Governança de IA: o que é, por que importa e como implantar na sua empresa

Na maioria das empresas, a inteligência artificial já está em uso, às vezes sem que a diretoria saiba. Colaboradores resumem contratos em chatbots públicos, áreas assinam ferramentas por conta própria e integrações com IA ganham acesso a sistemas internos. Governança de IA é o que transforma esse uso espontâneo em uso seguro, mensurável e alinhado à estratégia.

O que é governança de IA

Governança de IA é o conjunto de políticas, papéis, processos e controles que define como a inteligência artificial pode ser usada, comprada e desenvolvida na empresa. Na prática, ela responde a perguntas como:

• Quais ferramentas de IA estão aprovadas e para quê?
• Que dados podem, e quais não podem, ser enviados a um modelo de IA?
• Quem aprova um novo caso de uso e com base em quais critérios?
• Como medir a qualidade e o custo das respostas?
• Quando uma decisão precisa de revisão humana?
• Quem responde quando algo dá errado?

Por que isso virou prioridade

Shadow AI. O uso de ferramentas de IA sem conhecimento da empresa é comum e difícil de enxergar. Cada documento colado em uma ferramenta pública é um dado que saiu do controle da organização.

LGPD. A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer tratamento de dados pessoais, inclusive por sistemas de IA. Isso envolve base legal, transparência, segurança e atenção aos direitos dos titulares, como o de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado.

Clientes e parceiros. Questionários de segurança e contratos passaram a perguntar como o fornecedor usa IA e protege os dados envolvidos.

Regulação. A União Europeia aprovou o AI Act, que afeta empresas que operam com o mercado europeu, e o debate sobre um marco legal da IA avança no Brasil. Quem estrutura a governança agora se adapta com menos custo.

Novos tipos de ataque. Aplicações com modelos de linguagem têm vulnerabilidades próprias, como a injeção de prompt, que firewalls e antivírus não detectam.

Os componentes de um programa de governança de IA

1. Inventário de usos de IA: onde a IA já é usada, por quem, com quais dados e fornecedores.
2. Política de uso aceitável: regras claras e curtas, escritas para quem não é técnico.
3. Papéis e comitê: quem aprova, quem opera, quem audita.
4. Classificação de risco: cada caso de uso recebe um nível de risco e os controles correspondentes.
5. Avaliação de impacto: especialmente quando há dados pessoais ou decisões que afetam pessoas.
6. Gestão de fornecedores: contratos, localização dos dados e uso (ou não) dos dados para treinar modelos.
7. Framework de desenvolvimento seguro: padrões para construir aplicações e agentes com IA.
8. Testes de segurança e qualidade: antes e depois de cada entrada em produção.
9. Monitoramento e melhoria contínua: indicadores, incidentes e revisões periódicas.
10. Capacitação: a política só funciona se as pessoas a conhecem e entendem o porquê.

Os frameworks de referência

Referência	O que é	Para que serve
ISO/IEC 42001	Norma internacional de sistema de gestão de IA, publicada em 2023	Estruturar a gestão de IA com requisitos auditáveis, no mesmo modelo da ISO 27001
NIST AI RMF	Framework de gestão de riscos de IA do instituto de padrões dos EUA	Organizar os riscos em quatro funções: governar, mapear, medir e gerenciar
OWASP Top 10 para LLMs	Lista das falhas mais críticas em aplicações com modelos de linguagem	Orientar testes como injeção de prompt, vazamento de dados e agência excessiva
MITRE ATLAS	Base de táticas e técnicas de ataque contra sistemas de IA	Modelar ameaças e planejar testes de segurança
LGPD	Lei brasileira de proteção de dados pessoais	Bases legais, direitos dos titulares e segurança no tratamento

Não é preciso adotar tudo de uma vez. Um bom programa usa a ISO/IEC 42001 como estrutura, o NIST AI RMF para gerir riscos, o OWASP e o MITRE ATLAS para a segurança técnica e a LGPD como requisito legal.

Roteiro de implantação em 90 dias

• Semanas 1 e 2 — Inventário: questionário para as áreas, análise de ferramentas contratadas e entrevistas. Resultado: o mapa de onde a IA já está.
• Semanas 3 e 4 — Política e papéis: política de uso aceitável, lista de ferramentas aprovadas e definição do comitê.
• Semanas 5 a 8 — Riscos e controles: classificação de risco dos casos de uso, avaliação de impacto, revisão de contratos com fornecedores.
• Semanas 9 a 12 — Framework e testes: padrões de desenvolvimento seguro, testes de segurança nas aplicações existentes e treinamento das equipes.

Depois disso, a governança vira rotina: cada novo caso de uso passa pelo fluxo de aprovação e cada aplicação é testada antes de chegar ao cliente.

O que não pode faltar na política de uso de IA

• Ferramentas aprovadas e para quais finalidades.
• Dados proibidos: dados pessoais sensíveis, segredos comerciais, informações de clientes sem autorização.
• Obrigação de revisar o conteúdo gerado antes de usá-lo ou enviá-lo.
• Transparência: quando informar a clientes que um conteúdo ou atendimento usa IA.
• Como pedir a aprovação de uma nova ferramenta ou caso de uso.
• Como comunicar um incidente.

Erros comuns

• Proibir tudo. A proibição total empurra o uso para a clandestinidade e aumenta a shadow AI.
• Escrever uma política que ninguém lê. Política boa é curta, prática e acompanhada de treinamento.
• Tratar governança como tarefa só do jurídico ou só da TI. Ela precisa do negócio, da TI, da segurança e do jurídico juntos.
• Esquecer o pós-produção. Modelos mudam e o comportamento das aplicações muda junto; monitorar é parte do trabalho.

A Devnture estrutura programas de governança e segurança de IA de ponta a ponta, do inventário aos testes de segurança, e prepara a empresa para a ISO/IEC 42001. Se ainda está no começo, veja também como implementar IA na empresa em 6 passos.

Perguntas frequentes