Uma empresa identifica um caso de uso promissor para IA generativa, constrói uma prova de conceito em poucas semanas e, depois, passa meses sem colocá-la em produção. O obstáculo raramente é apenas técnico. Ninguém sabe quem pode autorizar o uso dos dados, qual risco é aceitável, como medir o resultado ou quem responderá por uma falha. Enquanto as áreas discutem, o projeto perde patrocínio, orçamento e relevância.
Esse é o chamado purgatório da prova de conceito: a organização consegue demonstrar que a tecnologia funciona, mas não consegue decidir, com segurança, se deve operá-la em escala. A causa costuma ser a ausência de um sistema de governança capaz de transformar incertezas em critérios objetivos de decisão.
“Governança de IA não significa submeter cada experimento a um processo longo de aprovação. Significa definir antecipadamente limites, responsabilidades, evidências e níveis de risco.”
Quando essas regras são claras, casos simples avançam com rapidez e casos sensíveis recebem a análise compatível com seu impacto.
Do bloqueio ao apetite de risco gerenciado
A primeira reação de muitas empresas à popularização dos modelos de linguagem foi proibir seu uso na rede corporativa. A medida pode reduzir a exposição imediata, mas não elimina a demanda. Colaboradores continuam buscando produtividade e, sem alternativas homologadas, podem recorrer a contas pessoais ou ferramentas não avaliadas. A proibição isolada desloca o risco para uma zona sem visibilidade.
Uma abordagem madura começa pelo apetite de risco: quais usos a organização aceita, sob quais condições e com quais controles. Um assistente que resume documentos públicos não deve seguir o mesmo fluxo de uma solução que recomenda crédito, interpreta contratos ou acessa dados pessoais. A classificação proporcional evita dois erros frequentes: liberar tudo com base no entusiasmo e tratar todo uso de IA como se tivesse a mesma criticidade.
Quatro objetivos estratégicos da governança
A governança deve conectar cada iniciativa de IA a quatro objetivos empresariais. Eles formam a base para decisões de investimento, priorização e continuidade:
1. Viabilidade de negócio
O caso de uso precisa resolver um problema relevante e apresentar uma hipótese mensurável de valor. Antes de discutir o modelo, o conselho deve exigir uma linha de base: custo atual, tempo de ciclo, taxa de erro ou outra medida que permita comparar o desempenho antes e depois da implantação. Sem esse referencial, uma demonstração convincente pode mascarar uma solução cara, difícil de sustentar ou incapaz de gerar retorno.
2. Integridade da marca e da reputação
Uma resposta inadequada de um sistema de IA pode atingir clientes, empregados e parceiros em poucos segundos. A organização precisa definir onde a revisão humana é obrigatória, quais temas exigem contenção e como corrigir uma saída incorreta. O controle reputacional não se limita a evitar conteúdo ofensivo. Inclui consistência com políticas, transparência sobre o uso de IA e capacidade de explicar como uma decisão foi produzida.
3. Proteção de ativos intangíveis
Dados estratégicos, código-fonte, segredos comerciais, documentos jurídicos e conhecimento acumulado não podem ser enviados a qualquer serviço sem avaliação. A governança estabelece quais informações podem entrar no modelo, como serão armazenadas, se poderão ser usadas pelo fornecedor para treinamento e quais registros devem permanecer disponíveis para auditoria. Também disciplina direitos sobre entradas, saídas e componentes de terceiros.
4. Conformidade regulatória contínua
Conformidade não é uma verificação feita apenas no lançamento. Modelos, fornecedores, bases de dados e finalidades mudam. Por isso, a organização precisa reavaliar riscos, monitorar incidentes e manter evidências ao longo do ciclo de vida. A ISO/IEC 42001:2023 organiza esse trabalho como um sistema de gestão sujeito a implementação, manutenção e melhoria contínua. A própria ISO destaca benefícios como maior rastreabilidade, confiabilidade, eficiência na avaliação de riscos e melhor capacidade de adaptação regulatória.
O papel da alta direção
A Cláusula 5 da ISO/IEC 42001 trata de liderança. Na prática, isso impede que a governança seja reduzida a uma política escrita pela TI e esquecida após a aprovação. A alta direção deve assegurar que o sistema de gestão de IA esteja alinhado à estratégia, que responsabilidades sejam atribuídas e que existam recursos para operar os controles.
Há uma consequência importante para conselhos e executivos: decisões sobre IA envolvem estratégia, risco, pessoas, fornecedores, dados e reputação. Segurança e Jurídico podem orientar os controles; Engenharia pode implementá-los. Nenhuma dessas áreas, isoladamente, pode decidir qual risco empresarial a organização aceita. Essa escolha pertence à liderança, com informação adequada e prestação de contas.
O conselho não precisa aprovar prompts nem escolher modelos. Precisa supervisionar o sistema pelo qual a empresa seleciona casos de uso, classifica riscos, mede resultados, trata incidentes e encerra soluções que deixaram de atender aos critérios definidos.
Na prática: dois caminhos para o mesmo mercado
Estudo de Caso Comparativo
Uma empresa de serviços proibiu o uso de ferramentas generativas até que todos os riscos fossem eliminados. As provas de conceito foram suspensas, mas a demanda interna continuou sem canal oficial.
Um concorrente adotou outro caminho: selecionou uma plataforma homologada, restringiu os dados permitidos, exigiu revisão humana, registrou interações e liberou primeiro os casos de baixo risco. Em poucas semanas, escalou assistentes internos e reuniu evidências para decidir os passos seguintes. O diferencial não foi tolerar riscos sem critério. Foi saber quais riscos aceitar, como controlá-los e quando interromper o uso.
Quatro perguntas para o conselho
Estas perguntas revelam se a organização possui governança operacional ou apenas intenções gerais:
- Quais sistemas de IA estão em uso ou em desenvolvimento, quem responde por cada um e quais dados eles processam?
- Como classificamos o risco de cada caso de uso e quais critérios autorizam sua passagem da prova de conceito para a produção?
- Que indicadores demonstram valor, qualidade, segurança e custo depois da implantação?
- Como incidentes são registrados, comunicados e corrigidos, e em quais situações o uso deve ser suspenso?
Governança como capacidade de execução
A empresa que governa bem a IA não promete eliminar toda incerteza. Ela cria um processo confiável para decidir diante da incerteza. Esse processo dá segurança aos gestores, concentra controles onde o impacto é maior e permite que iniciativas viáveis saiam do laboratório.
O primeiro passo é simples e revelador: responder às quatro perguntas acima com evidências, responsáveis e critérios aprovados. Se as respostas dependerem de conhecimento informal ou variarem conforme o projeto, a organização ainda não possui uma base comum para escalar IA.
Para refletir na sua organização
Como sua empresa decide hoje quais projetos de IA podem avançar para produção? Qual ponto gera mais demora ou insegurança entre as áreas de negócio e tecnologia?
No próximo artigo da série, examinaremos como ISO/IEC 42001, NIST AI RMF, OWASP e LGPD podem ser articulados em um mapa único de governança.
Referências
- ISO/IEC 42001:2023. Information technology — Artificial intelligence — Management system. Requisitos para sistemas de gestão de inteligência artificial. iso.org/standard/42001.html
- ISO. AI management systems. Visão institucional sobre benefícios e melhoria contínua. iso.org/artificial-intelligence/ai-management-systems