Governança de IA: o mínimo de regra pra não ter dor de cabeça

Equipe Viver de IA · 2026-08-15

Antes de escalar IA na empresa, defina quem pode usar o quê, com quais dados e quem responde quando dá errado.

O estagiário do financeiro colou o balanço inteiro no ChatGPT

Ele não fez nada de errado na cabeça dele. Precisava resumir uma planilha de fechamento pra reunião das 9h, o ChatGPT estava aberto na aba do lado, colou tudo lá e pediu um resumo em bullets. Funcionou lindamente. O resumo saiu em 40 segundos, ele entregou no horário, o chefe elogiou.

O problema é que a empresa inteira não sabia que dado sensível tinha acabado de sair pela porta. Não teve vazamento espetacular, não deu ransomware, não caiu no jornal. Só uma informação confidencial que agora vive num servidor de terceiro, sob termos de uso que ninguém leu, e uma empresa que não faz ideia de que isso aconteceu, nem quantas vezes já aconteceu antes.

Essa cena se repete em todo lugar que a gente entra. E ela não é sobre tecnologia. É sobre a falta de uma regra simples que ninguém escreveu porque parecia cedo demais pra se preocupar com isso.

Governança de IA é decidir isso antes, não depois do susto

Governança de IA é o conjunto de regras que define quem pode usar quais ferramentas de IA, com quais dados, pra quais tarefas, e quem responde quando o resultado sai errado. Só isso. Não é um comitê, não é um documento de 80 páginas, não é norma ISO. É um punhado de decisões que a empresa toma de forma consciente em vez de deixar cada funcionário improvisar.

A maioria dos donos com quem a gente conversa acha que governança é coisa de empresa grande, de banco, de área jurídica robusta. Na nossa leitura é o contrário. Empresa grande já tem estrutura pra absorver um erro. É a empresa de 20, 50, 120 pessoas que quebra a cara feio, porque um único vazamento de dado de cliente ou uma decisão automática errada tem peso proporcional muito maior no faturamento dela.

E aqui a gente é teimoso: governança boa não freia o uso de IA. Ela libera. Quando o time sabe exatamente o que pode e o que não pode, ele para de ter medo e passa a usar de verdade. O que trava adoção não é excesso de regra. É a névoa de não saber se vai levar bronca.

As decisões que a IA na verdade te obriga a tomar

O erro comum é achar que governança é sobre a IA. O que aparece, quando você senta pra escrever as regras, são coisas que a empresa já deveria ter decidido e adiou, e a IA só empurrou pra cima da mesa:

• Que dado é confidencial de verdade. A maioria nunca classificou. Todo mundo trata contrato de cliente e cardápio da copa com o mesmo cuidado (nenhum). A IA obriga a separar.
• Quem pode decidir sozinho e quem precisa de aval. Se um assistente de IA sugere reprovar um crédito, quem assina embaixo? Isso já era problema antes. Só ficou visível agora.
• De quem é a culpa quando dá errado. Ferramenta não tem CNPJ. A responsabilidade continua sendo de uma pessoa. Governança é escrever o nome dela.

Metade da governança de IA é higiene de gestão que a empresa adiava. A IA foi só o empurrão.

As seis políticas que resolvem 90% das dores

Não precisa de mais que isso pra começar. A gente montou essa lista a partir do que vê dar problema de verdade nos projetos, não do que soa bonito num slide.

1. Política de dados: o que nunca entra numa IA aberta

A regra base: dado de cliente, dado financeiro, informação de contrato, dado de saúde, segredo de operação, nada disso vai pra uma ferramenta de IA pública sem tratamento. Ponto. Ferramenta pública é a versão gratuita ou pessoal onde você não tem controle sobre onde o dado fica e se ele é usado pra treinar o modelo.

Isso não significa proibir IA. Significa separar dois mundos: a ferramenta aberta pra tarefa genérica (escrever um e-mail, resumir um texto público) e a ferramenta contratada em modo empresarial, onde os termos garantem que seu dado não vira material de treino de ninguém. É uma linha, não um muro.

2. Política de ferramentas aprovadas: uma lista curta e viva

Defina quais ferramentas de IA a empresa autoriza. Duas, três, no começo. O motivo não é controle por controle. É que cada ferramenta nova é um lugar a mais onde seu dado pode estar, um termo de uso a mais pra ninguém ler, uma senha a mais pra vazar.

A lista precisa ser viva: funcionário pediu uma ferramenta nova, tem um caminho de 10 minutos pra aprovar ou negar. Se a lista vira burocracia, o time contorna pelas costas, e aí você tem o pior dos mundos: regra no papel e caos na prática.

3. Política de revisão humana: onde a IA sugere e onde ela decide

Esta é a mais importante e a mais ignorada. Você precisa marcar, tarefa por tarefa, onde a IA pode agir sozinha e onde um humano assina antes de sair.

IA gera saída → Classifica risco → Baixo risco: segue → Alto risco: humano revisa → Ação final

Rascunho de e-mail interno? Deixa a IA fazer sozinha, ninguém morre por um typo. Resposta a um cliente irritado, cálculo de proposta comercial, qualquer coisa que envolva dinheiro ou reputação? Humano lê antes. A pergunta que orienta é simples: se isso sair errado e ninguém perceber, qual o estrago? Estrago alto, revisão humana obrigatória.

4. Política de transparência: quando o cliente precisa saber

Se um cliente está conversando com um agente de IA achando que é uma pessoa, isso é uma escolha, e ela tem consequência. Em muitos casos, o certo (e em alguns setores, o exigido) é avisar. Decida isso de propósito, não por omissão.

A regra prática que a gente sugere: em atendimento, deixe claro que é IA e deixe fácil chegar num humano. Não porque IA é ruim, mas porque cliente que descobre sozinho que foi enrolado por um robô fica bravo de um jeito que não volta.

5. Política de qualidade: quem confere se a IA não está inventando

Modelo de linguagem inventa com confiança total. Ele vai te dar um número de artigo de lei que não existe com a mesma cara de quem te dá a capital da França. Isso tem nome técnico feio, mas pro gestor o que importa é: a IA erra bonito, e erro bonito passa fácil.

A política aqui define quem checa o quê, e com que frequência. Não dá pra conferir tudo. Dá pra amostrar: pega 1 em cada 10 saídas de um processo crítico e revisa. Se o índice de erro estiver bom, mantém. Se degradar, aumenta a amostra. É controle de qualidade de fábrica, aplicado a texto.

6. Política de acesso: quem liga e quem desliga

Por último, o básico que boa parte das empresas não arruma: quem tem acesso a quê, e o que acontece quando alguém sai. Funcionário demitido na sexta ainda com login ativo na ferramenta de IA que tem histórico de conversa com dado de cliente é um risco que custa nada fechar e quase todo mundo esquece.

Governança boa é o que destrava o resultado, não o que segura

Dá pra achar que tudo isso é freio. Na prática, é o oposto, e os cases mostram isso.

A Orbit construiu uma plataforma que automatiza desde o estratégico da empresa (missão, visão, SWOT) até a execução diária, conectando processos, instruções de trabalho e tarefas num sistema só, e gerou R$ 5.000.000 em receita. Isso não sai do papel sem regra: você não deixa uma IA mexer em processo e instrução de trabalho da empresa inteira sem definir antes quem revisa o que ela propõe. A governança não atrapalhou. Foi o que deu segurança pra escalar.

A Sunter montou uma orquestração de agentes de IA que gera diagnósticos, PRDs e propostas comerciais a partir de transcrições de reunião, e chegou a R$ 200.000 em receita. Repare no tipo de saída: proposta comercial. É exatamente o caso onde revisão humana antes do envio não é opcional. O que faz esse fluxo funcionar em vez de mandar um erro de preço pro cliente é ter definido onde o agente sugere e onde a pessoa assina.

R$ 5.000.000: receita gerada pela Orbit ao levar IA do estratégico à execução, com regra clara de revisão

Os dois cases têm em comum uma coisa que não aparece no número: alguém decidiu, antes de escalar, quem manda em quê. Governança não é o custo da IA. É o que transforma experimento tímido em operação que aguenta peso.

O erro que a gente mais vê: a política que ninguém aplica

O erro número um não é falta de política. É política demais, escrita bonito, guardada no Google Drive, que o time não lê e não aplica. Empresa contrata alguém pra escrever um documento de governança de 30 páginas, todo mundo aplaude, e no dia seguinte o estagiário do financeiro cola o balanço no ChatGPT de novo, porque a regra existe no drive mas não existe na cabeça dele.

Governança que funciona tem três características que a de mentira não tem:

1. Cabe numa página. Se o time não consegue ler em 5 minutos, não vai lembrar na hora que importa.
2. Tem dono. Uma pessoa responsável por manter, atualizar e cobrar. Regra sem dono é decoração.
3. É treinada, não só publicada. Meia hora com cada time explicando o porquê de cada regra vale mais que 30 páginas que ficam fechadas. Gente cumpre regra que entende, ignora regra que aparece do nada.

O teste é brutal e honesto: pergunte a três pessoas do seu time, agora, o que elas podem e não podem colocar numa IA. Se as respostas divergirem, você não tem governança. Tem um documento.

Por onde começar sem virar projeto de seis meses

Começa pequeno e específico, não pela política geral perfeita.

1. Mapeie o uso real: liste onde o time já usa IA hoje (inclusive o que ninguém te contou)
2. Marque o crítico: quais desses tocam dado sensível ou decisão que custa dinheiro
3. Escreva a regra mínima: uma página, só pra esses pontos críticos primeiro
4. Nomeie o dono: uma pessoa responsável por manter e cobrar
5. Treine e revise: meia hora por time, revisão a cada trimestre

Repare que o primeiro passo é descobrir o que já acontece. Na maioria das empresas a IA já entrou por baixo, sem ninguém autorizar. Fingir que não é abrir mão de governar aquilo que já está rodando.

Se você não sabe nem por onde medir seu grau de exposição, o diagnóstico de IA ajuda a mapear onde a IA já está na sua operação e onde falta regra, antes de você escrever qualquer política.

Escrever a política sozinho ou implementar com método?

Dá pra fazer os três caminhos, e vale ser honesto sobre cada um. Baixar um modelo de política pronto da internet é rápido e quase sempre inútil: vem genérico, não fala do seu setor nem das suas ferramentas, e acaba no drive. Contratar quem escreve o documento e vai embora te dá um belo PDF e nenhuma mudança de comportamento no time.

O caminho que a gente defende é o terceiro: implementar a governança por dentro, junto com as soluções de IA que a empresa vai usar de fato, com método e a plataforma acompanhando. A regra nasce colada na ferramenta real, o time aprende usando, e a capacidade de governar fica na empresa em vez de ir embora com o consultor. O trade-off é claro: exige um dono interno e rotina de revisão, não é mágica de uma semana. Em troca, você fica com uma operação que se governa sozinha. Se preferir isso montado e rodando desde o começo, veja as soluções prontas.

O que você ganha e o que abre mão

Colocar governança de IA custa alguma coisa, e seria desonesto fingir que não. Você abre mão de velocidade no curtíssimo prazo: o time não vai mais colar qualquer coisa em qualquer ferramenta sem pensar, e algumas tarefas ganham um passo de revisão que antes não tinham. Tem um atrito real nas primeiras semanas, gente reclamando que era mais rápido do jeito antigo.

O que você ganha é o direito de escalar. Sem regra, cada nova ferramenta e cada novo uso de IA aumenta sua exposição de forma concreta e silenciosa, acumulando custo e risco até o dia em que um erro aparece de uma vez e caro. Com regra, você espalha IA pela empresa sabendo onde está pisando, e para de perder noites imaginando o que o time anda colando onde.

Governança não é o que segura sua empresa longe da IA. É o que deixa você dormir enquanto a IA trabalha.

Relacionados

Agentes de IA: o guia completo

Soluções de IA prontas para empresas

Mais de 500 cases reais de IA

GPT-5.4 mira o trabalho de conhecimento: o que muda no seu escritório

Embeddings: explicação sem código pra quem decide