A governança da IA está a tomar forma: o que muda para a sua transformação

Em poucos anos, a inteligência artificial passou do estatuto de inovação com enquadramento mínimo para o de domínio regulado. O símbolo disso é o AI Act europeu, o primeiro quadro horizontal do mundo: classifica os sistemas por nível de risco, proíbe determinados usos e impõe obrigações graduadas, desde a transparência para os modelos de uso geral até às exigências mais pesadas para os sistemas de alto risco, com um calendário de aplicação que se estende por vários anos.

Para uma organização que utiliza IA, mesmo que apenas como utilizadora de ferramentas do mercado, a consequência é concreta: a governança da IA torna-se um dispositivo de pleno direito, com os seus papéis, os seus controlos, a sua documentação, as suas provas. Um dispositivo que, como todos os outros, pode ser maduro ou embrionário.

Reduzir o tema a Bruxelas seria um erro de perímetro. Os reguladores setoriais estabelecem as suas próprias expectativas: supervisores financeiros sobre os modelos de decisão, autoridades de saúde sobre os dispositivos médicos, autoridades de proteção de dados sobre os tratamentos algorítmicos. Outras jurisdições avançam com quadros próprios, o que complica a vida de qualquer exportador.

E a pressão mais rápida nem sequer é regulamentar, é comercial: os grandes clientes incluem cláusulas de IA nos seus contratos, as seguradoras começam a colocar questões, os concursos públicos exigem garantias. O questionário de fornecedor que ontem pedia a sua política de segurança pede hoje a sua governança da IA.

Na prática, um dispositivo digno desse nome cobre alguns pontos invariáveis: um inventário dos sistemas e usos de IA, incluindo os que entram pela porta pequena das ferramentas SaaS; uma qualificação dos riscos por uso; papéis e responsabilidades nomeados; controlos proporcionados, da revisão humana à monitorização de desvios; e uma documentação que permite provar tudo isto a um auditor, a um cliente ou a um regulador.

Nada disto é exótico: são os gestos clássicos da conformidade, aplicados a um objeto novo e em constante mudança. A dificuldade não é conceptual, é de execução: saber em que ponto se está, em cada entidade, e manter a trajetória ao longo do tempo.

Todas as abordagens sérias começam no mesmo ponto: o inventário dos sistemas e dos usos. E é quase sempre um choque: entre os módulos de IA embutidos nas ferramentas SaaS, os usos oficiosos de assistentes generativos pelas equipas e os projetos-piloto esquecidos, o perímetro real ultrapassa largamente o perímetro conhecido pela direção.

Governar um perímetro fictício não protege de nada. O inventário honesto, esse sim, permite classificar: quais os usos inofensivos, quais tocam em decisões sobre pessoas, quais cairão na categoria de alto risco. É essa classificação que dimensiona o esforço, e muda tudo no orçamento.

A experiência das regulamentações anteriores, da proteção de dados à cibersegurança, ensina uma coisa: as organizações que se saem bem são as que transformam cedo a exigência num dispositivo medido, em vez de esperarem pelo prazo para improvisar. Quem viveu a entrada em vigor do RGPD sabe exatamente do que se fala.

A abordagem assenta em quatro gestos: mapear os usos de IA, avaliar a maturidade da sua governança segundo um referencial estruturado, identificar os desvios face às obrigações que a afetam realmente, e desenrolar um plano de ação datado, reavaliado a cada ciclo. O nosso catálogo conta com 19 referenciais de dados e IA para apoiar este processo, do quadro de governança genérico às exigências regulamentares específicas.