A governança da IA está se consolidando: o que isso muda para sua transformação

Em poucos anos, a inteligência artificial deixou de ser uma inovação com regulação mínima para se tornar um domínio regulamentado. O símbolo disso é o AI Act europeu, primeiro marco horizontal do mundo sobre o tema: ele classifica os sistemas por nível de risco, proíbe determinados usos e impõe obrigações graduais, da transparência exigida dos modelos de uso geral até as exigências pesadas para sistemas de alto risco, com um cronograma de aplicação que se estende por vários anos.

Para uma organização que utiliza IA, mesmo que apenas como usuária de ferramentas do mercado, a consequência é concreta: a governança da IA se torna um dispositivo próprio, com seus papéis, controles, documentação e evidências. Um dispositivo que, como todos os outros, pode ser maduro ou embrionário.

Reduzir o tema a Bruxelas seria um erro de escopo. Os reguladores setoriais definem suas próprias expectativas: supervisores financeiros sobre modelos de decisão, autoridades de saúde sobre dispositivos médicos, autoridades de proteção de dados sobre tratamentos algorítmicos. Outras jurisdições avançam com marcos próprios, o que complica a vida de qualquer empresa exportadora.

E a pressão mais rápida nem sequer é regulatória, é comercial: os grandes clientes contratantes incluem cláusulas sobre IA em seus contratos, as seguradoras começam a fazer perguntas, as licitações públicas exigem garantias. O questionário de fornecedor que ontem perguntava sobre sua política de segurança hoje pergunta sobre a governança da sua IA.

Na prática, um dispositivo digno desse nome cobre alguns elementos invariáveis: um inventário dos sistemas e usos de IA, incluindo aqueles que entram pela porta dos fundos das ferramentas SaaS; uma qualificação dos riscos por uso; papéis e responsabilidades definidos; controles proporcionais, da revisão humana ao monitoramento de desvios; e uma documentação que permita comprovar tudo isso a um auditor, um cliente ou um regulador.

Nada disso é exótico: são as práticas clássicas de conformidade, aplicadas a um objeto novo e em constante mudança. A dificuldade não é conceitual, é de execução: saber em que ponto se está, em cada entidade, e manter a trajetória ao longo do tempo.

Todas as iniciativas sérias começam no mesmo lugar: o inventário dos sistemas e usos. E quase sempre é um choque: entre os módulos de IA embutidos nas ferramentas SaaS, os usos informais de assistentes generativos pelas equipes e os projetos piloto esquecidos, o escopo real ultrapassa amplamente aquele conhecido pela diretoria.

Governar um escopo fictício não protege de nada. Já o inventário honesto permite classificar: quais usos são inofensivos, quais afetam decisões sobre pessoas, quais vão se enquadrar como alto risco. É essa classificação que dimensiona o esforço, e ela muda tudo no orçamento.

A experiência com regulamentações anteriores, da proteção de dados à cibersegurança, ensina uma coisa: as organizações que se saem bem são aquelas que transformam cedo a exigência em um dispositivo mensurável, em vez de esperar o prazo final para improvisar. Quem viveu a entrada em vigor do GDPR sabe exatamente do que estamos falando.

O processo se resume a quatro etapas: mapear seus usos de IA, avaliar a maturidade da sua governança com base em um referencial estruturado, identificar as lacunas em relação às obrigações que realmente lhe dizem respeito, e desdobrar um plano de ação com prazos, reavaliado a cada ciclo. Nosso catálogo conta com 19 referenciais de dados e IA para apoiar essa etapa, do marco de governança genérico às exigências regulatórias específicas.