Governança de IA na empresa: o que exigir antes de liberar

Equipe Viver de IA · 2026-08-11

Antes de dar acesso ao time, defina quem pode usar o quê, com quais dados e sob quais limites. Sem isso, você não liberou IA, você abriu um buraco.

Governança não é freio, é o que te deixa acelerar sem capotar

O senso comum diz que governança de IA na empresa é papelada que atrasa: comitê, política de 40 páginas, aprovação em três camadas antes de alguém abrir o ChatGPT. Aí o dono conclui que governança é o oposto de velocidade e empurra pra depois.

Na prática é o contrário. Empresa sem governança não vai mais rápido, ela vai mais rápido pro precipício. O estagiário colou um contrato inteiro numa IA pública pra "resumir", a planilha de comissão do time comercial virou treino de modelo de terceiro, e ninguém sabe quem fez o quê. Governança é o que permite liberar a IA pro time SEM ter que auditar cada mensagem depois.

A gente vai direto ao que a Viver de IA olha primeiro quando entra numa empresa pra estruturar isso. Não é teoria de compliance. São os critérios reais que a gente usa pra decidir o que libera, o que segura e o que descarta.

As três perguntas que governam tudo

Governança de IA se resume a responder três coisas, sempre nessa ordem:

1. Quem pode usar IA (e em que função).
2. Com quais dados essa pessoa pode alimentar a IA.
3. Sob quais limites (o que a IA decide sozinha e o que precisa de humano).

A maioria das empresas começa pela ferramenta ("qual IA a gente contrata") e pula essas três. Erro. A ferramenta é a última decisão, não a primeira. Quando a gente chega, o primeiro filtro nunca é tecnológico, é esse mapa de quem-dado-limite.

E aqui vai a parte que separa governança de verdade de PDF na gaveta: cada uma dessas três perguntas tem TIPOS diferentes de dado e de decisão. Não dá pra tratar tudo igual. É por isso que a gente classifica antes de liberar.

Classifique o dado antes de classificar a ferramenta

A primeira taxonomia, a que a maioria ignora, é o tipo de dado que vai entrar na IA. Não existe "posso usar IA sim ou não". Existe: com QUE tipo de informação.

Dado público

Material que já está na rua: seu site, seu blog, um texto de marketing que vai ser publicado de qualquer jeito. Aqui a régua é frouxa. Pode jogar em qualquer ferramenta, inclusive as públicas gratuitas. O risco é quase zero porque não tem nada a proteger.

Dado interno não sensível

Um processo operacional, um roteiro de atendimento, um modelo de e-mail padrão. Não é público, mas se vazar não te processa ninguém. Aqui a gente já exige ferramenta com política clara de não-treinamento (a versão empresarial não usa seu conteúdo pra treinar o modelo). É onde a maior parte do trabalho do time acontece, e onde dá pra liberar com regra simples.

Dado sensível de negócio

Margem, tabela de preço não divulgada, estratégia comercial, base de clientes. Se isso vazar, o concorrente agradece. A régua aperta: só ferramenta contratada, com contrato que garante isolamento dos dados, e de preferência sem o dado bruto sair. Aqui a gente prefere que a IA trabalhe sobre um recorte, não sobre a planilha inteira.

Dado pessoal e regulado

CPF, dados de saúde, informação financeira de terceiro, qualquer coisa que a LGPD cobre. Régua máxima. Aqui não é preferência, é lei. A IA pública está fora de cogitação, e mesmo a contratada precisa de base legal pra tratar aquele dado. Se o time comercial cola o histórico financeiro de um cliente numa IA aberta "pra montar uma proposta", você acabou de virar réu.

Chega uma tarefa → Que tipo de dado é → Que ferramenta permite → Quem aprova o output

A lógica é essa: a tarefa não define a ferramenta. O DADO dentro da tarefa define. Duas pessoas fazendo "resumir um documento" podem precisar de duas ferramentas diferentes, dependendo do que está no documento.

Classifique também o tipo de decisão

A segunda taxonomia é sobre o que a IA faz com o resultado. E aqui a gente é teimoso: quanto mais a decisão afeta dinheiro ou pessoa de fora, mais humano no meio.

• IA que sugere: rascunha um e-mail, propõe três títulos, resume uma reunião. O humano lê e decide. Risco baixo, libera geral. É onde 80% do ganho de produtividade mora, e onde a maioria trava por medo.
• IA que executa dentro de trilho: responde uma dúvida frequente no WhatsApp, qualifica um lead, agenda. Ela age sozinha, mas dentro de um roteiro que você desenhou. Aqui a governança é o roteiro: o que ela PODE dizer e o que ela escala pro humano.
• IA que decide com consequência: aprova crédito, define preço, manda um valor pra alguém. Aqui a gente quase nunca deixa a IA fechar sozinha. Ela prepara a decisão, o humano bate o martelo. E fica registrado quem bateu.

A Caveo é um bom exemplo do trilho bem desenhado: criaram a "Sofia", uma SDR de IA integrada ao WhatsApp que qualifica lead, tira dúvida técnica e envia cupom, com o fluxo de dados indo da página até o Pipedrive. Ela executa, mas dentro de um roteiro fechado, e o resultado foi 30% de resgate de leads. A IA age sozinha porque o limite dela foi desenhado antes, não depois.

O que a gente exige antes de dar o primeiro acesso

Esse é o checklist que roda nos nossos projetos antes de qualquer pessoa do time receber login. Não é burocracia, dá pra montar numa tarde:

1. Uma política de uma página, não de quarenta. O que pode colar na IA, o que nunca pode, e o que fazer na dúvida (perguntar antes). Se a regra não cabe numa página que o time lê, ninguém lê.
2. Ferramenta contratada com não-treinamento garantido. A versão gratuita pública pode usar o que você digita. A versão empresarial contratada, não. Essa é a linha que separa "a gente liberou" de "a gente vazou".
3. Um dono nomeado. Uma pessoa responsável por governança de IA na empresa, com nome e sobrenome. Não um comitê difuso. Quando é de todos, não é de ninguém, e a política morre no primeiro mês.
4. Registro do que a IA toca em decisão sensível. Não precisa gravar toda conversa. Precisa saber, quando algo dá errado, quem pediu, o que a IA respondeu e quem aprovou.
5. Um canal pra perguntar. O grupo de WhatsApp do time vai gerar dúvida ("posso colocar isso aqui?"). Ter pra onde mandar a pergunta é o que impede a pessoa de decidir sozinha na pressa das 18h.

Repara que nada disso exige software caro. Exige decisão. A gente vê empresa gastando com plataforma de "IA segura" antes de ter respondido quem pode fazer o quê. É comprar cadeado antes de saber qual é a porta.

O erro mais comum: liberar a ferramenta e chamar isso de governança

O padrão que a gente mais encontra é esse. A empresa contrata a versão empresarial de uma IA, manda o link pro time e considera o trabalho feito. Comprou a ferramenta certa, ótimo. Mas ferramenta segura com uso desgovernado ainda é problema.

O problema não vem só da ferramenta errada. Vem da pessoa certa usando a ferramenta certa com o dado errado. O contrato garante que a OpenAI ou a Anthropic não vão treinar em cima do seu dado. Não garante que o funcionário não vá colar a base de clientes num prompt que depois ele copia pra um chat pessoal no celular.

Governança é o comportamento, não só a licença. Por isso a política de uma página vale mais que a assinatura anual mais cara.

Governança não é projeto que termina, é rotina que ajusta

Um detalhe prático: a régua de hoje não serve pra daqui seis meses. O time vai descobrir usos novos, vai querer conectar a IA em mais sistema, vai empurrar o limite. Isso é bom. Mas exige que alguém revise a política de tempos em tempos.

Aqui a gente admite o limite honesto: ninguém tem o número mágico de quantas revisões por ano bastam. Depende de quão fundo a IA já entrou na operação. O que a gente sabe é que política escrita uma vez e nunca mais olhada vira ficção em três meses.

Nos casos em que a IA vai fundo, como automações integrando CRM, WhatsApp e sistemas internos, a governança tem que acompanhar o crescimento. A TruckPag reposicionou comunicação e inteligência no centro do processo com automações em n8n, ManyChat, CRM e WhatsApp, com o time de crédito notificando o comercial automaticamente. Quanto mais integrado, mais a pergunta "quem pode disparar o quê" precisa de resposta clara. Sem isso, a mesma automação que economiza tempo vira um disparo errado em escala.

Como decidir o quanto de governança sua empresa precisa

A régua que a gente usa, em critério numérico direto:

• Menos de 5 pessoas usando IA, só com dado público e interno não sensível: política de uma página, ferramenta contratada, um dono. Pronto. Não invente comitê. Você vai gastar mais tempo governando do que fazendo.
• Entre 5 e 30 pessoas, ou dado sensível de negócio entrando: além do acima, você precisa da taxonomia de dado escrita (quem toca o quê) e de registro nas decisões que mexem com preço ou cliente.
• Mais de 30 pessoas, ou dado pessoal e regulado no meio, ou IA executando sem humano no trilho: aí sim entra base legal da LGPD por caso de uso, revisão periódica agendada e um responsável com tempo dedicado, não alguém fazendo isso nas horas vagas.

A maioria das empresas brasileiras está no primeiro ou segundo nível e age como se estivesse no terceiro, ou pior, não age em nenhum. Trava por medo de governar demais, e por não governar nada acaba com o time colando contrato em IA pública.

Se você não sabe em qual nível está nem por onde estruturar isso, o diagnóstico de IA mapeia o que você já usa, onde o dado está exposto e qual régua faz sentido pro seu tamanho. E se o caminho é montar isso por dentro, com método e a política rodando de verdade em vez de dormindo num PDF, é o que a gente faz nos projetos: a capacidade fica na sua empresa, não num slide que a consultoria deixou e foi embora. Exige um dono interno e rotina de revisão. Em troca, você para de auditar cada mensagem e passa a confiar no trilho.

Governança boa é a que você nem sente depois de montada. O time usa, o dado fica no lugar, e você dorme sem medo do print que vai vazar amanhã.

Relacionados

Automação com IA: o guia completo

Soluções de IA prontas para empresas

Mais de 500 cases reais de IA

Fine-tuning vs RAG: qual sua empresa precisa

Implementação de IA em empresas: o passo a passo