Modelo de maturidade em IA para empresas: cinco etapas práticas

Um modelo de maturidade em IA para empresas descreve com que confiabilidade e segurança a IA realiza trabalho útil dentro do negócio. Ele vai de pessoas usando ferramentas de chat por conta própria até agentes com função definida, acesso limitado e revisão programada. Este artigo usa cinco etapas e traz sinais observáveis para cada uma, para que você posicione sua empresa verificando fatos, e não por palpite.

Principais pontos

• Maturidade não é quanto você usa IA. É a clareza com que você responde a quatro perguntas: quem é o responsável, o que ela lembra, no que ela pode mexer e como você sabe que funciona.
• As cinco etapas são: uso solto, prática compartilhada, função de agente definida, estrutura conectada e governada, e operação gerenciada.
• Cada etapa tem sinais que você pode verificar esta semana, como saber se o agente tem conta própria ou se alguém revisa as permissões dele em intervalos fixos.
• Pular uma etapa costuma aparecer depois na forma de um agente em que ninguém confia. Avance uma etapa por vez e ligue cada avanço a um resultado observável.
• A etapa cinco não serve para todo mundo. Muitas equipes são bem atendidas na etapa dois ou três, desde que saibam que é ali que estão.

O que um modelo de maturidade em IA para empresas deve medir de fato?

Muitos modelos de maturidade pontuam entusiasmo: quantas pessoas testaram uma ferramenta, quantas licenças estão ativas, quantos pilotos existem. Esses números dizem pouco sobre a empresa poder confiar no trabalho entregue. Um modelo mais útil mede as condições em torno da IA, e não o volume de uso.

Quatro perguntas carregam a maior parte do peso:

• Responsabilidade: existe uma pessoa ou equipe nomeada que responde pelo que a IA faz e por alterá-la?
• Contexto: o que a IA sabe sobre a sua empresa, onde esse conhecimento fica guardado e quem o mantém atualizado?
• Acesso: quais sistemas ela pode ler, preparar rascunhos ou executar ações, e sob qual identidade?
• Evidência: como você sabe que ela faz bem o trabalho, e em quanto tempo perceberia se ela parasse?

Essas perguntas conversam com a prática mais ampla de gestão de risco descrita no NIST AI Risk Management Framework, que organiza o trabalho em governar, mapear, medir e gerenciar. Você não precisa do framework inteiro para aproveitar a ideia. Basta enxergar que a maturidade cresce quando cada pergunta tem uma resposta clara e escrita.

Um aviso antes das etapas: mais alto não é automaticamente melhor. Uma equipe de cinco pessoas que usa um assistente de chat para redigir textos, com regras claras, pode estar exatamente onde deveria. O modelo é um mapa, não um ranking.

Etapas um e dois: do uso solto de chats à prática compartilhada

A etapa um é o uso solto. Cada pessoa usa a ferramenta de chat que prefere, muitas vezes em contas pessoais. Alguns obtêm valor real, mas esse valor mora nos hábitos individuais. A empresa não consegue repeti-lo, revisá-lo nem protegê-lo.

Sinais observáveis da etapa um:

• Ninguém consegue listar quais ferramentas de IA estão em uso na empresa.
• Documentos da empresa, mensagens de clientes ou contratos são colados em contas pessoais.
• Duas pessoas que fazem a mesma pergunta obtêm qualidade diferente, porque escrevem os comandos de forma diferente.
• Se um usuário frequente sai, as técnicas dele saem junto.
• Não há regra escrita sobre o que pode ou não ser compartilhado com uma ferramenta de IA.

A etapa dois é a prática compartilhada. A empresa escolheu ferramentas aprovadas, escreveu uma política de uso curta e reuniu prompts ou modelos que funcionam. Existe treinamento, ainda que informal. O humano continua sendo a única integração: alguém copia a informação para o chat e copia a resposta de volta.

Sinais observáveis da etapa dois:

• Existe uma política de uso de uma página e as pessoas sabem onde encontrá-la.
• Há uma pasta ou documento compartilhado de prompts que outros reutilizam.
• As ferramentas aprovadas são usadas em contas da empresa, não em contas pessoais.
• O assistente esquece tudo entre as sessões, então o contexto é colado de novo a cada vez.
• A qualidade ainda depende muito de quem está perguntando.

O salto da etapa um para a dois é mais organizacional do que técnico. Custa atenção, não infraestrutura. É também onde a adesão da equipe se ganha ou se perde, porque as pessoas seguem regras que ajudaram a formular e ignoram regras que chegam do nada.

O limite da etapa dois é estrutural. Uma janela de chat não tem memória durável do seu negócio, não tem ferramentas e não tem identidade própria. Você pode refinar os prompts para sempre e ainda assim bater nesse teto.

Etapas três e quatro: de uma função definida a uma estrutura conectada e governada

A etapa três começa quando a empresa deixa de perguntar o que a IA consegue fazer em geral e passa a perguntar qual função específica ela deve ocupar. O agente tem uma descrição de cargo, uma memória delimitada, um pequeno conjunto de ferramentas e pontos de aprovação em que uma pessoa confirma antes de qualquer coisa sair da empresa. Escrever isso é o marco real, e uma descrição de cargo para a função do seu primeiro agente de IA é uma boa forma de fazê-lo.

Sinais observáveis da etapa três:

• Você consegue descrever a função do agente em uma página, incluindo o que ele não deve fazer.
• Ele tem conta e identidade próprias, separadas de qualquer funcionário.
• O acesso dele se limita ao que a função exige, com leitura, rascunho e envio tratados como permissões separadas.
• Uma pessoa aprova tudo o que for irreversível ou externo, como o envio de uma mensagem a um cliente.
• Há um critério de sucesso que alguém consegue observar, por exemplo a parcela de solicitações recebidas encaminhadas corretamente, revisada por amostragem.
• A memória fica guardada em um lugar que a empresa controla e pode inspecionar.

A etapa quatro é a estrutura conectada e governada. O agente atua em mais de um sistema ou canal, ou existem várias funções, e a empresa construiu a disciplina ao redor: registros, responsáveis, controle de mudanças e revisão. A pergunta deixa de ser se funciona e passa a ser se continua funcionando com segurança à medida que as coisas mudam.

Sinais observáveis da etapa quatro:

• As ações são registradas o suficiente para reconstruir o que aconteceu e por quê.
• Há um responsável nomeado e um caminho conhecido para pedir mudanças.
• Alterações em instruções, ferramentas ou modelos são testadas antes de chegar ao uso real.
• As permissões são revisadas em intervalos definidos, e não só quando algo quebra.
• Conexões que expiram ou falham geram um comportamento definido, e não erros silenciosos.
• Existe uma rotina leve de governança. Para empresas de porte médio, a governança de IA para empresas pode começar pequena e ainda assim ser real.

A autorização merece atenção especial nesta etapa. A orientação de autorização da OWASP enfatiza o privilégio mínimo e a verificação de permissões a cada requisição, o que se aplica diretamente a um agente que guarda credenciais em seu nome.

A falha comum entre as etapas três e quatro é o piloto que funciona e depois estaciona, porque ninguém planejou a operação. O agente é útil, mas a manutenção dele não pertence a ninguém.

Etapa cinco: o que muda quando os agentes são gerenciados?

A etapa cinco é a operação gerenciada. O agente deixa de ser um projeto que foi entregue e passa a ser um serviço que é operado. Alguém o acompanha, o testa em intervalos programados, mantém suas integrações, revisa suas permissões e o melhora em passos controlados. A mudança é de construir para operar.

Sinais observáveis da etapa cinco:

• O monitoramento avisa sobre um problema antes de o usuário perceber.
• As avaliações rodam de forma recorrente, contra casos realistas, e não apenas uma vez antes do lançamento. O texto da Anthropic sobre desmistificar avaliações (evals) para agentes de IA explica por que agentes precisam desse tipo de teste repetido.
• Mudanças em integrações, como uma conexão expirada ou um sistema externo atualizado, são tratadas como manutenção de rotina.
• Incidentes têm resposta definida, registro e uma mudança de acompanhamento.
• As melhorias são pequenas, testadas e reversíveis.
• A empresa consegue exportar suas instruções, memória e configuração caso precise trocar de fornecedor.

Isso não tem a ver com mais autonomia. A orientação da Anthropic sobre como construir agentes eficazes recomenda começar pela solução mais simples que funcione e só acrescentar complexidade quando ela claramente ajudar. Operações maduras muitas vezes significam um agente mais restrito e mais bem supervisionado, não um agente mais amplo.

Como a Be Human atua nesta etapa: a Be Human projeta, implementa e opera infraestrutura de IA personalizada para empresas. Um primeiro projeto define uma função útil, a memória e as ferramentas de que ela precisa, os limites de aprovação e um critério de sucesso observável. A operação gerenciada pode então incluir monitoramento, avaliações recorrentes, manutenção de integrações, revisão de permissões, resposta a incidentes e melhorias controladas. O atendimento é remoto, em português e inglês, e a empresa mantém o controle da identidade, da memória e das permissões do agente. Para uma lista mais completa do trabalho recorrente, veja o que está incluso nos serviços gerenciados de IA.

Como saber em que etapa você está? Um checklist de diagnóstico

Use as perguntas abaixo como uma auditoria rápida. Responda com base em evidências, como um documento que você consegue abrir ou uma configuração que consegue mostrar, e não com base em intenção. Sua etapa é a mais alta em que você consegue responder sim a quase todas as perguntas dela e a todas as perguntas das etapas anteriores.

Perguntas da etapa dois:

• Temos uma política escrita de uso de IA que os colaboradores conseguem encontrar?
• Usamos contas gerenciadas pela empresa nas ferramentas aprovadas?
• Existe um conjunto compartilhado de prompts ou modelos?

Perguntas da etapa três:

• Conseguimos descrever a função de um agente em uma página, incluindo seus limites?
• O agente tem identidade e contas próprias?
• As permissões de leitura, rascunho e envio são concedidas separadamente?
• Temos um critério de sucesso que alguém verifica?

Perguntas da etapa quatro:

• Conseguimos reconstruir, pelos registros, o que o agente fez na semana passada?
• Há um responsável nomeado e um processo de mudanças?
• Revisamos as permissões em intervalos definidos?
• Sabemos o que o agente faz quando uma conexão falha?

Perguntas da etapa cinco:

• O monitoramento nos alerta antes de os usuários reclamarem?
• As avaliações recorrentes rodam e alguém lê os resultados?
• Existe uma rotina de resposta a incidentes?
• Poderíamos exportar nossas instruções, memória e configuração, se necessário?

Se você respondeu não a uma pergunta da etapa três acreditando estar na etapa quatro, essa é a descoberta útil. As lacunas abaixo da etapa que você presume ocupar são onde os problemas costumam começar, porque tudo o que está acima se apoia nelas. Se o ponto fraco for o critério de sucesso, definir critérios de sucesso para um piloto de agente de IA é o lugar por onde começar.

Como subir uma etapa sem dar um passo maior que a perna?

Aqui vai um cenário ilustrativo, não um caso real. Uma empresa regional de serviços tem seis pessoas no escritório que usam assistentes de chat em contas pessoais para redigir e-mails a clientes. A empresa está na etapa um. Um gerente se preocupa com dados de clientes em contas pessoais e com respostas inconsistentes.

A empresa escreve uma política de uma página, move todos para contas da empresa e reúne os cinco modelos de resposta que funcionam melhor. Isso é a etapa dois, alcançada por decisões e não por software. Algumas semanas depois, o gerente percebe que a equipe ainda cola, em cada chat, os mesmos termos de serviço e o mesmo histórico do cliente. Esse esforço repetido aponta para o próximo passo: uma função de agente, a triagem das solicitações recebidas, com acesso aos termos de serviço, acesso somente de leitura à caixa de solicitações e rascunhos que uma pessoa aprova. Isso é a etapa três.

O padrão se generaliza em um plano curto:

• Identifique sua etapa atual com o checklist e anote a evidência de cada resposta.
• Escolha a única lacuna que mais limita a confiança, e não a que soa mais avançada.
• Defina a menor mudança que a fecha, com um responsável e um resultado observável.
• Execute a mudança em um escopo restrito e revise o resultado contra o critério que você definiu.
• Só então decida se amplia o escopo ou avança para a próxima etapa.
• Registre por escrito quem vai manter o que foi construído, antes de construir a próxima coisa.

O último passo é o mais frequentemente ignorado. Um agente de etapa três sem plano de manutenção se degrada em silêncio, e a empresa volta para a etapa dois sem perceber. Se a manutenção fica com um time interno ou com um parceiro externo é uma decisão à parte, mas ela precisa ser tomada antes de o agente entrar em operação, e não depois da primeira falha.

Perguntas frequentes

Precisamos passar por todas as etapas em ordem? Na prática, sim, embora algumas etapas possam ser curtas. Cada etapa constrói um hábito de que a seguinte depende: política antes de funções, funções antes de governança, governança antes de operação gerenciada. Empresas que saltam direto para um agente conectado costumam acabar corrigindo as etapas anteriores sob pressão.

A etapa cinco é a meta certa para uma empresa pequena? Nem sempre. A etapa cinco faz sentido quando um agente carrega um trabalho do qual o negócio depende e uma falha seria cara ou visível. Uma equipe pequena, com alguns usos de baixo risco, pode ser bem atendida na etapa dois ou três, desde que saiba onde está e tenha um motivo para ficar ali.

Como isso difere do placar de maturidade de um fornecedor? O placar de um fornecedor costuma medir quantos produtos dele você usa. Os sinais deste artigo são neutros em relação a fornecedores: responsabilidade, contexto, acesso e evidência. Você consegue verificar cada um sem comprar nada, e as respostas continuam válidas se você trocar de ferramenta.

Com que frequência devemos reavaliar nossa etapa? Reavalie quando algo relevante mudar, como uma nova função de agente, uma nova conexão com um sistema, uma troca de fornecedor ou uma mudança de pessoal que afete a responsabilidade. Fora isso, uma revisão em intervalos regulares basta. O objetivo é manter a evidência atualizada, para que sua etapa reflita o que realmente está em funcionamento.

Orientação editorial Be Human. Exemplos são ilustrativos, salvo atribuição explícita. Fontes oferecem contexto; a implementação depende do seu processo.