> ## Content Index
> Fetch the complete content index at: https://ibsonmachado.me/llms.txt
> Use this file to discover other available public pages before exploring further.

# Governança de IA para boards brasileiros: cinco perguntas que não dependem da lei
- URL: https://ibsonmachado.me/governanca-de-ia-para-boards-brasileiros-cinco-perguntas-que-nao-dependem-da-lei/
- Published: 2026-10-28T09:05:00.000Z
- Updated: 2026-11-06T21:33:58.000Z
- Author: Ibson Machado
- Tags: IA, Governança

**Seu conselho já aprovou investimento em inteligência artificial. A pergunta que eu faria é outra: vocês sabem onde ela está rodando hoje?**

Em 2025, o setor financeiro brasileiro aprendeu da pior forma que o perímetro de risco de uma instituição inclui os fornecedores. O ataque que desviou cerca de R$ 800 milhões de contas-reserva no Banco Central não quebrou nenhuma criptografia: usou credenciais legítimas de um prestador de serviço. A resposta regulatória veio rápido, com regras mais duras para os prestadores de tecnologia e com a Resolução CMN 5.274/2025, que estendeu os controles de segurança aos sistemas de terceiros.

Com inteligência artificial o padrão tende a se repetir. Hoje, boa parte da IA de uma empresa não está em projetos com nome e orçamento. Está embutida em ferramentas de fornecedores, em assistentes que os times usam no dia a dia e em pilotos que nunca foram desligados.

## Onde está a lei

O PL 2338/2023 foi aprovado no Senado em dezembro de 2024, com um modelo baseado em risco inspirado no regulamento europeu. Na Câmara, uma comissão especial trabalha no texto e, se ele for alterado, volta ao Senado. A lei vem, mas o calendário é incerto.

Esperar a lei, porém, é a escolha errada. As referências já existem:

| Referência                         | O que oferece ao conselho                              |
| ---------------------------------- | ------------------------------------------------------ |
| NIST AI Risk Management Framework  | Quatro funções: governar, mapear, medir e gerenciar    |
| ISO/IEC 42001:2023                 | Sistema de gestão de IA, certificável                  |
| Regulamento europeu de IA (AI Act) | Um jeito de classificar usos por nível de risco        |
| Código do IBGC (6ª edição)         | O papel do conselho na supervisão de riscos relevantes |

O que falta, na maioria dos conselhos, não é framework. É transformar framework em pergunta.

## As cinco perguntas

**1\. Onde usamos IA hoje, inclusive dentro de ferramentas de fornecedores?**  
Sem inventário não existe governança. O inventário precisa incluir o que foi comprado, não só o que foi construído.

**2\. Quais usos tomam ou influenciam decisões sobre pessoas, crédito, preço ou saúde?**  
Esses são os usos de alto risco. Pedem controle diferente: explicabilidade, revisão humana e trilha de auditoria.

**3\. Cada caso de uso tem um dono de negócio e um número que deveria mudar?**  
Um relatório do MIT de 2025 afirmou que cerca de 95% dos pilotos de IA generativa não geravam impacto mensurável no resultado. A metodologia foi contestada, mas o diagnóstico soa familiar para quem já viu piloto virar compromisso político. IA sem dono vira piloto eterno.

**4\. Que dados nossos estão saindo para modelos de terceiros, e com que contrato?**  
É a mesma lição de 2025: terceiros fazem parte do perímetro. Contrato, retenção de dados e direito de auditoria precisam ser conhecidos pelo conselho, não só pelo jurídico.

**5\. Se um modelo errar em escala amanhã, quem desliga, em quanto tempo, e quem avisa o cliente?**  
Todo sistema crítico tem um plano de incidente. IA em produção também precisa ter.

## O papel do executivo de tecnologia

O executivo de tecnologia que chega ao conselho não precisa detalhar arquitetura. Precisa traduzir: onde está o risco, quanto custa reduzi-lo e o que a empresa ganha ao fazer isso bem. Governança de IA bem feita não trava a inovação. É o que permite escalar sem medo.

Das cinco perguntas, quantas o seu conselho já consegue responder?

## Fontes

- Incidente de 2025 no sistema financeiro e Resolução CMN 5.274/2025
- PL 2338/2023 (Senado Federal / Câmara dos Deputados)
- NIST AI Risk Management Framework
- ISO/IEC 42001:2023
- Regulamento europeu de IA (AI Act)
- IBGC, Código das Melhores Práticas de Governança Corporativa (6ª edição)
- MIT NANDA, "The GenAI Divide" (2025), contestado metodologicamente