Governança de IA para empresas: início leve para médias empresas

Governança de IA para empresas é o conjunto de decisões sobre quem é dono de cada uso de IA, o que ele pode acessar e fazer, quem aprova mudanças e com que frequência tudo isso é revisado. Em uma empresa de médio porte, funciona melhor como uma pequena rotina operacional com responsáveis nomeados, não como um manual de políticas. Comece com um registro dos usos de IA, três níveis de aprovação e uma revisão periódica. Só depois acrescente detalhe onde o risco justificar.

Principais pontos

• Governança são quatro perguntas aplicadas a cada uso de IA: quem é o responsável, o que ele pode acessar e alterar, quem aprova e como percebemos os problemas.
• Nomeie uma pessoa responsável para cada uso de IA. Nome de equipe não é dono.
• Use três níveis de aprovação com base no que a IA pode tocar e fazer, não no quanto a tecnologia é avançada.
• Um registro de uma página com os usos de IA e um calendário de revisões entregam a maior parte do valor sem um grande time de compliance.
• A governança deve acelerar as decisões seguras. Se todo pedido passa pela mesma revisão pesada, as pessoas vão contorná-la.

O que significa governança de IA para uma empresa de médio porte?

Governança parece coisa de banco ou de grande corporação, com comitês e equipes de auditoria. Em uma empresa de médio porte, é mais simples. É a resposta a quatro perguntas que você já faz sobre qualquer funcionário ou sistema. Quem é responsável por isso? O que isso pode ver e alterar? Quem aprova quando algo novo é introduzido? Como percebemos quando algo dá errado?

A IA torna essas perguntas mais urgentes porque o trabalho se espalha por muitas ferramentas. Um gerente comercial conecta um assistente à caixa de e-mail. Um analista financeiro cola um contrato em uma janela de chat. Um líder de operações pede a um fornecedor que coloque um agente na fila de suporte. Cada escolha pode ser razoável isoladamente. Juntas, criam acessos, circulação de dados e decisões que ninguém mapeou.

O objetivo não é frear essas escolhas. É torná-las visíveis e delimitadas. Referências públicas podem emprestar vocabulário sem exigir que você adote um programa completo. O NIST AI Risk Management Framework organiza o trabalho de risco em governar, mapear, medir e gerenciar, e os Princípios de IA da OCDE descrevem os valores por trás do uso responsável. Se a empresa atua ou vende em regiões com regulação de IA, como a União Europeia, pergunte ao jurídico quais obrigações se aplicam aos seus usos específicos. Um registro atualizado deixa essa conversa curta.

Quem deve ser dono de quê quando não há time de compliance?

Você não precisa contratar mais gente. Precisa de papéis claros, e a maioria deles são funções acumuladas por pessoas que você já tem.

• Patrocinador executivo: um líder que aceita o risco geral, resolve divergências e aprova os usos de maior risco.
• Responsável pela governança: conduz a rotina, mantém o registro atualizado e agenda as revisões. Em geral é um líder de operações ou de TI, com a atribuição escrita no escopo do cargo.
• Dono do uso: o líder de negócio responsável por um uso específico de IA e pelos seus resultados. Cada uso tem exatamente um.
• Responsável técnico: quem gerencia acessos, integrações, credenciais e logs.
• Revisor de dados e jurídico: consultado quando o uso envolve dados pessoais, contratos ou atividade regulada. Esse papel é acionado pelo caso, não por uma reunião fixa.

A regra mais importante é que cada uso de IA tenha uma pessoa nomeada, não um departamento. Quando algo dá errado em um horário ruim, a pergunta sobre quem decide já precisa ter resposta.

A responsabilidade também alcança o que está ao redor do agente. Defina por escrito quem guarda as instruções, a memória armazenada e os dados que ele produz, e o que acontece com tudo isso se você trocar de fornecedor. O guia sobre quem é dono dos prompts, da memória e dos dados percorre essas perguntas.

Quais aprovações você realmente precisa?

Um processo único de aprovação para tudo falha de duas formas: é leve demais para usos arriscados ou pesado demais para os inofensivos. Três níveis bastam para a maioria das empresas de médio porte. Classifique cada uso pelo que ele pode ler e pelo que pode fazer.

• Verde: lê apenas informações internas não sensíveis, e uma pessoa revisa toda saída antes de usá-la. O dono do uso aprova, e o responsável pela governança registra no registro.
• Amarelo: toca dados pessoais de clientes ou funcionários, redige mensagens externas ou se conecta a um sistema de registro. O responsável pela governança e o responsável técnico aprovam. O acesso fica limitado a um escopo definido, e o uso passa por um período de teste antes de ganhar qualquer autonomia.
• Vermelho: envia mensagens externas sem revisão, movimenta dinheiro, altera registros sem supervisão, apoia decisões sobre pessoas (contratação, crédito, medidas disciplinares) ou atua em área regulada. O patrocinador aprova com apoio do jurídico. Exige um conjunto de testes, registro completo de logs e, por padrão, uma etapa de aprovação humana.

Duas práticas complementares mantêm os níveis honestos. A primeira é decidir em que ponto o agente deve parar e consultar uma pessoa, usando o raciocínio de quando seu agente de IA deve parar e perguntar. A segunda é dar a cada ferramenta o menor acesso que permita a tarefa funcionar, como descrito em menor privilégio para agentes de IA.

Cenário ilustrativo: uma distribuidora quer que um agente redija respostas a clientes que perguntam sobre o status de pedidos. O gerente de atendimento se torna o dono do uso. Como o agente lê cadastros de clientes, o uso é amarelo. O responsável técnico libera acesso de leitura apenas ao status do pedido, sem dados de cobrança e sem poder de envio. Durante um período de teste, a equipe revisa cada rascunho e anota as correções. Mais tarde, o dono do uso propõe que o agente envie confirmações simples de status sem revisão. Isso é uma mudança de nível, então volta ao responsável pela governança com os resultados do teste anexados. A decisão é registrada, e a data de revisão é antecipada. Ninguém escreveu uma política longa, e ainda assim cada etapa teve responsável e evidência.

O que deve constar em um registro de usos de IA?

O registro é o centro da governança leve. É um único documento ou planilha compartilhada, com uma entrada por uso de IA. Se ler uma entrada leva mais do que alguns minutos, ela está longa demais. Cada entrada deve conter:

• Finalidade em uma frase.
• Dono do uso e responsável técnico.
• Dados que ele pode ler e dados que nunca deve ler.
• Ações que pode executar: ler, redigir, enviar ou alterar.
• Nível de aprovação, quem aprovou e quando.
• Fornecedor ou modelo envolvido e onde os dados são processados.
• Critério de sucesso e alguns casos de teste que mostrem que está funcionando.
• Onde os logs são guardados.
• Data da próxima revisão.
• Quem pode pausar o uso e como.

O último item é o que as empresas esquecem. Antes de um uso entrar em operação, alguém deve conseguir desligá-lo em minutos e saber que tem autorização para isso.

A primeira versão do registro será incompleta, porque as pessoas já usam IA de modo informal. Peça a cada equipe que liste o que usa e deixe claro que o objetivo é visibilidade, não punição. Tudo o que aparecer assim ganha um dono do uso e um nível, como os demais. Para a parte de logs de cada entrada, o artigo sobre o que um agente de IA deve registrar ajuda a decidir que evidências vale a pena guardar.

Que ritmo de revisão mantém a governança viva?

A governança falha menos por regras ruins do que por regras que ninguém revisita. Um ritmo curto e previsível é melhor do que uma auditoria anual.

• Semanal: o responsável técnico verifica erros, conexões expiradas, ações incomuns e mudanças de comportamento sem explicação. Leva uma sessão curta, não uma reunião.
• Mensal: o responsável pela governança se reúne com os donos dos usos para revisar incidentes, correções, novos pedidos e eventuais mudanças de nível.
• Trimestral: o patrocinador revisa o registro inteiro, encerra usos sem uso ou sem dono, confere os acordos com fornecedores e confirma que as permissões ainda correspondem à finalidade.
• Por evento: uma troca de modelo, uma nova fonte de dados, uma mudança de fornecedor, um incidente ou uma nova regulação aciona de imediato a revisão das entradas afetadas.

Os incidentes também precisam de um caminho, escrito com antecedência. Defina o que conta como incidente: uma mensagem errada enviada, dados expostos, uma ação repetida. Decida quem pausa o uso, quem informa o patrocinador e as pessoas afetadas, onde os fatos são registrados e quem valida a correção. Mantenha tudo em uma página curta.

Como começar nas primeiras semanas?

É possível implantar um modelo funcional sem uma equipe de projeto. Siga esta ordem:

• Nomeie o patrocinador executivo e o responsável pela governança.
• Levante o inventário dos usos de IA, incluindo os não oficiais.
• Atribua um dono a cada uso.
• Classifique cada uso como verde, amarelo ou vermelho.
• Reduza o acesso dos usos amarelos e vermelhos ao que a tarefa exige.
• Escreva uma página de regras: o que é permitido, o que precisa de aprovação e o que nunca é permitido, como colar dados de clientes em ferramentas não aprovadas.
• Defina o calendário de revisões e o caminho de incidentes, incluindo quem pode pausar um uso.
• Execute um ciclo mensal completo e depois elimine o que ninguém usou.

Se você ainda não escolheu o primeiro uso, escolha um pequeno o bastante para provar valor, como em seu primeiro fluxo com IA precisa ser pequeno o bastante para provar valor. Um primeiro caso pequeno mostra onde sua governança está frouxa ou pesada demais antes que o risco aumente.

Como a Be Human trata a governança na prática?

A Be Human projeta, implementa e opera infraestrutura de IA personalizada, na qual os agentes mantêm identidade, memória, canais, ferramentas e permissões sob controle humano. Um primeiro projeto define um papel útil, a memória e as ferramentas de que ele precisa, os limites de aprovação e um critério de sucesso observável, que é o mesmo conteúdo de uma entrada do registro. A operação gerenciada pode incluir monitoramento, avaliações recorrentes, revisão de permissões, manutenção de integrações e resposta a incidentes, de modo que o ritmo de revisão tenha quem o conduza. A empresa continua decidindo sobre donos, níveis e aprovações.

Perguntas frequentes

Precisamos de uma política formal antes de começar a usar IA? Não, mas você precisa de uma base escrita curta. Uma página com o que é permitido, o que precisa de aprovação, o que nunca é permitido e a quem recorrer já basta para começar. Amplie conforme os casos reais mostrarem onde estão as lacunas.

Quem deve liderar a governança se não temos time de compliance? Escolha um líder de operações ou de TI com autoridade suficiente para pedir informações a outros líderes e dê a ele um patrocinador executivo para quem escalar. Escreva a atribuição no escopo do cargo, para que não dependa de boa vontade. Chame o jurídico ou consultores de proteção de dados para casos específicos, em vez de mantê-los em toda revisão.

Em que a governança de IA difere da segurança? A segurança protege sistemas e dados contra uso indevido e ataques, enquanto a governança decide quais usos são permitidos, quem responde por eles e como são revisados. As duas se sobrepõem em controle de acesso e logs. Seu responsável técnico pode usar referências como o OWASP Top 10 para aplicações com LLM no lado da segurança, enquanto a governança cuida de responsabilidades, aprovações e ritmo de revisão.

A governança vai atrasar nossas equipes? Atrasa quando todo uso recebe o mesmo processo pesado. Os níveis permitem que os usos verdes andem rápido, com uma simples aprovação do dono, e reservam o escrutínio mais próximo para os usos amarelos e vermelhos, em que os erros custam mais. As equipes costumam ganhar velocidade quando sabem em que categoria a ideia se encaixa e quem pode dizer sim.

Orientação editorial Be Human. Exemplos são ilustrativos, salvo atribuição explícita. Fontes oferecem contexto; a implementação depende do seu processo.