Inteligência artificial: governança começa antes da ferramenta entrar

Adotar inteligência artificial dentro de uma empresa não começa pela escolha do modelo. Começa pela pergunta qual decisão, processo ou conteúdo será delegado à ferramenta e qual dano pode surgir se ela errar, inventar, discriminar ou expuser informação. Sem esse mapa, a organização só descobre seus riscos depois que a IA já está conectada a dados e fluxos críticos.

O Brasil ainda não tem uma “lei geral de IA” vigente que substitua as regras existentes

O PL nº 2.338/2023 continua em tramitação na Câmara dos Deputados. Na ficha oficial da proposição, a situação atual consta como aguardando parecer na Comissão Especial. Portanto, requisitos do projeto não devem ser apresentados como se fossem lei vigente.

Isso não cria vazio jurídico. A LGPD, o CDC, regras de propriedade intelectual, contratos, responsabilidade civil e normas setoriais já podem atingir usos de IA conforme a aplicação concreta.

Classifique o uso antes de liberar a ferramenta

Não é razoável tratar da mesma forma um assistente que resume documentos públicos e um sistema que recomenda crédito, seleciona candidatos, produz orientação médica ou executa ações automaticamente. A governança deve separar pelo menos:

• finalidade e público afetado;
• dados enviados ao modelo;
• consequência de erro;
• grau de autonomia;
• possibilidade de revisão humana;
• fornecedor e condições de uso;
• registro necessário para auditoria.

Quanto maior o impacto sobre pessoas ou patrimônio, maior deve ser a exigência de teste, revisão e rastreabilidade.

Dados de entrada merecem política própria

Colar contrato confidencial ou base de clientes em serviço público de IA pode transferir informações para ambiente que a empresa não avaliou. Antes da adoção, identifique retenção, localização, uso para treinamento, subcontratados, controles de acesso e possibilidade de exclusão.

A página sobre dados de treinamento trata da procedência das bases usadas para construir ou ajustar modelos. Aqui a preocupação é também operacional: o que empregados e prestadores podem inserir em ferramentas de terceiros.

Saída precisa de revisão proporcional ao risco

Modelos generativos produzem respostas plausíveis mesmo quando erram. Para tarefas sensíveis, revisão humana não pode ser apenas “alguém olha rapidamente”; precisa existir critério de verificação. Fontes, cálculo, identidade de pessoas, direitos autorais e instruções executáveis merecem controles específicos.

Quando o sistema cria texto, imagem, áudio ou vídeo para publicação, veja conteúdo gerado por IA. Se a saída é usada para decidir sobre pessoa natural com base em dados pessoais, direitos e princípios da LGPD exigem atenção própria.

Fornecedor de IA também precisa entrar na due diligence

Termos de serviço, limites de responsabilidade, disponibilidade, mudança de modelo, propriedade sobre inputs e outputs, segurança, localização de dados e continuidade afetam a contratação. API estável hoje pode mudar preço, versão ou limites depois; por isso, integração deve seguir a mesma lógica de governança de APIs.

Para modelos incorporados ao produto, vale prever fallback, monitoramento de qualidade e capacidade de desativação. Uma feature que depende totalmente de fornecedor externo sem plano de saída transforma inovação em dependência crítica.

Incidente de IA precisa ter rota de resposta

Erro relevante não é apenas “resposta ruim”. Pode haver vazamento de dado, decisão discriminatória, publicação de informação falsa, violação de direito autoral ou execução indevida de ação automatizada. A política deve indicar como interromper o sistema, preservar logs, comunicar responsáveis e avaliar necessidade de aviso a titulares, clientes ou autoridades conforme a natureza do evento.

Para sistemas que aprendem ou mudam com atualizações do fornecedor, o controle não termina no lançamento. Métricas de qualidade, amostras de saída e mudanças de versão devem ser acompanhadas para detectar degradação. Modelo novo pode melhorar desempenho geral e piorar justamente o caso de uso crítico da empresa.

Política interna deve dizer o que fazer, não apenas “usar com responsabilidade”

Uma boa regra distingue usos proibidos, usos livres e usos que exigem aprovação. Também define quais dados não podem ser enviados, quando revisão humana é obrigatória, como incidentes são reportados e quem acompanha mudanças do fornecedor e da legislação.

O objetivo não é burocratizar toda experimentação. É evitar que a decisão sobre risco seja tomada individualmente por cada usuário no momento em que cola um dado sensível ou publica uma resposta automática.