Governança de IA na empresa: como começar do zero

Equipe Viver de IA · 2026-11-03

Quem pode usar, quem audita e onde a IA tem que parar: o esqueleto de governança que cabe numa empresa que ainda não tem nenhum.

O que é governança de IA na empresa, afinal?

Governança de IA na empresa é o conjunto de regras que define três coisas: quem pode usar inteligência artificial, como esse uso é auditado e onde a IA é proibida de chegar. Nada além disso. Não é um comitê de 12 pessoas, não é um documento de 40 páginas, não é um cargo novo no organograma.

É a resposta escrita para perguntas que hoje, na maioria das empresas, cada funcionário responde sozinho e do seu jeito. O estagiário do financeiro colou a planilha de salários no ChatGPT pra formatar? A secretária subiu o contrato do cliente numa ferramenta gratuita qualquer pra resumir? Sem governança, você só descobre depois.

A gente vê isso direto nos nossos projetos. A empresa quer acelerar com IA e trata governança como burocracia que vem depois. Aí monta três automações, cada área usa uma ferramenta diferente, ninguém sabe o que foi aprovado, e quando dá problema não existe nem registro de quem fez o quê. Governança não é o freio. É o que permite pisar no acelerador sem bater.

Preciso disso agora ou só quando a empresa for grande?

Agora. E a gente defende isso sem meio-termo: governança é mais barata quando você tem três usos de IA do que quando tem trinta.

A lógica que a maioria segue é a inversa. "Primeiro a gente adota, depois organiza." O problema é que IA se espalha por conta própria. Um funcionário descobre que o ChatGPT resolve metade do trabalho dele, conta pro colega, e em dois meses metade da empresa usa sem você ter autorizado nada. Isso tem nome informal no mercado: shadow AI, a IA que roda nas sombras, fora do seu radar.

Quando você finalmente senta pra organizar, já não está desenhando regras. Está desfazendo hábitos. É muito mais fácil dizer "pode usar isso, assim" antes do time criar o costume do que chegar depois e dizer "para de usar daquele jeito que você já faz há seis meses".

Se a sua empresa tem gente usando IA hoje, mesmo que informalmente, você já precisa de governança. A pergunta não é "se", é "em quanto tempo eu monto o mínimo viável".

Quem pode usar → O que pode entrar → Como fica registrado → Onde a IA não decide

Quem decide quem pode usar IA, e como eu controlo isso?

Você decide, mas não precisa decidir caso a caso. O jeito que funciona é por nível de acesso, parecido com o que você já faz com o ERP ou o sistema financeiro.

Na prática, separe em três camadas:

1. Uso livre com ferramentas aprovadas. Tarefas sem dado sensível: escrever um e-mail, resumir um artigo público, gerar ideia de post. Qualquer um pode, desde que use as ferramentas que a empresa liberou.
2. Uso com dado da empresa, só em ambiente controlado. Analisar planilha de vendas, resumir ata de reunião, tratar informação de cliente. Isso só em ferramentas contratadas pela empresa, nunca na versão gratuita pública.
3. Uso que toca decisão ou dado crítico. Contrato, folha de pagamento, dado de saúde, informação jurídica. Aqui tem que ter alguém responsável aprovando e registro de quem acessou.

O controle real vem de uma decisão simples: a empresa fornece as contas. Quando você contrata o acesso corporativo e distribui logins, você vê o uso, você aplica a regra, você corta quando precisa. Quando cada um usa a conta pessoal, você não controla nada, só confia. E confiança não é governança.

Como eu audito o que a IA está fazendo sem virar fiscal de tudo?

Auditar não é ler cada conversa que o time teve com o ChatGPT. É conseguir reconstruir, quando precisar, o que aconteceu. A diferença é enorme.

Uma coisa que a gente aprendeu na prática: auditoria que depende de vigilância humana constante não sobrevive ao segundo mês. Ninguém tem tempo. O que funciona é deixar o rastro acontecer sozinho.

Nos cases documentados, quando a IA entra numa operação séria, ela quase sempre deixa log automático: o que foi pedido, o que ela respondeu, qual dado ela consultou. Na MdFlow, o sistema jurídico com IA opera sobre mais de 1500 modelos de petição, e a lógica de auditoria importa justamente porque é área sensível: cada peça gerada precisa ser rastreável até a origem. Não dá pra ter um advogado protocolando uma petição que a IA escreveu sem saber de onde veio cada cláusula.

Três coisas que todo registro de uso de IA precisa ter

• Quem usou. Login individual, não conta compartilhada do time.
• O que entrou. Qual tipo de dado alimentou a IA (sem precisar guardar o conteúdo todo, mas sim a categoria: dado público, dado de cliente, dado financeiro).
• Onde a resposta foi parar. Ficou num rascunho? Virou e-mail enviado? Entrou num documento oficial? Quanto mais perto da decisão, mais o rastro importa.

Se você tem esses três, você audita quando precisar e não antes. Governança boa é a que você só percebe que existe no dia do problema.

Quais limites a IA nunca deve cruzar?

Limite é onde a governança deixa de ser sugestão e vira regra dura. E aqui a nossa posição é teimosa: tem coisa que a IA não decide sozinha, por mais que ela acerte.

Separe dois tipos de limite. O limite de dado (o que a IA pode ver) e o limite de decisão (o que a IA pode resolver sem humano).

No limite de dado, a regra de ouro é: nenhum dado que você não poderia mandar por e-mail pra fora da empresa entra numa ferramenta de IA pública. Dado de saúde de paciente, informação financeira de cliente, segredo de contrato. Isso só em ambiente contratado, com acordo de que o dado não vira treino do modelo.

No limite de decisão, a linha é: a IA recomenda, o humano assina. A IA pode calcular o orçamento, redigir o contrato, montar a análise financeira. Mas a decisão de enviar, de aprovar, de comprometer a empresa continua tendo nome e CPF por trás. Automação total em decisão crítica é onde a economia vira risco.

A IA pode fazer o trabalho inteiro. A assinatura embaixo é que não terceiriza.

Tem uma zona que ainda é cinza, e vale ser honesto: até onde a IA pode ir sozinha no atendimento ao cliente antes de um humano entrar? Isso depende tanto do seu setor e do seu risco que não existe resposta pronta no mercado, e a gente também não tem uma fórmula fechada. O que a gente sabe é que você precisa ter desenhado essa linha ANTES de ligar a automação, não depois do primeiro cliente reclamar.

Como fica isso quando a IA atende cliente de verdade, sozinha?

Quando a IA vai pra linha de frente é onde governança deixa de ser teoria. Vale olhar um caso inteiro, do contexto ao que travou.

A Chopp Fácil é de alimentação e bebidas. O gargalo era clássico: o atendimento via WhatsApp não dava conta da demanda, e cada cliente perdido na fila era venda que não voltava. A solução que entrou foi uma IA que atua sozinha na linha de frente: ela identifica a necessidade do cliente, calcula o orçamento, sugere produto e fecha a venda. No back-end, a mesma automação registra o pedido no ERP, gera a ordem de serviço e aciona o distribuidor.

O resultado foi multiplicar a capacidade de atendimento.

10x: capacidade de atendimento na Chopp Fácil

Por que isso é um caso de governança e não só de automação? Porque uma IA que fecha venda sozinha é exatamente o tipo de coisa que precisa de limite claro ANTES de rodar. Qual desconto ela pode dar sem aprovar com ninguém? Até que valor de pedido ela fecha sozinha? O que acontece quando o cliente pede algo fora do catálogo? Se esses limites não estiverem escritos no próprio fluxo, a IA ou trava à toa ou libera o que não devia.

O que a gente tira de operações assim: a governança não fica num documento à parte. Ela vira parte do desenho da automação. Cada regra de limite é uma condição dentro do fluxo. "Pedido acima de X valor, chama humano." "Desconto fora da tabela, não autoriza." É governança codificada, não governança arquivada numa pasta que ninguém abre.

Quando você monta assim, a auditoria vem de graça: o próprio sistema já registra cada pedido, cada orçamento, cada decisão tomada. O rastro é subproduto da operação.

Monto sozinho, contrato pronto ou implemento por dentro?

Aqui tem três caminhos reais, e a resposta honesta é que o certo depende de quanto a IA já pesa no seu negócio.

A gente recomenda o terceiro caminho pra quem leva a sério, e não por vender isso. É que governança não funciona terceirizada. Regra de quem usa, o que audita e onde a IA para é decisão que mora dentro da empresa, não num contrato de prestação de serviço. Você pode ter método, plataforma e orientação pra montar, mas a decisão de limite é sua, sempre.

Quem quer ver isso montado e rodando em vez de construir peça por peça pode olhar as soluções prontas, que já vêm com a lógica de registro e limite embutida. Mas o que fica na empresa, de verdade, é a capacidade de decidir.

Como saber se a minha empresa já está exposta hoje?

Antes de montar qualquer regra, descubra onde você já está no vermelho. Responda honestamente:

• Alguém do time usa ChatGPT ou similar com dado de cliente e você não sabe qual ferramenta?
• Existe alguma automação rodando que toma decisão sozinha sem registro de quem configurou?
• Se um cliente perguntasse hoje "onde meu dado foi parar", você teria resposta?
• Alguma IA fecha venda, envia mensagem ou aprova algo sem humano no caminho?

Se você respondeu sim pra qualquer uma e travou na hora de explicar o controle, você já tem shadow AI rodando. Não é motivo pra pânico, é motivo pra começar. Se quiser mapear isso de forma estruturada antes de decidir qualquer coisa, o diagnóstico de IA serve justamente pra isso: achar onde você está exposto antes de montar a regra.

O próximo passo, concreto

Escreva uma página. Uma só. Nela, liste todas as ferramentas de IA que a empresa autoriza, com uma linha ao lado de cada uma dizendo que tipo de dado pode entrar nela. Mande pro time e diga: fora dessa lista, nada roda com dado da empresa.

Essa página é a sua primeira versão de governança. Vai estar incompleta, vai ter exceção, vai mudar. Mas ela transforma o uso de IA de "cada um faz o que acha" em "a empresa decidiu". Essa mudança, de decisão individual pra decisão da empresa, é o que governança é no fundo. O resto você refina com a operação rodando.

Relacionados

Automação com IA: o guia completo

Soluções de IA prontas para empresas

Mais de 500 cases reais de IA

IA na saúde já opera no Brasil: onde ela entra de verdade

IA em RH é o lugar onde mais se confunde piloto com projeto