Na semana passada escrevi aqui sobre a discussão que tivemos na reunião da Comissão de Riscos do IBGC - Instituto Brasileiro de Governança Corporativa de junho, em que fizemos uma reflexão essencial para o momento atual das empresas de que a inteligência artificial deixou de ser uma promessa tecnológica distante, deixou de ser apenas um experimento de inovação e passou a ser um tema relevante de estratégia, governança, riscos, cultura, controles, ética, competitividade e responsabilidade fiduciária.
Em que a pergunta relevante já não é se a IA será adotada, pois ela já foi adotada, ainda que muitas vezes de forma fragmentada, silenciosa, informal e pouco governada, mas a pergunta que realmente importa para conselhos, comitês, diretorias e linhas de defesa é outra sobre se a empresa está apenas usando IA ou está efetivamente governando IA?
Essa diferença é decisiva. Usar IA significa ter ferramentas em operação, pilotos em andamento, pessoas testando soluções, áreas automatizando tarefas, times buscando produtividade, profissionais utilizando modelos generativos para escrever, pesquisar, resumir, programar, analisar, comparar e decidir com mais velocidade. Governar IA, por outro lado, significa saber onde ela está sendo usada, por quem, com quais dados, com qual finalidade, com qual fornecedor, com qual nível de autonomia, com quais permissões, com qual supervisão humana, com quais métricas de valor, com quais controles, com qual trilha de auditoria, com qual apetite a risco e com qual responsabilização executiva.
Queria comentar sobre a segunda parte da reunião com uma palestra que foi especialmente feliz ao deslocar o tema da IA do campo do encantamento para o campo da responsabilidade corporativa. Em que existe um entusiasmo legítimo com a tecnologia, pois IA pode reduzir ciclos de decisão, melhorar análises preditivas, apoiar conselhos com informações em tempo real, acelerar a construção de cenários, identificar riscos emergentes, personalizar produtos, aumentar eficiência operacional, criar novas fontes de receita e ampliar a capacidade de supervisão.
Mas existe também uma verdade menos confortável sobre que a adoção é muito mais rápida do que a maturidade. A IA já entrou na operação de muitas empresas, mas poucas a escalaram com governança robusta, arquitetura segura, dados confiáveis, controles testados, métricas claras e accountability definido.
Esse é o ponto é (ou deveria ser) importante para conselhos de administração, em que a IA não é apenas tecnologia, mas a IA é um modelo operacional. Quando uma empresa incorpora inteligência artificial em seus processos, ela não está apenas instalando uma ferramenta, mas está alterando a forma como decide, executa, controla, aprende, monitora, se relaciona com clientes, avalia riscos, estrutura produtos, gerencia talentos, responde a incidentes e presta contas. Portanto IA precisa ser tratada como um tema de governança corporativa, não apenas como uma pauta de tecnologia da informação.
A discussão também trouxe uma provocação importante inspirada na chamada "Lei de Amara", em que tendemos a superestimar o impacto de uma tecnologia no curto prazo e subestimá-lo no longo prazo. Esse é um alerta preciso para o momento atual. No curto prazo há muito ruído, muita promessa, muita pressão comercial, muitos pilotos e muito discurso sobre produtividade. No longo prazo, porém, a IA tende a alterar profundamente a estrutura de trabalho, a arquitetura de decisões, o desenho de controles, a formação de profissionais, a relação entre humanos e sistemas, a responsabilidade dos administradores e a própria natureza da supervisão exercida pelos conselhos.
Por isso o conselho não deve tratar a IA como uma onda passageira nem como uma moda tecnológica. Também não deve tratá-la com medo paralisante, pois o desafio é construir um ponto de equilíbrio entre inovação e prudência, velocidade e controle, valor e risco, autonomia e supervisão, eficiência e responsabilidade. Empresas que adotarem IA sem governança podem acelerar fragilidades. Empresas que bloquearem IA por desconhecimento podem perder relevância competitiva. Empresas que governarem IA com maturidade poderão transformar tecnologia em vantagem estratégica, resiliência operacional e inteligência decisória.
O debate mostrou que a IA já é percebida por líderes empresariais como uma agenda estratégica. A questão não é mais convencer a alta administração de que IA existe, mas a questão é fazer com que a alta administração e o conselho entendam que adoção não garante retorno. Muitas empresas já usam IA em ao menos uma função de negócio, muitas já testam IA generativa, mas uma parcela muito menor conseguiu escalar plenamente a tecnologia de forma integrada. Esse dado é relevante porque revela a distância entre experimentação e captura de valor. Há uma diferença profunda entre possuir casos de uso isolados e transformar IA em capacidade empresarial.
Essa distância explica por que muitos CEOs ainda não percebem aumento concreto de receita ou redução relevante de custos com IA, pois o problema muitas vezes não está na tecnologia, mas na falta de clareza estratégica. A empresa compra ferramentas, contrata plataformas, libera pilotos, cria laboratórios, realiza eventos internos, mas não define com precisão quais problemas de negócio pretende resolver. Sem problema claro, não há caso de uso robusto. Sem caso de uso robusto, não há desenho de processo. Sem desenho de processo, não há controle. Sem controle, não há escala. Sem escala, não há retorno sustentável. E sem retorno sustentável, a IA se transforma em despesa tecnológica com narrativa sofisticada, mas sem impacto material.
O primeiro papel do conselho, portanto, é exigir que a IA seja conectada à estratégia corporativa. Pois não basta perguntar sobre quais ferramentas estamos usando, mas a pergunta correta é sobre quais objetivos estratégicos a IA está ajudando a alcançar? Está reduzindo tempo de decisão? Está melhorando a qualidade da análise de crédito? Está reduzindo perdas operacionais? Está aumentando conversão comercial? Está melhorando experiência do cliente? Está reduzindo fraudes? Está aumentando precisão de previsões? Está fortalecendo compliance? Está melhorando auditoria contínua? Está ajudando a identificar riscos emergentes? Está criando produtos que antes não seriam viáveis? Está aumentando margem? Está reduzindo custo de servir? Está melhorando governança? Está diminuindo risco residual?
Quando a IA não está vinculada a uma tese clara de valor, ela vira dispersão. Quando está vinculada a uma tese clara, ela pode ser priorizada, financiada, medida, governada e supervisionada. Por isso uma boa agenda de IA para conselhos deve começar pela formulação de uma pergunta simples e poderosa sobre qual é a tese de valor da IA para esta empresa?
Essa tese de valor precisa ser específica. Em uma instituição financeira, por exemplo, IA pode apoiar originação de crédito, monitoramento de fraudes, prevenção à lavagem de dinheiro, análise comportamental, precificação, cobrança inteligente, atendimento automatizado, monitoramento regulatório, gestão de capital, testes de estresse, auditoria contínua, gestão de incidentes cibernéticos e análise de dados não estruturados. Em uma seguradora, pode apoiar subscrição, precificação atuarial, detecção de sinistros suspeitos, desenvolvimento de produtos, análise de documentos, atendimento a corretores, triagem de reclamações e modelagem de risco. Em uma empresa industrial, pode apoiar manutenção preditiva, otimização de cadeia de suprimentos, segurança operacional, qualidade, controle de energia, planejamento de demanda e redução de perdas.
Cada caso de uso tem um perfil de risco diferente. Essa foi uma das reflexões mais importantes da discussão de que não existe uma IA genérica do ponto de vista de governança. Há aplicações de baixo risco, aplicações de risco moderado e aplicações críticas. Uma ferramenta usada para resumir atas internas não deve ser governada da mesma forma que um agente autônomo com acesso a base de clientes, sistemas transacionais, APIs, códigos, contratos, dados pessoais sensíveis ou ambientes produtivos.
Por isto que o conselho precisa exigir uma taxonomia de casos de uso, classificando aplicações por materialidade, criticidade, autonomia, sensibilidade de dados, impacto financeiro, impacto sobre clientes, impacto regulatório, dependência de terceiros e reversibilidade da decisão.
Essa taxonomia é o ponto de partida para uma governança proporcional ao risco. Usos de IA para apoio colaborativo, como redação, organização de agendas, sumarização de documentos públicos ou apoio a brainstorming, exigem políticas de uso, treinamento, proteção de confidencialidade e orientação sobre limites. Usos de IA em processos transacionais, como decisão de crédito, aprovação de pagamentos, interação com clientes, execução de comandos, concessão de descontos, alteração de bases, priorização de alertas, bloqueio de operações ou geração de código em ambiente produtivo, exigem controles muito mais robustos: validação independente, segregação de funções, trilhas de auditoria, monitoramento contínuo, revisão humana, limites de autonomia, gestão de acessos, testes de robustez, avaliação jurídica, plano de contingência e reporte à governança.
Essa distinção entre IA de conteúdo e IA agente foi um dos pontos mais relevantes da discussão. A IA de conteúdo responde, resume, organiza, interpreta, escreve, traduz, classifica e auxilia, já a IA agente, por sua vez, executa. Ela pode tomar uma instrução, quebrá-la em etapas, buscar dados, consultar sistemas, acionar ferramentas, chamar outros agentes, gerar comandos, alterar registros, produzir documentos, interagir com APIs e completar tarefas com autonomia. A mudança é profunda porque o risco deixa de estar apenas na resposta errada e passa a estar na ação errada.
Uma resposta errada já pode gerar danos. Uma ação errada pode gerar danos muito maiores. Se uma IA responde equivocadamente a uma pergunta interna, o risco pode ser corrigido por revisão humana. Mas se um agente com permissões excessivas altera um banco de dados, executa uma rotina indevida, deleta registros, gera dados falsos, aciona clientes, aprova operações ou modifica um código, o dano pode ser operacional, financeiro, regulatório, reputacional e jurídico. O conselho precisa entender que o grau de autonomia muda completamente a natureza do risco.
Esse ponto leva a uma das regras mais importantes da governança de IA de que permissão é risco. Em ambientes tradicionais de tecnologia, o excesso de permissão sempre foi uma fragilidade. Em ambientes de IA, o excesso de permissão pode se transformar em risco exponencial, porque um agente não apenas acessa: ele interpreta, combina, aprende, executa e encadeia ações. Por isso, princípios clássicos como mínimo privilégio, segregação de funções, need to know, dupla validação, ambiente segregado, controle de mudança, limite de execução, logs imutáveis e monitoramento contínuo precisam ser reinterpretados para a era da IA.
Em termos práticos, um agente de IA não deveria ter acesso irrestrito a bases produtivas, ambientes críticos, dados sensíveis, credenciais administrativas ou comandos de alteração sem controles explícitos. Deve haver limites técnicos e processuais sobre o que ele pode ver, o que pode fazer, onde pode executar, quando precisa de aprovação humana, quais ações são bloqueadas por padrão, quais operações exigem confirmação, quais registros são gerados e como a empresa detecta comportamento anômalo. A pergunta fundamental é se a IA tem poder demais para o caso de uso que deveria resolver?
A nossa discussão também trouxe à tona o risco de conexões externas e vazamento de dados. Muitos modelos e ferramentas podem buscar bibliotecas, consultar fontes externas, utilizar recursos de internet, conectar-se a ambientes de nuvem, gerar arquivos, processar documentos e interagir com sistemas fora do perímetro tradicional da empresa. Isso cria uma via de mão dupla: a IA pode trazer recursos externos para dentro, mas também pode levar informações internas para fora. Em alguns casos, o usuário final nem compreende plenamente o que está acontecendo. Ele acredita estar apenas gerando um relatório, uma planilha, uma análise ou um código, mas pode estar expondo dados, metadados, estruturas internas, lógica de negócio, informações de clientes ou propriedade intelectual.
Esse risco exige governança de dados muito mais madura, pois sem governança de dados, não há governança de IA. Modelos alimentados por dados errados, incompletos, enviesados, desatualizados, sensíveis ou sem autorização adequada produzirão resultados frágeis e potencialmente perigosos. A empresa precisa saber quais dados entram, quais dados saem, onde são processados, quem acessa, por quanto tempo ficam armazenados, se são usados para treinamento, se são anonimizados, se são mascarados, se são criptografados, se podem ser auditados e se há base legal, contratual e regulatória para seu uso.
Para conselhos, isso significa que IA e governança de dados devem ser tratadas como agendas inseparáveis. O conselho deve perguntar se a empresa possui catálogo de dados, classificação de dados, linhagem, data owners, regras de qualidade, controles de acesso, processos de anonimização, monitoramento de exposição, regras para dados pessoais, retenção e descarte, gestão de consentimento quando aplicável, controles contratuais com fornecedores e capacidade de rastrear quais dados alimentam quais modelos. Sem essa base, a empresa estará automatizando incerteza.
Outro risco relevante é a dependência de sistemas "black-box". A expressão é conhecida, mas sua implicação de governança nem sempre é compreendida. Um sistema black-box não é apenas um modelo complexo, mas é uma estrutura decisória cuja lógica não é suficientemente compreendida, documentada, testada ou explicável pela empresa que a utiliza. O risco não está apenas no fato de a matemática ser sofisticada, mas o risco está no fato de a empresa não conseguir explicar, contestar, monitorar, auditar ou interromper adequadamente decisões automatizadas ou assistidas por IA.
Em setores regulados esse ponto é ainda mais sensível. Quando um cliente é recusado, quando uma transação é bloqueada, quando um alerta de PLD é priorizado, quando um sinistro é negado, quando uma recomendação é feita, quando um preço é alterado, quando um risco é classificado, quando uma cobrança é acionada ou quando uma decisão material é influenciada por IA, a empresa precisa ser capaz de demonstrar governança. Não basta dizer que “o modelo recomendou”, pois responsabilização continua sendo humana e institucional. O conselho deve exigir explicabilidade proporcional ao impacto da decisão, trilhas de auditoria, documentação, testes, monitoramento de performance, controles de viés e mecanismos de contestação.
Aqui entra um conceito essencial de que o "human-in-the-loop" não pode ser teatro de governança. Muitas empresas afirmam que há revisão humana, mas na prática o humano apenas carimba a recomendação da máquina, sem tempo, conhecimento, dados ou autonomia para desafiar o output. Isso cria uma falsa sensação de controle. Revisão humana efetiva exige competência, independência, tempo, critérios, registro, capacidade de discordar e métricas sobre quantas recomendações foram aceitas, ajustadas ou rejeitadas. Se a revisão humana é automática, ela não é revisão; é formalidade.
A palestra também abordou a dimensão da capacidade organizacional. Uma das principais barreiras para implementar IA responsável não é apenas tecnologia, mas conhecimento, treinamento, orçamento, clareza regulatória, limitações técnicas, resistência organizacional e falta de apoio executivo. Esse diagnóstico é muito relevante porque mostra que a governança de IA exige uma combinação de capital humano, estrutura, patrocínio, investimento e disciplina. Não adianta comprar tecnologia avançada com uma empresa imatura em governança. A IA amplifica a maturidade ou a imaturidade do ambiente em que é inserida.
Esse ponto se conecta diretamente ao papel dos conselhos. Muitos conselheiros ainda têm conhecimento limitado sobre IA, e em muitas empresas a IA ainda nem aparece de forma consistente na pauta do conselho. Esse é um risco de supervisão. O conselho não precisa se tornar especialista técnico, mas precisa desenvolver alfabetização digital estratégica suficiente para formular perguntas relevantes, desafiar premissas, compreender impactos, avaliar riscos e decidir sobre investimentos e apetite a risco. Um conselho que não entende minimamente IA tende a depender excessivamente da administração, dos fornecedores ou da área de tecnologia. Essa dependência reduz sua capacidade de supervisão.
Alfabetização digital estratégica não significa aprender a programar, mas significa compreender conceitos como da IA generativa, modelos fundacionais, agentes autônomos, machine learning, dados de treinamento, prompts, alucinação, viés algorítmico, drift de modelo, explicabilidade, RAG, fine-tuning, APIs, trilhas de auditoria, gestão de acessos, segurança cibernética, privacidade, dependência de fornecedores, risco de modelo, validação independente, monitoramento contínuo e resiliência operacional. Esse vocabulário mínimo permite ao conselho transformar IA de tema abstrato em objeto concreto de governança.
A agenda de capacitação deve incluir conselheiros, diretoria, executivos, áreas de negócio, tecnologia, jurídico, compliance, riscos, auditoria, segurança da informação, privacidade, recursos humanos e comunicação. A IA não respeita organogramas tradicionais, pois atravessa processos, dados, clientes, fornecedores, sistemas e decisões. Por isso que a governança de IA precisa ser multidisciplinar. Quando a IA fica restrita à tecnologia, o risco de desalinhamento aumenta. Quando fica restrita à inovação, o risco de controles frágeis aumenta. Quando fica restrita a compliance, o risco de perda de valor aumenta. O equilíbrio está em conectar estratégia, negócio, risco, tecnologia e governança.
Um ponto especialmente relevante da discussão foi a necessidade de um manifesto ou estratégia formal de IA. Essa ideia é muito poderosa, em que as empresas precisam declarar de forma clara, qual é sua ambição com IA, quais princípios orientam o uso da tecnologia, quais usos são desejados, quais são tolerados, quais são restritos e quais são proibidos. Esse manifesto deve ser mais do que uma peça de comunicação. Ele deve orientar políticas, arquitetura, investimentos, priorização de casos de uso, controles, treinamento, contratação de fornecedores, gestão de dados e reporte ao conselho.
Sem esse manifesto, a empresa abre espaço para Shadow AI. Assim como no passado o Shadow IT surgiu quando áreas de negócio passaram a contratar soluções tecnológicas fora da governança formal, o Shadow AI surge quando profissionais e áreas começam a usar ferramentas de IA sem avaliação, sem homologação, sem política, sem controle de dados, sem gestão de fornecedores, sem rastreabilidade e sem supervisão. O risco é ainda maior porque muitas ferramentas são fáceis de usar, baratas, acessíveis, intuitivas e aparentemente inofensivas. A facilidade de adoção é justamente o que torna o risco mais difícil de controlar.
Shadow AI pode ocorrer de muitas formas. Um colaborador pode inserir dados confidenciais em ferramenta pública. Uma área pode contratar um assistente de IA sem envolver segurança da informação. Um time pode usar IA para gerar código sem revisão adequada. Um executivo pode alimentar um modelo externo com informações estratégicas. Uma área comercial pode usar IA para segmentar clientes sem avaliação de privacidade ou viés. Um departamento pode automatizar respostas a clientes sem validação jurídica. Um fornecedor pode incorporar IA em um serviço crítico sem comunicar a empresa. Um profissional pode usar IA para analisar documentos sensíveis sem compreender onde os dados serão processados. Cada caso isolado pode parecer pequeno, mas o conjunto cria uma exposição corporativa relevante.
Por isso o conselho deve exigir um inventário completo de IA. Esse inventário deve mapear ferramentas, modelos, agentes, fornecedores, casos de uso, áreas usuárias, dados utilizados, criticidade, nível de autonomia, integração com sistemas, permissões, controles existentes, responsáveis, métricas e status de aprovação. Sem inventário, não há governança. A empresa não consegue controlar o que não conhece. E, no caso de IA, o desconhecido pode estar crescendo rapidamente dentro da própria operação.
A discussão também reforçou a importância de definir apetite a risco para IA. Esse talvez seja um dos pontos mais negligenciados nas empresas. Muitas falam de política de IA, mas poucas traduzem o tema em apetite a risco. O conselho deve definir quais níveis de exposição são aceitáveis em relação a dados, autonomia, fornecedores, explicabilidade, revisão humana, uso em decisões críticas, exposição regulatória, risco reputacional, uso por clientes, uso por colaboradores e impacto financeiro. O apetite a risco deve responder por exemplo se a empresa permite uso de IA pública com dados internos, se agentes podem atuar em ambiente produtivo, se decisões automatizadas podem afetar clientes sem revisão humana, se fornecedores podem usar dados da empresa para treinamento, se códigos gerados por IA podem ir para produção, se ferramentas não homologadas são toleradas, e quais exceções exigem aprovação executiva ou reporte ao conselho.
A partir do apetite a risco, a empresa deve criar limites objetivos. Alguns exemplos práticos são de que nenhum dado sensível em ferramenta pública não homologada, ou que nenhum agente autônomo com acesso administrativo sem aprovação formal, ou que nenhum modelo crítico sem validação independente, ou que nenhum output de IA em comunicação externa crítica sem revisão humana, ou que nenhum código gerado por IA em produção sem testes e revisão, ou que nenhum fornecedor de IA crítico sem avaliação de segurança, privacidade, continuidade e cláusulas contratuais específicas, ou que nenhum caso de uso material sem dono executivo definido, ou que nenhum sistema black-box crítico sem trilha de auditoria mínima, ou que nenhuma decisão de alto impacto sobre cliente sem mecanismo de contestação ou explicação proporcional.
A governança de IA também deve estar integrada às três linhas de defesa. A primeira linha formada pelas áreas de negócio e operação, é dona do risco. Ela identifica oportunidades, propõe casos de uso, opera processos, conhece clientes, define necessidades e deve garantir que a IA seja usada dentro das regras aprovadas. A segunda linha formada por riscos, compliance, controles internos, segurança, privacidade e áreas correlatas, deve estabelecer metodologias, desafiar a primeira linha, classificar riscos, medir exposições, monitorar indicadores, revisar aderência ao apetite a risco e consolidar reporte. A terceira linha da auditoria interna, deve avaliar a efetividade da governança, testar controles, verificar evidências, revisar documentação, desafiar a qualidade das trilhas de auditoria, avaliar maturidade e reportar deficiências ao conselho e ao comitê de auditoria.
Esse modelo precisa ser prático. Não pode virar burocracia que bloqueia inovação, mas também não pode ser tão leve que apenas legitima riscos não compreendidos. O equilíbrio está em criar um processo ágil de aprovação e acompanhamento de casos de uso, com classificação por criticidade. Casos simples podem ter aprovação mais rápida e controles padronizados. Casos críticos precisam passar por avaliação multidisciplinar, testes técnicos, revisão jurídica, análise de dados, validação de segurança, avaliação de fornecedores, definição de métricas, plano de contingência e acompanhamento periódico.
A IA também deve entrar na matriz de riscos corporativa. Isso não significa criar um único risco chamado “risco de IA” e encerrar o assunto. A IA é uma fonte transversal de risco que pode afetar várias categorias: risco estratégico, risco operacional, risco cibernético, risco de modelo, risco de dados, risco de terceiros, risco legal, risco regulatório, risco reputacional, risco de conduta, risco de privacidade, risco trabalhista, risco ESG, risco de continuidade, risco de fraude e risco de capital humano. O conselho deve exigir que a empresa avalie como a IA altera a probabilidade, o impacto, a velocidade e a interconectividade desses riscos.
No campo de risco estratégico, a IA pode criar vantagens competitivas, mas também pode tornar modelos de negócio obsoletos. Empresas que não adotarem IA podem perder eficiência, velocidade e personalização. Empresas que adotarem mal podem sofrer incidentes, sanções, perda de confiança e desperdício de capital. O risco estratégico está em errar o timing, errar a ambição, errar o investimento, errar a governança ou errar a leitura competitiva.
No campo de risco operacional, a IA pode automatizar processos, mas também pode automatizar falhas. Pode reduzir tempo de execução, mas também criar dependência de sistemas. Pode melhorar consistência, mas também produzir erros em escala. Pode apoiar controles, mas também burlar controles se mal desenhada. O risco operacional se agrava quando agentes têm autonomia sem limites, quando processos críticos dependem de modelos não testados, quando não há contingência manual, quando outputs não são revisados e quando não há monitoramento contínuo.
No campo de risco cibernético, a IA amplia a superfície de ataque e também muda a velocidade da ameaça. A discussão trouxe uma reflexão importante sobre a assimetria entre velocidade de máquina e defesa tradicional. Se atacantes utilizam IA para identificar vulnerabilidades, automatizar exploração, encadear ataques e adaptar comportamentos, as empresas não podem responder apenas com processos manuais, ciclos lentos de correção e monitoramento convencional. Surge a necessidade de defesa mais automatizada, inteligência de ameaças, remediação acelerada, priorização baseada em risco, proteção de superfície exposta e integração entre segurança, risco e tecnologia.
Essa assimetria é importante, pois no passado a empresa podia descobrir uma vulnerabilidade, classificar, abrir chamado, planejar correção, testar, aprovar mudança e implementar em ciclos relativamente longos, mas com a IA estas vulnerabilidades podem ser identificadas, exploradas e encadeadas em velocidade muito superior. Isso exige uma revisão do modelo de vulnerability management, patch management, attack surface management, detecção e resposta, gestão de identidade, proteção de APIs, segurança em nuvem, monitoramento de comportamento e resposta a incidentes. O conselho deve perguntar se a empresa está pronta para responder em velocidade compatível com a ameaça.
No campo de risco de modelo, a IA traz desafios de validação, performance, drift, explicabilidade, robustez, vieses, dependência de dados e estabilidade. Modelos podem funcionar bem em determinado contexto e degradar com o tempo. Podem apresentar resultados diferentes quando o perfil de dados muda. Podem aprender padrões indesejados. Podem ser sensíveis a prompts maliciosos ou inputs adversariais. Podem produzir respostas plausíveis, mas incorretas. Podem gerar confiança indevida. A empresa precisa tratar modelos de IA críticos com a mesma disciplina aplicada a modelos relevantes de risco, com documentação, validação independente, testes periódicos, limites de uso, monitoramento de performance e plano de descontinuidade.
No campo de risco de terceiros, a IA aumenta a dependência de fornecedores de nuvem, plataformas, modelos fundacionais, ferramentas de automação, integradores, consultorias, bases externas, APIs e provedores de dados. A empresa pode se tornar dependente de sistemas que não controla, contratos que não compreende plenamente, modelos que mudam sem aviso, políticas de uso que evoluem, custos que escalam e provedores que concentram infraestrutura crítica. Gestão de terceiros em IA deve incluir due diligence técnica, segurança, privacidade, continuidade, localização e uso de dados, direito de auditoria, subcontratados, propriedade intelectual, incidentes, reversibilidade, portabilidade e exit plan.
No campo de risco legal e regulatório, a IA pode afetar proteção de dados, direitos de consumidores, propriedade intelectual, relações trabalhistas, discriminação, decisões automatizadas, responsabilidade civil, dever de informação, segurança de produtos, publicidade, prestação de serviços regulados, terceirização e accountability dos administradores. A ausência de uma regulação totalmente madura não deve ser interpretada como liberdade irrestrita, mas, ao contrário, em ambientes de incerteza regulatória, a boa governança deve ser ainda mais prudente, documentada e baseada em princípios.
No campo de risco reputacional, a IA pode gerar danos rápidos e visíveis. Um atendimento automatizado inadequado, uma decisão discriminatória, um vazamento de dados, uma resposta ofensiva, uma recomendação equivocada, uma falha em produto, uma automação sem transparência ou um incidente cibernético amplificado por IA pode comprometer confiança. E confiança em mercados regulados e em empresas com relacionamento direto com clientes é ativo estratégico.
No campo de capital humano, a palestra trouxe uma reflexão muito relevante sobre o futuro do trabalho. A IA tende a impactar especialmente funções de entrada e posições de nível médio, enquanto posições seniores podem ganhar ainda mais relevância por exigirem julgamento, experiência, visão sistêmica e capacidade de decisão em contextos ambíguos. Esse tema deve entrar na agenda do conselho porque há um risco silencioso sobre se a IA automatiza etapas iniciais da carreira, como formar os profissionais que no futuro terão julgamento sênior?
Essa pergunta é fundamental. Muitos profissionais aprendem fazendo tarefas consideradas repetitivas: revisar documentos, preparar análises, consolidar dados, montar relatórios, fazer reconciliações, estudar exceções, comparar contratos, responder demandas, corrigir erros, participar de reuniões, observar decisões, elaborar hipóteses e receber feedback. Se essas tarefas forem eliminadas sem redesenho de formação, a empresa pode ganhar produtividade no curto prazo e perder capacidade de desenvolvimento no longo prazo. O conselho deve tratar IA também como tema de sucessão, formação, cultura e aprendizagem organizacional.
A IA não substitui apenas tarefas. Ela altera trilhas de carreira. Profissionais de início de carreira precisarão aprender a trabalhar com IA, mas também precisarão desenvolver fundamentos. Saber usar uma ferramenta não substitui saber pensar. Um analista que apenas aceita outputs de IA sem compreender lógica financeira, riscos, dados, premissas e limitações pode se tornar operador de prompts, não profissional de julgamento. Empresas precisarão formar pessoas que saibam combinar capacidade analítica, conhecimento técnico, senso crítico, ética, curiosidade, disciplina de validação e fluência em IA.
Esse ponto dialoga diretamente com a frase apresentada na palestra atribuída a Karim Lakhani: a IA não substituirá humanos de forma genérica, mas humanos que usam IA substituirão aqueles que não usam. A leitura corporativa mais madura dessa frase não é uma celebração da substituição, mas um chamado à capacitação. O problema não é humano versus IA. O problema é humano sem IA, humano com IA sem julgamento e humano com IA com governança. O diferencial estará na combinação entre tecnologia e responsabilidade.
A palestra também trouxe a ideia de governança aumentada. Esse é um conceito poderoso para conselhos. A IA pode ajudar conselhos a acessar dashboards de KPIs e KRIs em tempo real, consolidar informações dispersas, identificar tendências, comparar dados internos e externos, sintetizar documentos extensos, preparar perguntas para reuniões, simular cenários, monitorar planos de ação, identificar atrasos, mapear riscos emergentes e apoiar análise de materialidade. Em tese isso pode elevar muito a qualidade da supervisão.
Mas a governança aumentada também traz riscos. Um dashboard inteligente pode dar sensação de precisão onde há dados ruins. Um agente especializado pode omitir incertezas. Uma síntese pode perder nuances. Um modelo pode priorizar o que é mensurável e reduzir a atenção ao que é relevante, mas difícil de quantificar. Um conselho pode se tornar dependente de relatórios automatizados sem compreender premissas. Por isso, a IA deve aumentar a governança, não substituir o diálogo, a experiência, o contraditório e o julgamento.
Conselhos eficazes não serão aqueles que terceirizam sua pauta para IA, mas aqueles que usam IA para fazer perguntas melhores. A IA pode apoiar a preparação, mas não substitui a deliberação. Pode organizar evidências, mas não substitui prudência. Pode acelerar leitura de materiais, mas não substitui responsabilidade fiduciária. Pode identificar padrões, mas não substitui ética. Pode simular cenários, mas não substitui decisão humana diante da incerteza.
Um conselho preparado para IA deve incorporar algumas perguntas recorrentes à sua agenda. A empresa possui estratégia formal de IA aprovada? Existe inventário de casos de uso? Há classificação de criticidade? Quem é o responsável executivo? Qual é o apetite a risco? Quais ferramentas são homologadas? Quais usos são proibidos? Quais dados podem ser utilizados? Há controle sobre Shadow AI? Os fornecedores foram avaliados? Há revisão de segurança? Há avaliação de privacidade? Há validação independente dos modelos críticos? Existem trilhas de auditoria? Há revisão humana efetiva? Existem KPIs de valor e KRIs de risco? A auditoria interna incluiu IA no plano? O conselho recebe reporte periódico? Os incidentes são reportados? Há plano de contingência? Há orçamento para governança, segurança, testes e capacitação?
Essas perguntas não devem ser feitas apenas uma vez, mas devem compor um ciclo contínuo de supervisão. IA não é projeto com começo, meio e fim. IA é capacidade organizacional em evolução. Modelos mudam. Dados mudam. Fornecedores mudam. Regulação muda. Ataques mudam. Casos de uso mudam. Pessoas mudam. O que hoje é aceitável pode amanhã ser insuficiente. Por isso, a governança de IA precisa ser dinâmica, com revisão periódica de maturidade, atualização de políticas, reciclagem de treinamentos, reavaliação de fornecedores, testes contínuos e monitoramento de incidentes.
A agenda de ação apresentada para conselhos pode ser desdobrada em cinco frentes. A primeira é alfabetização digital estratégica. Conselheiros precisam compreender IA como tema econômico, regulatório, ético, operacional e competitivo. Não basta receber uma apresentação anual. É necessário construir repertório, acompanhar tendências, participar de discussões estruturadas e desenvolver capacidade de desafiar a administração.
A segunda frente é maturidade de governança de IA. O conselho deve exigir avaliação periódica da maturidade da empresa. Essa avaliação pode considerar dimensões como estratégia, políticas, inventário, dados, arquitetura, segurança, privacidade, gestão de terceiros, validação de modelos, monitoramento, métricas, cultura, treinamento, linhas de defesa, auditoria e reporte. O objetivo não é obter uma nota decorativa, mas identificar lacunas, priorizar investimentos e reduzir risco residual.
A terceira frente é estrutura de governança. Algumas empresas precisarão criar comitês temáticos de tecnologia, dados e IA. Outras poderão adaptar comitês existentes, como risco, auditoria, estratégia, inovação ou sustentabilidade. O desenho deve refletir porte, setor, complexidade e maturidade da empresa. O importante é que exista foro claro para discutir IA com profundidade, participação multidisciplinar e conexão com o conselho.
A quarta frente é IA na matriz de riscos e ESG. IA deve ser integrada à gestão de riscos corporativos e aos indicadores ESG. No “E”, há impacto ambiental relacionado a consumo computacional, energia e infraestrutura. No “S”, há impacto sobre trabalho, clientes, inclusão, vieses, acessibilidade, capacitação e efeitos sociais. No “G”, há transparência, accountability, ética, compliance, controles, segurança e supervisão. IA, portanto, não é apenas digital; é também governança e sustentabilidade.
A quinta frente é diretrizes e políticas. A empresa precisa definir regras claras para uso seguro, ético e orientado a valor. Essas regras devem tratar de confidencialidade, dados, fornecedores, ferramentas autorizadas, uso por colaboradores, uso em decisões críticas, revisão humana, propriedade intelectual, geração de código, comunicação externa, monitoramento, incidentes, exceções e sanções. Uma política de IA deve ser simples o suficiente para ser entendida e robusta o suficiente para orientar decisões complexas.
Mas políticas sozinhas não bastam, pois uma empresa madura precisa combinar política, arquitetura, controles, tecnologia, treinamento, monitoramento e cultura. Política sem monitoramento vira declaração de intenção. Monitoramento sem cultura vira vigilância improdutiva. Cultura sem controles vira confiança ingênua. Controles sem estratégia viram burocracia. Estratégia sem accountability vira discurso. Governança efetiva nasce da integração desses elementos.
A arquitetura também é um ponto-chave. A discussão trouxe a diferença entre modelos centralizados e descentralizados, especialmente quando se comparam aplicações colaborativas com aplicações transacionais. Em usos colaborativos, pode haver soluções corporativas padronizadas, com regras claras e menor criticidade. Em usos transacionais, a empresa precisa ser muito mais cuidadosa. Pode ser necessário criar barramentos internos, manter dados sensíveis dentro do ambiente corporativo, limitar exposição externa, usar modelos privados ou controlados, estabelecer camadas de segurança, bloquear ações indevidas e registrar todas as interações relevantes.
Uma boa arquitetura de IA deve partir do princípio de que nem todo dado deve sair, nem todo modelo deve acessar tudo, nem todo usuário deve poder acionar qualquer ferramenta e nem todo agente deve executar ações sem supervisão. A arquitetura deve incorporar proteções desde o desenho, que não são apenas filtros de conteúdo. São limites técnicos, jurídicos, operacionais e processuais que definem o que a IA pode e não pode fazer. Incluem controle de acesso, limitação de escopo, bloqueio de dados sensíveis, validação de inputs, revisão de outputs, aprovação humana, logs, monitoramento de anomalias, testes de segurança e mecanismos de interrupção.
Outro ponto essencial é a mensuração. Sem métricas, não há governança efetiva. A empresa precisa medir tanto valor quanto risco. KPIs de valor podem incluir redução de tempo de processo, ganho de produtividade, aumento de receita, redução de custo, melhoria de satisfação do cliente, aumento de precisão, redução de retrabalho, aceleração de desenvolvimento, aumento de cobertura de análise e melhoria de eficiência de controles. KRIs de risco podem incluir quantidade de casos de uso não inventariados, uso de ferramentas não homologadas, incidentes de dados, outputs rejeitados, falhas de revisão humana, drift de modelo, exceções de acesso, dependência de fornecedor único, vulnerabilidades críticas, reclamações de clientes, decisões contestadas, falhas de explicabilidade, atrasos de validação e resultados fora de tolerância.
O conselho deve exigir que a administração reporte IA com uma lógica integrada com valor capturado, risco assumido, controles implementados, incidentes ocorridos, lacunas remanescentes e decisões necessárias. Essa é a diferença entre reporte tecnológico e reporte de governança. Um reporte tecnológico diz quantos pilotos existem. Um reporte de governança diz quais pilotos geram valor, quais riscos criam, quais controles têm, quais estão prontos para escalar, quais devem ser interrompidos e quais decisões dependem do conselho.
A palestra também apresentou um case de originação de produtos com multiagentes de IA em uma seguradora brasileira, com três agentes especializados colaborando em tempo real, múltiplas fontes, racionalização por grafos, foco em segurança e confidencialidade, e uma redução muito expressiva do tempo humano necessário para originar novos produtos. Esse case é importante porque mostra o potencial real da IA quando aplicada a um problema concreto, com arquitetura, especialização e governança. Não se trata apenas de gerar texto. Trata-se de orquestrar conhecimento, dados, regras, hipóteses e decisões para acelerar um processo de negócio.
Esse tipo de aplicação mostra a fronteira positiva da IA com a capacidade de criar, simular, comparar e estruturar soluções em velocidade antes impossível. Mas também mostra a necessidade de governança. Se multiagentes podem originar produtos rapidamente, eles também podem gerar riscos rapidamente. Produtos mal desenhados podem criar exposição atuarial, risco regulatório, problemas de conduta, ambiguidades contratuais, falhas de precificação, exclusões inadequadas, riscos reputacionais ou desalinhamento comercial. Portanto, a eficiência do agente deve ser acompanhada por revisão técnica, jurídica, atuarial, regulatória, comercial e de risco.
A principal lição desse case é que IA deve ser vista como acelerador de capacidade, não como substituto de responsabilidade. Ela pode reduzir drasticamente o tempo de produção, mas não deve reduzir a qualidade da governança, mas pelo contrário quanto mais veloz a originação, maior precisa ser a disciplina de validação. Quanto maior a autonomia, maior a necessidade de trilhas. Quanto maior a escala, maior a importância de controles proporcionais.
A discussão também abordou a possibilidade de usar IA para defesa, não apenas para ataque. Esse é um ponto fundamental para gestão de riscos. A mesma tecnologia que pode ser usada por agentes maliciosos para amplificar ameaças pode ser usada pelas empresas para melhorar detecção, priorização, resposta e remediação. Em cibersegurança, por exemplo, IA pode apoiar análise de logs, correlação de eventos, identificação de anomalias, priorização de vulnerabilidades, resposta a incidentes, análise de malware, geração de playbooks, simulação de ataques e automação de remediação. Em compliance, pode apoiar monitoramento regulatório, análise de transações, triagem de alertas, detecção de padrões suspeitos e análise de documentos. Em auditoria, pode ampliar cobertura, identificar exceções e testar controles de forma contínua.
Mas o uso defensivo de IA também exige governança. Não basta colocar IA para defender, mas é preciso saber como ela decide, quais alertas prioriza, quais eventos ignora, quais ações pode executar, quais falsos positivos gera, quais falsos negativos deixa passar, como é supervisionada, como aprende, como é testada e como se integra às equipes humanas. Defesa autônoma sem governança pode se tornar novo risco operacional.
Uma reflexão importante foi a ideia de que o risco inerente com IA é diferente do risco de décadas anteriores, o que exige redesenho de controles para levar o risco residual a patamar controlável. Essa formulação é muito adequada para conselhos e comitês de riscos. Não se trata de eliminar risco. Toda inovação relevante carrega risco. A governança deve permitir que a empresa assuma riscos de forma consciente, mensurada, controlada e compatível com seu apetite. O problema não é correr risco, mas o problema é correr risco sem saber, sem medir, sem controlar e sem prestar contas.
Essa lógica deve orientar a construção de um Apetite de Riscos para IA. A RAS deve definir a postura da empresa diante de IA sobre onde deseja ser agressiva, onde deseja ser prudente, onde não aceita exposição, quais limites são inegociáveis, quais indicadores serão monitorados, quais gatilhos exigem escalonamento, quais exceções podem ser aprovadas e quem tem autoridade para decidir. Em empresas reguladas essa RAS deve se conectar ao apetite de risco operacional, cibernético, modelo, dados, terceiros, compliance e reputação.
Um exemplo prático de que a empresa pode aceitar alto grau de experimentação em ambientes segregados com dados sintéticos, mas baixa tolerância para uso de dados pessoais sensíveis em ferramentas externas. Pode aceitar pilotos de atendimento assistido por IA, mas não decisões automatizadas de alto impacto sem revisão humana. Pode aceitar geração de código por IA, mas não implementação sem revisão, testes e aprovação formal. Pode aceitar fornecedores estratégicos de IA, mas não dependência sem plano de saída. Pode aceitar modelos black-box para aplicações de baixa criticidade, mas exigir explicabilidade e validação reforçada para decisões críticas.
A governança também deve considerar continuidade e resiliência operacional. O que acontece se a ferramenta de IA ficar indisponível? O processo para? Existe contingência manual? A equipe ainda sabe executar sem o modelo? Há dependência de um único fornecedor? Há risco de lock-in? Os dados podem ser migrados? Os prompts, regras, integrações e logs estão documentados? A empresa consegue reconstruir uma decisão tomada com apoio de IA? Consegue responder a uma auditoria, regulador ou ação judicial? Consegue explicar por que uma decisão foi tomada? Consegue desligar um agente rapidamente se ele se comportar de forma inadequada?
Essas perguntas revelam que IA precisa ser incorporada à gestão de continuidade, crise e resiliência. Em algum momento, haverá falhas. Modelos errarão. Ferramentas ficarão indisponíveis. Fornecedores mudarão condições. Dados vazarão. Usuários usarão mal. Ataques ocorrerão. O objetivo da governança não é acreditar que nada dará errado, mas garantir que a empresa detecte, contenha, responda, aprenda e melhore.
No plano cultural a discussão trouxe uma mensagem igualmente relevante de que a IA exige humildade organizacional. Empresas maduras reconhecem que estão aprendendo. Reconhecem que nem todos os riscos são conhecidos. Reconhecem que a tecnologia evolui mais rápido que políticas internas. Reconhecem que conselhos, diretorias e equipes precisam se capacitar continuamente. Reconhecem que a fronteira muda. Essa humildade não significa insegurança; significa prudência intelectual.
A cultura desejada é aquela que estimula experimentação responsável. Colaboradores devem se sentir incentivados a propor casos de uso, mas também obrigados a respeitar regras. Áreas de negócio devem buscar eficiência, mas sem contornar controles. Tecnologia deve habilitar inovação, mas sem minimizar riscos. Riscos e compliance devem desafiar, mas sem bloquear por desconhecimento. Auditoria deve avaliar, mas também ajudar a elevar maturidade. O conselho deve supervisionar, mas também aprender.
Um erro comum é tratar governança de IA como trava. Na verdade, boa governança é acelerador. Empresas com políticas claras, arquitetura segura, dados organizados, papéis definidos e processos de aprovação bem desenhados conseguem escalar IA com mais velocidade e menos retrabalho. Empresas sem governança até avançam rapidamente no início, mas depois enfrentam incidentes, bloqueios, retrabalho, insegurança jurídica, resistência interna e perda de confiança. Governança madura não reduz inovação; reduz improviso.
A discussão também reforçou que IA deve ser incorporada ao ciclo anual de governança. Isso inclui planejamento estratégico, orçamento, gestão de riscos, auditoria interna, avaliação de controles, revisão de políticas, gestão de talentos, avaliação de fornecedores, reporte ao conselho e acompanhamento de planos de ação. A IA não pode ser uma pauta lateral, tratada apenas em eventos ou apresentações especiais. Deve entrar na cadência normal de supervisão.
No planejamento estratégico o conselho deve discutir onde a IA pode alterar vantagem competitiva. No orçamento deve avaliar investimentos em dados, tecnologia, segurança, treinamento e governança. Na gestão de riscos deve avaliar exposições e apetite. Na auditoria deve garantir cobertura dos principais riscos. Em pessoas deve discutir requalificação, formação e sucessão. Em fornecedores deve avaliar dependências. Em sustentabilidade deve analisar impactos sociais, ambientais e de governança. Em comunicação deve avaliar transparência com clientes, investidores e stakeholders.
Para transformar essa agenda em prática, a empresa pode desenvolver um programa corporativo de governança de IA composto por alguns pilares. O primeiro é estratégia e princípios, com manifesto, objetivos, tese de valor e apetite a risco. O segundo é inventário e classificação, com mapeamento de casos de uso, criticidade, dados, fornecedores e responsáveis. O terceiro é dados e arquitetura, com padrões técnicos, ambientes controlados, integrações, segurança e governança de dados. O quarto é políticas e controles, com regras de uso, aprovações, revisão humana, logs, limites de autonomia e gestão de exceções. O quinto é validação e monitoramento, com testes, métricas, KPIs, KRIs, drift, incidentes e auditoria. O sexto é pessoas e cultura, com treinamento, comunicação, capacitação de conselheiros e trilhas de formação. O sétimo é reporte e accountability, com RACI, dono executivo, comitês e prestação de contas ao conselho.
Esse programa deve evitar dois extremos. O primeiro é o experimentalismo disperso, em que cada área faz o que quer, sem coordenação. O segundo é o centralismo paralisante, em que qualquer iniciativa exige um processo tão pesado que a inovação morre. A governança inteligente combina padrões corporativos com autonomia controlada. Define regras claras, mas permite execução ágil. Estabelece limites, mas incentiva casos de uso. Exige evidências, mas não cria burocracia desnecessária. Classifica risco, mas não trata tudo como crítico.
A empresa também deve definir papéis. O conselho supervisiona. A diretoria executiva patrocina. Um executivo responsável coordena o programa. Tecnologia define arquitetura e integração. Segurança protege ambientes e acessos. Dados garante qualidade e governança. Jurídico avalia contratos, responsabilidade, propriedade intelectual e regulação. Compliance avalia conduta, aderência normativa e riscos de integridade. Riscos consolida metodologia, apetite, classificação e KRIs. Auditoria testa efetividade. RH cuida de capacitação e impactos sobre trabalho. Áreas de negócio são donas dos casos de uso. Sem papéis claros, todos usam IA, mas ninguém responde por ela.
A noção de accountability é bem importante, pois a IA não pode virar uma zona cinzenta em que decisões são atribuídas ao sistema, falhas são atribuídas ao fornecedor e riscos são atribuídos à tecnologia. A empresa deve definir quem responde por cada caso de uso, quem aprova, quem monitora, quem valida, quem pode interromper, quem reporta incidentes e quem presta contas ao conselho. Quando a IA influencia decisões materiais, a responsabilidade continua sendo da empresa e de seus administradores.
Essa responsabilidade também se aplica aos conselheiros. O dever de diligência exige que o conselho se informe adequadamente sobre temas relevantes para a empresa. Em um contexto em que IA afeta estratégia, riscos, dados, clientes, pessoas e competitividade, ignorância deliberada não é posição defensável. O conselho não precisa saber tudo, mas precisa saber o suficiente para perguntar, desafiar, registrar, acompanhar e decidir com base em informação adequada.
A palestra e a discussão também mostraram que a IA traz uma nova dimensão de velocidade. A velocidade de adoção, a velocidade de ataque, a velocidade de decisão, a velocidade de geração de conteúdo, a velocidade de automação e a velocidade de mudança tecnológica criam um ambiente em que ciclos tradicionais de governança podem ficar defasados. Reuniões trimestrais podem ser lentas demais para determinados riscos. Políticas anuais podem se tornar rapidamente obsoletas. Planos de ação longos podem perder relevância. O conselho precisa calibrar a cadência de reporte conforme a criticidade da exposição.
Isso não significa transformar o conselho em centro operacional, mas significa definir gatilhos de escalonamento. Determinados incidentes de IA devem ser reportados imediatamente. Certas mudanças de modelo devem ser aprovadas previamente. Exposições acima do apetite devem ser escaladas. Casos de uso críticos devem ter reporte mais frequente. Indicadores fora da tolerância devem gerar plano de ação. O conselho deve receber informação suficiente para supervisionar sem invadir a gestão.
Outro ponto técnico importante é a necessidade de trilhas de auditoria. Em IA a trilha precisa registrar mais do que o resultado final. Deve registrar versão do modelo, fonte dos dados, prompt ou instrução relevante, contexto, output, revisão humana, decisão final, alterações, exceções, logs de acesso e eventuais ações executadas. Sem isso a empresa não consegue reconstruir decisões, investigar incidentes, responder a questionamentos, avaliar vieses ou comprovar diligência.
Em agentes autônomos a trilha é ainda mais crítica, em que é necessário registrar a cadeia de ações: qual objetivo foi dado ao agente, quais ferramentas ele acionou, quais dados consultou, quais decisões intermediárias tomou, quais comandos executou, quais permissões utilizou, quais erros ocorreram, quais aprovações foram solicitadas e quais outputs foram gerados. Sem essa rastreabilidade, a autonomia vira opacidade operacional.
A discussão sobre IA também deve ser incorporada à auditoria interna. A auditoria deve avaliar se a empresa possui governança de IA adequada, se o inventário é completo, se políticas são cumpridas, se casos de uso críticos têm aprovação formal, se dados são protegidos, se modelos são validados, se logs são suficientes, se revisão humana é efetiva, se fornecedores são geridos, se incidentes são reportados e se a segunda linha está atuando com independência. Auditoria não deve esperar que a IA esteja plenamente madura para começar a avaliar. Pelo contrário: deve atuar cedo, ajudando a identificar lacunas antes que se transformem em incidentes relevantes.
Também é necessário incorporar IA à gestão de mudanças. Modelos mudam, prompts mudam, integrações mudam, versões mudam, dados mudam e fornecedores atualizam ferramentas. Cada mudança pode alterar comportamento, performance e risco. Portanto, casos de uso críticos de IA devem ter processo de change management, testes antes de produção, aprovação adequada, plano de rollback, comunicação a usuários e monitoramento pós-implantação.
No campo de segurança cibernética, deve haver controles específicos contra prompt injection, vazamento de dados, manipulação de inputs, uso indevido de plugins, exposição de APIs, acesso não autorizado, movimentação lateral, exploração de credenciais, engenharia social com deepfakes e ataques à cadeia de fornecedores. A fronteira entre cibersegurança e governança de IA será cada vez mais estreita. O conselho deve entender que IA amplia tanto a capacidade defensiva quanto a ofensiva, e que a empresa precisa estar preparada para ambos os lados.
O tema de deepfakes e manipulação de identidade também merece atenção. A IA pode simular voz, imagem, texto e comportamento. Isso aumenta riscos de fraude, engenharia social, manipulação de aprovação, falsas instruções executivas, ataques a pagamentos, reputação e comunicação institucional. Empresas precisarão reforçar procedimentos de autenticação, validação de ordens, controles de pagamento, confirmação fora de banda, treinamento de executivos e protocolos de crise. Em um mundo em que voz e imagem podem ser fabricadas, confiança operacional precisa ser sustentada por controles, não apenas por aparência.
A governança de IA também deve considerar ética e conduta. Um modelo pode reproduzir vieses, discriminar grupos, tratar clientes de forma desigual, recomendar decisões injustas, manipular comportamento, personalizar ofertas de forma abusiva ou reduzir transparência. A ética em IA não deve ser apenas discurso institucional. Deve ser incorporada a critérios de desenvolvimento, validação, monitoramento e revisão. A empresa precisa perguntar sobre se este uso é legal? é seguro? é justo? é explicável? é proporcional? respeita o cliente? preserva autonomia humana? pode gerar dano? quem será afetado? como contestar? como corrigir?
Essa dimensão ética se conecta à confiança. Clientes, investidores, reguladores e colaboradores tenderão a exigir mais clareza sobre como a IA é usada. Empresas que adotarem IA com transparência e responsabilidade poderão fortalecer reputação. Empresas que adotarem IA de forma opaca poderão enfrentar resistência e desconfiança. A confiança será um ativo competitivo na era da IA.
No mercado financeiro em especial, o tema assume relevância ainda maior. Bancos, seguradoras, fintechs, gestores, corretoras, instituições de pagamento e demais agentes regulados lidam com dados sensíveis, recursos de terceiros, decisões de crédito, prevenção a fraudes, suitability, PLD, risco cibernético, risco operacional e confiança sistêmica. A IA pode melhorar muito esses processos, mas também pode criar exposições relevantes. Uma decisão automatizada mal calibrada pode afetar milhares de clientes. Um modelo de fraude enviesado pode bloquear transações legítimas. Um agente com permissões excessivas pode alterar dados críticos. Um fornecedor de IA pode concentrar risco. Uma falha de explicabilidade pode gerar questionamentos regulatórios.
Por isso as empresas financeiras devem tratar IA com a mesma seriedade aplicada a capital, liquidez, crédito, mercado, operacional, cibernético, PLD e continuidade. A IA deve ser incorporada ao arcabouço de controles internos, gestão integrada de riscos, governança de dados, segurança da informação, gestão de terceiros, gestão de modelos e auditoria interna. O conselho deve garantir que a inovação esteja alinhada à resiliência e à confiança.
Um bom caminho é construir um mapa de maturidade de IA. No nível inicial a empresa possui usos dispersos, baixa visibilidade e políticas inexistentes. No nível básico há política geral, algumas ferramentas homologadas e treinamentos iniciais. No nível intermediário há inventário, classificação de casos de uso, comitê multidisciplinar, avaliação de riscos e reporte periódico. No nível avançado há arquitetura robusta, governança de dados, validação independente, KRIs, auditoria, monitoramento contínuo e integração às três linhas de defesa. No nível mais alto a empresa usa IA de forma escalada, segura, mensurada, responsável e conectada à estratégia, com governança adaptativa e cultura madura.
Esse mapa ajuda o conselho a enxergar evolução. Também evita a ilusão de maturidade baseada em número de ferramentas. Uma empresa pode ter muitos casos de uso e baixa maturidade. Outra pode ter menos casos, mas melhor governança. A maturidade deve ser medida pela capacidade de criar valor com controle, não pela quantidade de pilotos.
A discussão também trouxe a necessidade de visão situacional. Em IA, visão situacional significa saber onde a empresa está exposta, quais sistemas usam IA, quais agentes têm autonomia, quais dados circulam, quais fornecedores participam, quais vulnerabilidades existem, quais controles funcionam, quais incidentes ocorreram, quais áreas estão mais maduras e quais riscos estão acima do apetite. Sem visão situacional, o conselho recebe narrativas, não diagnóstico.
Essa visão situacional deve ser complementada por assessment de prontidão. A empresa está pronta para usar IA em processos críticos? Está pronta para responder a incidente? Está pronta para auditar decisões? Está pronta para explicar outputs? Está pronta para lidar com reguladores? Está pronta para desligar um modelo? Está pronta para substituir fornecedor? Está pronta para treinar pessoas? Está pronta para revisar a estratégia? A prontidão é tão importante quanto a ambição.
A IA também exige disciplina de priorização. Nem todo caso de uso merece investimento. Nem toda automação gera valor. Nem toda ferramenta deve ser comprada. Nem todo piloto deve escalar. O conselho deve exigir critérios de priorização baseados em valor, risco, viabilidade, dados disponíveis, maturidade operacional, impacto no cliente, capacidade de controle e alinhamento estratégico. A empresa deve ter coragem de encerrar pilotos que não geram valor ou criam risco desproporcional.
Outro aspecto importante é a qualidade dos prompts e instruções. Embora pareça um detalhe operacional, prompts são uma nova camada de controle e risco. Em sistemas de IA, instruções mal desenhadas podem gerar outputs inadequados, vazamento de informações, execução indevida ou comportamento inesperado. Em ambientes corporativos, prompts críticos devem ser tratados como ativos: documentados, testados, versionados, aprovados e monitorados. Especialmente quando usados em fluxos automatizados ou agentes, prompts deixam de ser simples comandos e passam a ser parte do desenho de controle.
A empresa também deve tratar propriedade intelectual. IA pode gerar textos, códigos, imagens, produtos, contratos, análises e soluções. Mas é preciso entender direitos sobre outputs, riscos de uso de material protegido, condições contratuais de fornecedores, confidencialidade, reutilização de dados e exposição de segredos comerciais. Em setores intensivos em conhecimento, esse tema é estratégico.
No plano de comunicação, as empresas devem ser prudentes. O uso de IA em interação com clientes deve ser transparente quando necessário, supervisionado e alinhado a padrões de conduta. A empresa deve evitar prometer infalibilidade. Deve explicar limites, permitir escalonamento humano, monitorar reclamações e corrigir erros. A pior combinação é IA opaca com atendimento automatizado sem alternativa humana. Isso transforma eficiência em frustração e risco reputacional.
A discussão da Comissão de Riscos do IBGC deixa uma mensagem clara de que a governança de IA não pode ser reativa. Esperar o incidente para criar política é tarde. Esperar o regulador para mapear risco é tarde. Esperar o vazamento para controlar dados é tarde. Esperar a falha de modelo para discutir validação é tarde. Esperar a perda reputacional para criar comitê é tarde. O momento de construir governança é agora, enquanto a adoção ainda pode ser organizada.
A IA também demanda uma nova postura dos conselhos diante da inovação. Conselhos não devem apenas perguntar “qual é o risco?”. Devem perguntar também “qual é o risco de não fazer?”. Em alguns mercados, não adotar IA pode significar perder eficiência, talento, clientes e capacidade analítica. O papel do conselho é equilibrar o risco da adoção com o risco da inação, em que a boa governança não é conservadorismo automático, mas é decisão bem informada.
Esse equilíbrio pode ser expresso em uma frase de que a empresa deve ser ousada na ambição e disciplinada na execução. Ousada para identificar oportunidades reais, redesenhar processos, capacitar pessoas, investir em dados e explorar novos modelos de negócio. Disciplinada para estabelecer limites, proteger dados, validar modelos, supervisionar agentes, medir resultados, auditar controles e prestar contas.
A grande conclusão da palestra e discussão me trouxeram foi que é que IA deve entrar definitivamente no ciclo de estratégia e supervisão. Ela não pode ficar restrita ao CIO, ao CTO, à inovação ou aos entusiastas. Precisa chegar ao conselho como pauta de valor e risco. Precisa aparecer no orçamento. Precisa ser discutida no comitê de riscos. Precisa ser avaliada pela auditoria. Precisa ser compreendida pela diretoria. Precisa ser ensinada aos colaboradores. Precisa ser explicada aos stakeholders. Precisa ser incorporada à cultura.
A IA não substitui a governança, mas ela testa a governança. Empresas com dados ruins, controles frágeis, silos internos, baixa accountability e cultura de improviso terão esses problemas amplificados. Empresas com boa governança, clareza estratégica, controles sólidos, pessoas capacitadas e cultura de responsabilidade terão a oportunidade de amplificar valor. A IA é um espelho da maturidade organizacional.
Esse talvez seja o ponto mais importante para conselhos de que a IA não cria sozinha uma empresa inteligente. Mas ela potencializa a inteligência ou a desorganização que já existe. Se a empresa não sabe quais dados tem, a IA não resolverá. Se não sabe quais riscos assume, a IA não resolverá. Se não tem clareza de estratégia, a IA não resolverá. Se não tem donos de processo, a IA não resolverá. Se não possui cultura de controle, a IA não resolverá. Se não tem disciplina de execução, a IA não resolverá. A IA aumenta a potência do sistema corporativo; por isso, antes de perguntar qual IA usar, a empresa deve perguntar qual governança possui.
A reunião também reforçou que estamos diante de uma fronteira móvel. O que hoje é avançado amanhã será básico. O que hoje é piloto amanhã será padrão. O que hoje parece risco remoto amanhã pode estar incorporado ao cotidiano operacional. Isso exige conselhos mais curiosos, mais preparados, mais atentos e mais conectados à realidade tecnológica. Não para substituir especialistas, mas para exercer supervisão qualificada.
Em última instância, a IA recoloca no centro da governança uma pergunta clássica sobre quem decide, com base em quê, com quais controles e respondendo a quem?
Diria de que a tecnologia mudou, mas a essência da governança permanece. Decisões precisam de clareza. Riscos precisam de donos. Controles precisam ser testados. Estratégias precisam ser monitoradas. Conselhos precisam supervisionar. Executivos precisam responder. Empresas precisam proteger confiança.
Acredito bastante de que a IA pode ser uma das maiores alavancas de produtividade, inovação e inteligência corporativa das próximas décadas. Mas somente criará valor sustentável nas empresas que forem capazes de governá-la com maturidade. O futuro não pertencerá às empresas que simplesmente adotarem IA mais rápido. Pertencerá às empresas que conseguirem adotar, escalar, controlar, explicar, auditar, proteger e responsabilizar o uso da IA.
A empresa que apenas usa IA pode ganhar velocidade. A empresa que governa IA ganha direção. A empresa que usa IA sem controle pode amplificar riscos. A empresa que governa IA com estratégia pode ampliar valor. A empresa que delega a IA apenas à tecnologia pode perder a visão sistêmica. A empresa que leva a IA ao conselho transforma tecnologia em agenda de governança.
Vejo que esta grande fronteira não é apenas tecnológica, mas a grande fronteira é de julgamento. É a capacidade de conselhos e lideranças entenderem que a IA não elimina a responsabilidade humana. Ela a torna mais relevante. Em um mundo em que máquinas aprendem, executam e aceleram decisões, a qualidade da governança humana será o verdadeiro diferencial competitivo.
A IA já chegou à operação. Agora precisa chegar, com profundidade, à governança.Versão disponibilizada pela Okai.
