Governança de IA na empresa: o que o conselho deve cobrar

O que é governança de IA na empresa?

Governança de IA na empresa é o conjunto de decisões, papéis e controles que dá à liderança visibilidade e autoridade sobre tudo que a IA faz dentro do negócio. Ela responde a quatro perguntas para cada uso: quem aprovou, quem responde pelo resultado, que risco foi aceito e quem pode desligar. Uma política de uso aceitável cobre só uma parte do problema, porque trata do que o funcionário pode digitar num assistente. Um agente que concilia pagamentos, responde cliente ou classifica crédito pede mais do que isso. Ele executa tarefas em nome da empresa, com efeito no caixa, no cliente e no risco regulatório, e precisa da mesma cadeia de responsabilidade que um processo crítico tem hoje.

A definição importa porque muda quem senta à mesa. Quando a governança fica restrita à TI ou ao jurídico, ela vira lista de proibições e fila de aprovação. Quando o conselho e a diretoria assumem o tema, ela vira regra de alocação: onde a IA pode entrar sem pedir licença, onde precisa de revisão e onde não entra.

No mid-market brasileiro, vemos com frequência a governança chegar depois do primeiro incidente. O agente já está rodando, alguém percebe uma resposta errada para um cliente, e só então a empresa descobre que ninguém tinha autoridade formal para pausar a automação.

Por que cada agente de IA precisa de um dono com nome?

Cada agente de IA precisa de um dono com nome porque é o dono quem aprova exceções, acompanha o resultado e decide pausar a execução quando algo sai do esperado. Sem essa figura, o agente fica entre a TI, que mantém a infraestrutura, e a área de negócio, que usa a saída, e nenhuma das duas responde pelo efeito no P&L.

O dado da IBM reforça a tese no nível executivo. O estudo do IBM Institute for Business Value com a Dubai Future Foundation, publicado em julho de 2025, ouviu mais de 600 Chief AI Officers em 22 países e 21 setores. Apenas 26% das organizações pesquisadas têm um executivo dedicado à IA. As que têm relatam retorno 10% maior sobre o investimento em IA. Quando esse executivo conduz um modelo operacional centralizado ou do tipo hub-and-spoke, a diferença chega a 36%.

A empresa mid-market raramente cria um cargo novo de C-level para o tema, e nem precisa. O princípio vale em escala menor: responsabilidade clara no topo e um dono de negócio para cada agente na operação. O dono registra por que o agente existe, que número ele mexe e em que condição ele para. Esse registro é a matéria-prima do Decision Log, que preserva o critério mesmo quando o gestor muda de cadeira.

Como classificar o risco de IA sem travar a operação?

A forma mais eficiente de classificar o risco de IA é separar os usos por faixa e reservar a revisão profunda para a minoria que realmente pede. O artigo AI Risk Management Needs a Better Model, do BCG, publicado em março de 2026, mostra que muitos programas de governança foram desenhados para poucos modelos geridos de forma central. Hoje o portfólio de muitas empresas passou de um punhado de modelos para centenas de sistemas e ferramentas, e a revisão igual para todos virou gargalo.

A proposta do BCG é uma triagem em quatro faixas:

Faixa	O que entra	Tratamento	Peso estimado pelo BCG
Autoatendimento	Usos rotineiros e de baixo risco	Liberados com salvaguardas já testadas	Ao menos 75% dos pedidos
Confiar e verificar	Usos parecidos com outros já aprovados	Reaproveitam controles do playbook, com checagem	Até 20%
Revisão estratégica	Usos novos ou de alto impacto, como agentes que agem sozinhos	Análise profunda antes de ir à produção	De 5% a 15%, conforme o apetite a risco
Proibido	Usos fora do apetite da empresa	Não entram	Sem estimativa

A triagem traz um benefício lateral. Cada controle aprovado vai para um playbook compartilhado e passa a valer para casos semelhantes. Com o tempo, a empresa ganha também um inventário do que roda e de quanto risco aceitou.

Revisão humana basta para controlar um agente de IA?

Revisão humana só controla um agente de IA quando é desenhada junto com o sistema, com critério escrito, revisor qualificado e tempo reservado no orçamento. Colocar uma pessoa para aprovar a saída do modelo dá sensação de controle, mas o revisor sem critério tende a aceitar o que a máquina sugere. O artigo You Won't Get GenAI Right If Your Human Oversight Is Wrong, do BCG, de março de 2025, resume o ponto numa frase: a supervisão precisa ser desenhada desde a concepção do produto, junto com o sistema.

O mesmo texto oferece um teste simples para o comitê. Se os testes indicam que o sistema erra 20% das vezes e os revisores reprovam só 5% das saídas, a diferença sugere viés de automação: as pessoas estão confiando demais. O BCG também registra que as organizações que escalam IA com sucesso dedicam 70% do esforço a pessoas e processos.

Para o conselho, a consequência prática é exigir três coisas de cada agente da faixa de revisão estratégica:

1. Um roteiro de revisão por escrito, com o que o revisor deve checar.
2. A taxa de reprovação em produção comparada à taxa de erro medida em teste.
3. O custo da revisão humana incluído no caso de negócio desde a aprovação.

O terceiro item conecta a governança ao retorno. Revisão custa tempo de gente, e esse custo entra na conta que descrevemos em ROI de projetos de IA.

O que o conselho deve receber sobre IA a cada trimestre?

O conselho deve receber sobre IA, a cada trimestre, um relatório de uma página com o inventário de agentes, o dono de cada um, a faixa de risco, o número de negócio que cada agente move e os incidentes do período. Esse formato permite decidir sobre capital e risco sem descer ao detalhe técnico, que é a função da diretoria.

O relatório trimestral costuma ter cinco blocos:

• Inventário: quantos agentes estão em produção, em teste e desligados desde a última reunião.
• Responsabilidade: o dono de negócio de cada agente e quem tem autoridade para pausá-lo.
• Risco: a distribuição dos usos pelas faixas da triagem e qualquer pedido que subiu de faixa.
• Resultado: a métrica de negócio de cada agente comparada com a linha de base.
• Incidentes: o que deu errado, o que foi feito e que controle mudou no playbook.

A pauta também protege o próprio conselho. Quando a autoridade sobre a IA está escrita e o inventário é conhecido, o colegiado consegue demonstrar que supervisionou o tema. Na nossa prática, esse desenho entra na fase de Sustentação da Jornada AI, quando os agentes já estão em produção e o custo e o risco precisam ficar sob controle.

Perguntas frequentes

Empresa mid-market precisa de um Chief AI Officer?

A empresa mid-market precisa de responsabilidade clara sobre IA, e isso pode ficar com um diretor que já existe. O essencial é que um executivo responda ao conselho pelo portfólio de IA e que cada agente tenha um dono de negócio. Um cargo novo faz sentido quando o número de agentes em produção cresce a ponto de exigir dedicação exclusiva para coordenar áreas, fornecedores e controles.

Quem deve aprovar um novo agente de IA?

A aprovação depende da faixa de risco. Usos de autoatendimento seguem regras já publicadas e dispensam comitê. Usos parecidos com outros aprovados passam por checagem rápida do dono e da área de risco. Agentes novos ou de alto impacto vão para revisão estratégica, com participação do jurídico, da segurança da informação e do executivo que responde pela IA perante o conselho.

Governança de IA atrasa a adoção na empresa?

Governança de IA mal desenhada atrasa a adoção, porque trata todo pedido com o mesmo rigor. A triagem por faixa resolve o problema: libera rápido o uso rotineiro e concentra a análise nos poucos casos de alto risco. Bem feita, a governança acelera a adoção, porque as áreas sabem de antemão o que podem fazer sem pedir licença.

Qual a relação entre governança de IA e LGPD?

A LGPD já se aplica a qualquer agente que trate dado pessoal de cliente, fornecedor ou funcionário. A governança de IA organiza esse cumprimento: o inventário mostra quais agentes tocam dado pessoal, a triagem leva esses casos para revisão mais cuidadosa e o dono do agente responde pela base legal e pela finalidade do tratamento, com apoio do encarregado de dados.

Se a sua empresa já tem agentes rodando e o conselho ainda não sabe quem responde por eles, comece pela Jornada AI, que organiza a ordem dos casos de uso, os donos e os controles antes de escalar.