Governança de IA: quem decide, quem aprova e quem responde

Governança de IA é o que separa uma empresa que usa inteligência artificial com controle de uma que descobre, tarde demais, que há dezenas de soluções rodando sem dono. Ela não precisa ser pesada. Precisa responder três perguntas: quem decide, quem aprova e quem responde.

Este artigo mostra uma estrutura simples, que protege a empresa sem travar os projetos.

O que é governança de IA?

Governança de IA é o conjunto de papéis, regras e rotinas que define como a empresa escolhe, aprova, acompanha e encerra o uso de inteligência artificial. Ela cobre decisões de negócio, riscos, dados, segurança e responsabilidade pelos resultados.

A palavra assusta porque lembra burocracia. Mas a boa governança faz o contrário: ela acelera, porque as equipes sabem o que podem fazer sem pedir licença e o que precisa passar por aprovação.

Por que a governança de IA ficou urgente?

Porque o uso de IA se espalhou mais rápido que as regras. Segundo a McKinsey, em The state of AI in 2025, 88% das organizações já usam IA em pelo menos uma função. Em muitas delas, esse uso começou de baixo para cima, sem coordenação.

O resultado comum é uma mistura de ferramentas contratadas por áreas diferentes, dados de clientes circulando em serviços externos e agentes tomando ações nos sistemas sem que alguém saiba exatamente quais. Nada disso é necessariamente um problema. Mas sem governança, ninguém sabe dizer se é.

Quem decide, quem aprova e quem responde?

Cada papel tem uma função clara. A tabela resume a divisão mais comum.

A regra de ouro: toda solução de IA em operação tem um dono de negócio com nome. Sem isso, ninguém responde quando algo dá errado.

Como montar um comitê de IA enxuto?

Um comitê enxuto tem de quatro a seis pessoas e se reúne com frequência curta e fixa. Comitês grandes demoram, e projetos param esperando a próxima reunião.

Uma composição que costuma funcionar:

• Um executivo patrocinador, que coordena e desempata.
• Alguém de tecnologia, para segurança e integração.
• Alguém do jurídico ou de conformidade, para LGPD e contratos.
• Um ou dois donos de processo, que trazem a visão da operação.

O comitê não aprova tudo. Ele define critérios. Soluções de baixo risco seguem por um caminho rápido. Só as de risco alto passam por análise completa.

O que deve ter uma política de uso de IA?

A política de uso diz o que as pessoas podem e não podem fazer com IA, em linguagem simples. Ela deve caber em poucas páginas e ser lida por todos.

1. Ferramentas aprovadas: quais podem ser usadas e para quê.
2. Dados proibidos: que tipo de informação nunca pode ser enviada a serviços externos.
3. Revisão humana: em quais casos uma pessoa precisa aprovar o que a IA produziu.
4. Transparência: quando informar clientes ou parceiros que houve uso de IA.
5. Como pedir uma nova solução: o caminho para propor e aprovar um novo uso.

Uma política clara reduz o uso escondido. Quando as pessoas sabem o que é permitido, elas param de improvisar.

Por que manter um inventário de agentes?

Porque não dá para governar o que não se conhece. O inventário é uma lista viva de todas as soluções de IA em operação, com as informações essenciais de cada uma.

Para cada agente ou aplicação, registre:

• Nome e objetivo.
• Dono de negócio e responsável técnico.
• Sistemas que ele acessa e ações que pode executar.
• Dados que ele usa, incluindo dados pessoais.
• Nível de risco e tipo de revisão humana.
• Data da última avaliação.

Um exemplo: um agente que só lê contratos e gera resumos tem risco menor do que um que aprova pagamentos no ERP. O inventário deixa essa diferença visível.

Como avaliar os riscos de cada solução?

A avaliação de risco olha para o que a solução pode fazer de errado e qual o tamanho do impacto. Quanto mais autonomia e mais dados sensíveis, mais cuidado.

As perguntas principais são poucas: a solução toma decisões sozinha ou só sugere? Ela acessa dados pessoais ou financeiros? Um erro afeta clientes diretamente? Existe forma de desfazer uma ação errada?

Com base nas respostas, a empresa define o nível de revisão humana. O tema é aprofundado em humano no circuito: aprovação em IA e, para dados pessoais, em LGPD e segurança em projetos de IA.

Como funciona a auditoria de IA?

A auditoria confere, de tempos em tempos, se as soluções continuam fazendo o que deveriam e se as regras estão sendo seguidas. Ela não precisa ser complexa.

1. Revise o inventário e confirme se cada agente ainda tem dono.
2. Verifique uma amostra de casos tratados pela IA e compare com o esperado.
3. Confira os registros de ações executadas nos sistemas.
4. Avalie se os indicadores de qualidade e uso continuam dentro da meta.
5. Decida manter, ajustar ou desligar cada solução.

Uma revisão por semestre costuma bastar para a maioria das soluções. As de risco alto merecem acompanhamento mais próximo.

Na Horia, cada agente entregue já sai com dono definido, registro de ações e regras de revisão humana, para que entre no inventário da empresa desde o primeiro dia.