A próxima etapa da governança de inteligência artificial pode ser menos sobre promessas de segurança e mais sobre evidências de que os riscos realmente estão sob controle
A inteligência artificial já entrou na rotina de muitas empresas antes mesmo de a governança conseguir acompanhá-la. Ferramentas generativas são utilizadas para analisar documentos, elaborar relatórios, atender clientes, apoiar decisões, produzir conteúdo, automatizar tarefas e processar grandes volumes de informação. Em algumas organizações, inclusive, diferentes áreas começaram a contratar ou utilizar soluções de IA sem que exista uma visão centralizada de quais ferramentas estão em operação.
Enquanto tudo funciona, a discussão costuma girar em torno de produtividade, eficiência e redução de custos. O problema aparece quando alguma decisão precisa ser explicada. Se um cliente questionar uma resposta produzida pela IA, se dados pessoais forem utilizados inadequadamente ou se um sistema apresentar um resultado discriminatório ou simplesmente incorreto, dizer que a empresa escolheu uma ferramenta “segura” pode não ser suficiente.
A pergunta mais importante passa a ser outra: quais evidências a empresa possui para demonstrar que conhecia os riscos daquela tecnologia, testou seus controles e acompanhava seu funcionamento?
Esse movimento ganhou um sinal importante em 19 de agosto de 2026, quando a Autoridade Nacional de Proteção de Dados (ANPD) publicou a Metodologia de Testagem do Sandbox Regulatório em Inteligência Artificial e Proteção de Dados. A própria Autoridade destaca como foco a “produção de evidências na gestão de riscos”. No ambiente experimental supervisionado, as informações apresentadas pelas organizações participantes não são consideradas isoladamente: podem ser confrontadas com documentos, registros técnicos, resultados de testes e avaliações especializadas.
Mais do que uma metodologia aplicável aos participantes do Sandbox, a iniciativa oferece uma indicação relevante sobre a direção da governança de IA: a confiança tende a precisar ser demonstrável.
A empresa sabe quais inteligências artificiais estão tomando parte em seus processos?
Esse talvez seja o primeiro problema prático. Antes de provar que controla uma tecnologia, a organização precisa saber onde ela está sendo utilizada.
Uma empresa pode ter uma ferramenta contratada oficialmente pelo departamento de Tecnologia e, paralelamente, dezenas de empregados utilizando outras soluções generativas diretamente em suas rotinas. Marketing pode utilizar uma plataforma para produção de conteúdo, RH outra para analisar informações, Jurídico uma terceira para revisar documentos e Comercial pode inserir dados de clientes em ferramentas abertas.
Nesse cenário, não existe apenas um risco de IA. Existem diversos riscos distribuídos pela organização, muitas vezes sem uma política comum.
A primeira camada de governança, portanto, não deveria começar por um documento sofisticado. Deveria começar por uma pergunta bastante objetiva: quais sistemas de inteligência artificial são utilizados pela empresa, por quem, para quê e com quais dados?
Sem esse inventário, torna-se difícil avaliar riscos de proteção de dados, confidencialidade, propriedade intelectual, segurança da informação ou utilização inadequada de resultados automatizados.
“O fornecedor disse que é seguro” pode ser uma resposta insuficiente
A contratação de uma empresa de tecnologia reconhecida não transfere automaticamente toda a responsabilidade pelo uso que a organização faz da ferramenta.
Imagine, por exemplo, que um sistema de IA seja utilizado para auxiliar a análise de currículos. A tecnologia pode ser segura sob a perspectiva de infraestrutura e, ainda assim, seu uso concreto produzir problemas caso sejam empregados critérios inadequados ou caso decisões relevantes sejam tomadas sem supervisão humana compatível.
O mesmo raciocínio vale para uma ferramenta utilizada na análise de contratos. O sistema pode possuir controles técnicos robustos, mas produzir uma interpretação incorreta. Se aquela resposta for incorporada automaticamente a uma decisão empresarial sem validação, o risco não está apenas no modelo utilizado. Está no processo que a empresa construiu ao redor dele.
É por isso que a discussão sobre IA tende a migrar de uma análise puramente tecnológica para uma análise de governança do uso.
Quem pode utilizar determinada ferramenta? Quais informações podem ser inseridas? Em quais atividades a resposta da IA precisa obrigatoriamente de validação humana? Como um erro é reportado? Existe registro das versões ou dos testes realizados? Quem pode suspender a utilização caso seja identificado um risco relevante?
Quanto mais sensível for a utilização, maior tende a ser a necessidade de respostas claras para essas perguntas.
Quando o problema surgir, a documentação contará a história da empresa
A referência da ANPD à produção de evidências é especialmente importante porque muda a forma como a empresa deve enxergar sua própria governança.
Uma política interna pode dizer que sistemas de IA devem respeitar a proteção de dados. Mas, diante de um incidente, será possível demonstrar que a política efetivamente funcionava?
A organização possui registros das ferramentas aprovadas? Houve avaliação antes da contratação? Os empregados foram orientados sobre quais informações não poderiam ser inseridas? Foram realizados testes? Os riscos encontrados foram documentados? Houve alguma medida de mitigação? Existe registro de incidentes e das providências adotadas?
Essa trilha pode ser tão importante quanto a própria política.
A diferença é semelhante àquela existente em outras áreas de compliance: possuir uma regra é importante; conseguir demonstrar que a regra foi implementada é outra etapa de maturidade.
Isso também afeta contratos com fornecedores de tecnologia. Cláusulas sobre confidencialidade, tratamento de dados, incidentes, auditoria, responsabilidades, utilização das informações para treinamento de modelos e encerramento da relação passam a ter importância prática dentro da estratégia de governança.
O Jurídico não deveria descobrir a IA apenas quando alguma coisa der errado
Outro ponto relevante é a distribuição das responsabilidades.
IA não pode ser um assunto exclusivo de Tecnologia, assim como não deveria ser exclusivamente jurídico. Os riscos surgem justamente na interseção.
Tecnologia compreende arquitetura e segurança. Segurança da Informação avalia controles. Jurídico analisa responsabilidades e tratamento de dados. Compliance observa governança. As áreas de negócio, por sua vez, conhecem a finalidade concreta para a qual a tecnologia será utilizada.
A governança eficiente precisa aproximar essas perspectivas antes da implementação.
Isso evita uma situação bastante comum: a empresa utiliza determinada solução durante meses e somente procura o Jurídico quando surge uma reclamação, um incidente ou uma dúvida sobre dados que já foram processados.
Nesse momento, a discussão deixa de ser preventiva.
A decisão prática: transformar IA em um ativo sujeito a governança
Para empresas que já utilizam inteligência artificial, o primeiro passo não precisa ser interromper projetos ou criar estruturas excessivamente burocráticas. Precisa ser conhecer e classificar os usos existentes.
Um inventário das ferramentas pode indicar quais soluções lidam com dados pessoais, informações confidenciais, consumidores, empregados ou decisões relevantes. A partir disso, a organização consegue estabelecer níveis diferentes de controle conforme o risco.
Usos simples e de baixo impacto não precisam necessariamente receber o mesmo tratamento de uma ferramenta que influencia recrutamento, concessão de crédito, atendimento ao consumidor ou decisões jurídicas.
A lógica deveria ser proporcional: quanto maior a consequência potencial da decisão auxiliada pela IA, maior a necessidade de teste, documentação, supervisão e rastreabilidade.
A metodologia publicada pela ANPD reforça uma transformação que já vinha ocorrendo. A discussão empresarial sobre inteligência artificial está deixando a fase em que bastava perguntar se a ferramenta funcionava.
Agora, a organização precisa se preparar para uma pergunta mais difícil:
Se alguém pedir amanhã para a empresa demonstrar por que considera sua inteligência artificial segura, quais evidências ela conseguirá colocar sobre a mesa?
AN Advogados.
