não corrige o acesso dele aos documentos. Confira a alteração de permissão, repita o teste do cenário de falha e registre a decisão de retomada.

Em uma empresa hipotética de 150 pessoas, quem já lidera a resposta a incidentes de segurança pode coordenar esse trabalho com o responsável pelo atendimento. Se não houver uma função dedicada à segurança, indique quem pode revogar acessos e qual executivo pode decidir sobre o encaminhamento do caso.

Referências para governança de IA: NIST, ISO e AI Act da União Europeia

Use o NIST para estruturar decisões de risco, a ISO para organizar um sistema de gestão e o AI Act da União Europeia para identificar as obrigações legais aplicáveis. Tratar os três como equivalentes leva a respostas enganosas em questionários.

Aplique o NIST a um fluxo de trabalho que você consiga examinar

As funções do NIST compõem um processo contínuo, não quatro itens que você conclui uma única vez. O AI RMF Core oficial permite explicitamente adaptações e descreve a governança como uma função transversal às demais.

Em um assistente de atendimento, essa aplicação poderia ser assim:

• Govern: O líder de atendimento responde pelo uso; o COO aprova os limites de risco; a TI controla o acesso.
• Map: Documente quais informações de clientes o assistente lê, quem recebe suas respostas e que dano uma resposta incorreta pode causar.
• Measure: Verifique casos representativos e difíceis, incluindo tentativas de recuperar informações restritas. Registre os resultados e as limitações ainda não resolvidas.
• Manage: Restrinja o acesso, exija revisão quando necessário, monitore falhas e desative o fluxo se os limites forem ultrapassados.

Essa aplicação é ilustrativa. Descreva o trabalho como “uso do NIST AI RMF para estruturar a gestão de riscos” quando isso for o que você de fato fez. Guarde as evidências que sustentam a afirmação.

Certificação em governança de IA: defina o escopo e o valor para o negócio

A ISO/IEC 42001 trata do sistema de gestão de IA da organização. Sua descrição pública adota a abordagem Planejar-Executar-Verificar-Agir: estabelecer o processo, operá-lo, avaliá-lo e melhorá-lo. Uma política de uma página é apenas uma pequena parte desse trabalho. Visão geral da norma pela ISO.

A certificação é uma avaliação externa separada. A ISO desenvolve normas, mas não certifica organizações; esse trabalho cabe a organismos de certificação externos. Orientações da ISO sobre certificação.

Considere a certificação quando um cliente a exigir, quando ela for valorizada nas contratações do mercado em que você atua ou quando suas operações de IA justificarem um sistema formal de gestão. Confirme quais entidades, locais e atividades o certificado abrange. O certificado de um curso feito por um funcionário não demonstra que os fluxos da empresa operam sob um sistema de gestão avaliado.

Prazos do AI Act: separe as obrigações atuais das datas futuras

O calendário dos sistemas de alto risco mudou, mas isso não adia toda a lei. Segundo a Comissão, o AI Omnibus entrou em vigor em 27 de julho de 2026, prorrogando as principais datas de aplicação para alto risco e simplificando a exigência anterior de letramento em IA para empresas. Comunicado da Comissão.

O cronograma oficial de implementação registra estes marcos:

• 2 de fevereiro de 2025: Começaram a valer as proibições e as disposições originais sobre letramento em IA.
• 2 de agosto de 2025: Começaram a valer as obrigações para modelos de IA de propósito geral e as disposições de governança.
• 2 de agosto de 2026: Aplicação geral, incluindo as regras de transparência do Artigo 50.
• 2 de dezembro de 2026: Transição específica do Artigo 50(2) para determinados fornecedores de sistemas de conteúdo sintético que já estavam no mercado antes de 2 de agosto de 2026; não se trata de uma prorrogação geral das obrigações de transparência.
• 2 de dezembro de 2027: Sistemas de alto risco do Anexo III.
• 2 de agosto de 2028: IA de alto risco incorporada a produtos regulados abrangidos pelo Anexo I.

Esses são alguns dos marcos; o cronograma de implementação da Comissão identifica as disposições e transições associadas.

Para o fundador, o primeiro passo é identificar seu papel e o uso pretendido. A Comissão descreve um escopo que alcança atores públicos e privados dentro e fora da União Europeia quando colocam IA no mercado europeu, a colocam em serviço ou a utilizam na União Europeia. Também cita determinados usos ligados a emprego e avaliação de crédito como exemplos de alto risco. O número de funcionários, sozinho, não resolve nenhuma dessas questões. Perguntas frequentes da Comissão sobre escopo e classificação.

Se você opera um chatbot voltado a clientes, revise agora as exigências aplicáveis de informar o uso de IA. Se desenvolve sistemas e considera automatizar atividades ligadas à contratação de pessoas, avalie o uso pretendido antes de tratá-lo como um assistente comum de redação. Mantenha no inventário a data e a fonte dessa avaliação.

O guia de ferramentas para o AI Act da União Europeia do site complementa este artigo com orientações de compra. Para as datas e os requisitos resumidos aqui, consulte as fontes oficiais acima.

O que enviar com um questionário de segurança do cliente?

Envie evidências compatíveis com a pergunta do cliente e com o serviço que você presta. Não existe um pacote mínimo universal que garanta a aprovação: um cliente que avalia a redação de textos internos tem preocupações diferentes das de quem compra um sistema autônomo com acesso a dados de produção.

Para uma primeira análise dos usos comuns de IA no negócio, reúna estes seis itens de evidência:

1. Política aprovada e responsável: Uma política atualizada, sua data de aprovação, o escopo e o executivo responsável.
2. Trecho relevante do inventário: Os usos de IA envolvidos no serviço prestado ao cliente, incluindo fornecedores, categorias de dados, permissões e responsáveis.
3. Evidências sobre fornecedores: A avaliação e os termos ou configurações que sustentam esses usos. Compartilhe apenas o que seus contratos permitem.
4. Exemplo de revisão e teste: Um registro com informações sensíveis ocultadas, mostrando que uma saída ou alteração real foi verificada com base em critérios definidos, incluindo o que aconteceu quando houve uma reprovação.
5. Registro de orientação da equipe: Quem recebeu as regras aplicáveis e como aprendeu o caminho para relatar problemas e solicitar aprovações.
6. Fluxo de incidentes e exercício: Contatos, autoridade para interromper o uso e um registro de incidente concluído ou uma simulação claramente identificada.

Não envie prompts sensíveis ou dados de clientes apenas para dar uma aparência de completude ao pacote. Apresente um resumo com escopo definido e ofereça acesso restrito aos registros de apoio pertinentes.

Uma resposta útil ao questionário explicita os limites. Somente se esses controles estiverem implementados, uma formulação como esta se sustenta:

A redação de respostas de atendimento com apoio de IA consta do nosso cadastro de uso de IA. O líder de atendimento responde pelo fluxo. Funcionários autorizados revisam as respostas antes do envio, a integração não pode emitir reembolsos e os incidentes seguem nosso processo de segurança existente. Podemos fornecer a política pertinente, a avaliação do fornecedor e um registro de revisão com informações sensíveis ocultadas.

Se um controle está planejado, descreva-o como planejado e informe o responsável e a data prevista. Se você avaliou apenas o atendimento, não dê a entender que a declaração abrange vendas e engenharia. Substitua afirmações amplas como “toda a IA está em conformidade” pelo escopo específico e pelas evidências que você consegue sustentar.

Ao conselho, apresente decisões, não o volume de documentos: quais usos estão aprovados, quais podem agir em sistemas externos, que falhas relevantes ocorreram, quais exceções continuam abertas e o que exige aprovação executiva. Use números do seu próprio cadastro; um inventário incompleto deve ser identificado como incompleto.

Quem precisa agir agora e o que pode esperar?

Aja agora sempre que a IA lidar com informações de clientes, assumir compromissos ou puder alterar um sistema em operação. Comece pelas permissões e pelos responsáveis antes de ampliar sua autoridade.

Fundadores: Definam o executivo responsável e deixem de aprovar usos apenas por conversas informais. Em uma empresa pequena, a mesma pessoa pode acumular funções, mas cada decisão ainda precisa de um registro.

Líderes de operação: Separem a redação de textos das ações com consequências em vendas e atendimento. Um líder sênior de operações de uma empresa hipotética de 400 pessoas deve conseguir identificar o responsável por cada fluxo sem percorrer uma cadeia de mensagens encaminhadas.

Desenvolvedores: Reavaliem o uso ao conectar uma ferramenta, mudar o acesso a dados ou colocar em produção uma configuração substancialmente diferente. Uma aprovação existente para geração de texto não significa aprovação para operações de escrita em produção.

Compradores: Peçam evidências ao fornecedor antes de conceder acesso a informações sensíveis. Considerem um software de governança quando os registros e as aprovações manuais deixarem de ser confiáveis para o conjunto de usos da empresa. O comparativo de plataformas de governança de agentes de IA aborda essa decisão de compra.

A certificação formal e uma plataforma dedicada de governança podem esperar se nenhuma das duas for exigida e os controles atuais continuarem administráveis. Um rascunho interno inofensivo não precisa do mesmo rito de aprovação que um agente capaz de alterar contas. Os controles existentes podem ser mantidos quando finalidade, dados, permissões e risco permanecerem iguais, respeitando a revisão programada.

Treinamento em governança de IA precisa refletir o trabalho de cada pessoa

Treine as pessoas para as decisões que elas precisam tomar. Uma apresentação genérica de conscientização não ensina a um funcionário do atendimento como interromper uma integração insegura.

Entregue à equipe de vendas um rascunho com uma promessa sobre o produto que não tenha respaldo. Dê ao atendimento uma resposta que misture informações de clientes diferentes. Apresente aos desenvolvedores uma alteração plausível que enfraqueça uma verificação de acesso. Peça que identifiquem o problema, rejeitem a saída e usem o canal correto para relatá-lo.

Registre a orientação, a participação e o acompanhamento. Repita a parte relevante quando o fluxo mudar ou um incidente revelar uma lacuna. Trate isso como uma recomendação operacional, não como uma afirmação de que toda empresa precisa comprar um curso específico ou cumprir uma quantidade fixa de horas de treinamento.

Onde está o exagero nas promessas de governança de IA?

O erro mais caro é confundir um documento ou uma ferramenta de governança com um controle que funciona.

Uma política não restringe uma credencial. Se o assistente tem acesso amplo de escrita, uma frase dizendo “peça aprovação” não remove esse acesso. Alinhe a regra à permissão técnica.

A revisão humana não oferece garantia automática. Ela precisa de critérios, material de origem, autoridade e uma resposta para quando o revisor encontrar um problema. Acompanhe as falhas que passaram despercebidas e corrija o processo.

A garantia do fornecedor não descreve o seu fluxo de trabalho. Verifique o serviço e o escopo abrangidos; depois, avalie seus próprios acessos a dados, integrações e decisões operacionais.

Uma certificação não torna toda saída correta. Use-a como evidência sobre o sistema de gestão avaliado. Continue verificando os comportamentos que podem afetar seus clientes.

Um painel não assume a responsabilidade por uma decisão. Alguém ainda precisa aceitar um risco, reduzir o escopo de uso ou interrompê-lo. Se não estiver claro quem é essa pessoa, comprar mais uma camada de relatórios não resolverá a lacuna.

Perguntas frequentes

A governança de dados será substituída pela IA?

A IA pode ajudar em tarefas de governança, mas a responsabilidade pela qualidade dos dados, pelo acesso, pelos usos permitidos e pela retenção continua precisando de um responsável. Mantenha esses controles e acrescente regras sobre como a IA usa os dados e age a partir de suas saídas.

O que faz a GovAI?

A GovAI é um centro de estudos que apoia tomadores de decisão do governo e da indústria com pesquisas sobre IA avançada e programas de formação de talentos em governança. É uma organização própria, não o nome de um padrão de conformidade empresarial. Missão da GovAI.

Qual é um dos principais desafios da IA na governança?

Manter o uso aprovado alinhado ao uso real. Um sistema pode ganhar uma nova fonte de dados ou permissão para executar ações enquanto uma avaliação antiga ainda o descreve como assistente de redação. Faça com que essas mudanças exijam uma revisão.

O que é governança de segurança da IA?

É a definição de responsabilidades e a supervisão das decisões de segurança da IA: tratamento de informações, acesso, testes, implantação e resposta a incidentes. Integre-a ao processo de segurança que você já opera e defina quem pode desativar cada fluxo de IA.

Qual é um exemplo de governança de IA?

Um assistente de atendimento redige respostas com base em documentos aprovados, enquanto um funcionário designado confere a resposta antes do envio. O assistente não pode emitir reembolsos. A empresa registra a avaliação do fornecedor, verifica acessos inadequados a dados e oferece à equipe um caminho para relatar falhas.

Vale a pena seguir carreira em governança de IA?

Vale explorar a área se você gosta de conectar o comportamento técnico a políticas, decisões de risco e evidências. Avalie cada vaga pelas responsabilidades e competências exigidas; o título do cargo, sozinho, diz pouco sobre o trabalho.

Qual é o salário de quem trabalha com governança de IA?

Não existe um salário único útil para esse rótulo. Compare faixas salariais atuais de vagas na mesma localidade, no mesmo nível de senioridade e com o mesmo escopo, distinguindo funções de risco operacional, avaliação técnica e pesquisa em políticas. Um número que misturasse tudo esconderia essas diferenças.

Quais 5 profissões vão sobreviver à IA?

Nenhuma lista fixa de cinco profissões oferece garantia de que elas sobreviverão sem mudanças. Para uma carreira em governança, concentre-se em competências úteis em diferentes funções: investigar falhas, verificar evidências, entender permissões e explicar decisões a quem responde pelo resultado.

Como começar a trabalhar com governança de IA?

Comece por um fluxo de trabalho delimitado que você tenha autorização para avaliar. Crie sua entrada no inventário, identifique possíveis falhas, proponha controles e produza evidências a partir de uma revisão ou de um exercício claramente identificado. Isso demonstra a ligação entre uma política e sua aplicação.

O primeiro passo na segunda-feira

Peça às equipes de vendas, atendimento e engenharia que levem seus usos ativos de IA a uma breve sessão de trabalho. Defina o executivo responsável, preencha o cadastro e escolha o fluxo com maior potencial de consequência para clientes ou dados.

Percorra esse fluxo desde os dados aprovados até a saída, a revisão e qualquer ação. Confirme quem pode interrompê-lo. Simule uma falha, registre as lacunas e atribua cada correção a uma pessoa. Use as descobertas na próxima resposta a um cliente ou atualização ao conselho.

Para orientações práticas sobre o uso de IA dentro de uma empresa, assine a newsletter.