Governança de IA para boards brasileiros: cinco perguntas que não dependem da lei

Photo by Christina @ wocintechchat.com M / Unsplash

Seu conselho já aprovou investimento em inteligência artificial. A pergunta que eu faria é outra: vocês sabem onde ela está rodando hoje?

Em 2025, o setor financeiro brasileiro aprendeu da pior forma que o perímetro de risco de uma instituição inclui os fornecedores. O ataque que desviou cerca de R$ 800 milhões de contas-reserva no Banco Central não quebrou nenhuma criptografia: usou credenciais legítimas de um prestador de serviço. A resposta regulatória veio rápido, com regras mais duras para os prestadores de tecnologia e com a Resolução CMN 5.274/2025, que estendeu os controles de segurança aos sistemas de terceiros.

Com inteligência artificial o padrão tende a se repetir. Hoje, boa parte da IA de uma empresa não está em projetos com nome e orçamento. Está embutida em ferramentas de fornecedores, em assistentes que os times usam no dia a dia e em pilotos que nunca foram desligados.

Onde está a lei

O PL 2338/2023 foi aprovado no Senado em dezembro de 2024, com um modelo baseado em risco inspirado no regulamento europeu. Na Câmara, uma comissão especial trabalha no texto e, se ele for alterado, volta ao Senado. A lei vem, mas o calendário é incerto.

Esperar a lei, porém, é a escolha errada. As referências já existem:

Referência	O que oferece ao conselho
NIST AI Risk Management Framework	Quatro funções: governar, mapear, medir e gerenciar
ISO/IEC 42001:2023	Sistema de gestão de IA, certificável
Regulamento europeu de IA (AI Act)	Um jeito de classificar usos por nível de risco
Código do IBGC (6ª edição)	O papel do conselho na supervisão de riscos relevantes

O que falta, na maioria dos conselhos, não é framework. É transformar framework em pergunta.

As cinco perguntas

1. Onde usamos IA hoje, inclusive dentro de ferramentas de fornecedores?
Sem inventário não existe governança. O inventário precisa incluir o que foi comprado, não só o que foi construído.

2. Quais usos tomam ou influenciam decisões sobre pessoas, crédito, preço ou saúde?
Esses são os usos de alto risco. Pedem controle diferente: explicabilidade, revisão humana e trilha de auditoria.

3. Cada caso de uso tem um dono de negócio e um número que deveria mudar?
Um relatório do MIT de 2025 afirmou que cerca de 95% dos pilotos de IA generativa não geravam impacto mensurável no resultado. A metodologia foi contestada, mas o diagnóstico soa familiar para quem já viu piloto virar compromisso político. IA sem dono vira piloto eterno.

4. Que dados nossos estão saindo para modelos de terceiros, e com que contrato?
É a mesma lição de 2025: terceiros fazem parte do perímetro. Contrato, retenção de dados e direito de auditoria precisam ser conhecidos pelo conselho, não só pelo jurídico.

5. Se um modelo errar em escala amanhã, quem desliga, em quanto tempo, e quem avisa o cliente?
Todo sistema crítico tem um plano de incidente. IA em produção também precisa ter.

O papel do executivo de tecnologia

O executivo de tecnologia que chega ao conselho não precisa detalhar arquitetura. Precisa traduzir: onde está o risco, quanto custa reduzi-lo e o que a empresa ganha ao fazer isso bem. Governança de IA bem feita não trava a inovação. É o que permite escalar sem medo.

Das cinco perguntas, quantas o seu conselho já consegue responder?