Governança de IA na prática: LGPD, transparência e o que sua empresa precisa documentar

Governança de IA soa como aquele assunto que a empresa resolve depois — primeiro faz funcionar, depois organiza. Na prática, é o contrário: é a ausência de governança que impede o projeto de sair do piloto. Quando o jurídico não sabe responder se pode usar aquele dado, quando ninguém consegue dizer qual versão do sistema gerou determinada resposta, e quando não há política sobre o que os funcionários podem colar em ferramentas externas, o projeto trava em análise de risco por meses.

Este artigo trata de governança de IA de forma prática e proporcional ao porte de uma empresa brasileira de médio porte. Não é um tratado regulatório. É o conjunto mínimo de estruturas, documentos e controles que faz o projeto avançar com segurança jurídica.

Por que governança destrava, em vez de travar

Existe uma percepção equivocada de que governança é sinônimo de burocracia. Na experiência prática, o efeito é o oposto.

Sem governança, cada novo caso de uso reabre as mesmas discussões: podemos usar esse dado? quem aprova? o que acontece se errar? Cada projeto vira uma negociação individual entre TI, jurídico e negócio, e cada uma dessas negociações leva semanas.

Com governança estabelecida, existe um caminho conhecido: classifica-se o caso, aplica-se o nível de controle correspondente, documenta-se e segue. O que levava dois meses passa a levar duas semanas — porque a decisão difícil foi tomada uma vez, em vez de toda vez.

O que a LGPD exige de um sistema de IA

A Lei Geral de Proteção de Dados não trata de inteligência artificial especificamente, mas se aplica integralmente sempre que há tratamento de dados pessoais — o que inclui quase todo sistema de IA corporativo relevante.

Os pontos que mais aparecem na prática:

Base legal definida. Todo tratamento precisa de uma das bases legais do artigo 7º. Para uso interno de dados de colaboradores, geralmente legítimo interesse ou cumprimento de obrigação legal. Para dados de clientes, frequentemente execução de contrato ou legítimo interesse. Consentimento é a base mais frágil e a menos recomendada para operações contínuas, porque pode ser revogado a qualquer momento.

Finalidade específica. Dados coletados para uma finalidade não podem ser livremente reaproveitados para treinar um modelo com outro propósito. Este é o ponto que mais surpreende empresas: o histórico de atendimento existe, mas usá-lo para uma finalidade nova exige análise.

Minimização. Use apenas os dados necessários. Enviar o cadastro completo do cliente para um modelo quando bastavam três campos é violação de princípio, além de exposição desnecessária.

Transparência e direito à informação. O titular tem direito de saber que seus dados são tratados e com que finalidade. Se há decisão automatizada que o afete, ele pode solicitar revisão.

Revisão de decisões automatizadas (art. 20). Este artigo é o mais diretamente relevante para IA. Decisões tomadas exclusivamente com base em tratamento automatizado que afetem interesses do titular — crédito, perfil de consumo, avaliação profissional — dão direito a solicitar revisão. Na prática, isso significa que é preciso manter um caminho humano de contestação, e ser capaz de explicar os fatores considerados.

Registro das operações de tratamento. O controlador deve manter registro. Sistemas de IA entram nesse registro como qualquer outra operação.

O inventário: o primeiro documento a construir

Antes de política, antes de comitê, construa o inventário. É simples e revelador.

Liste todos os usos de IA na empresa — incluindo os que ninguém aprovou formalmente. E há sempre mais do que a diretoria imagina: gente usando assistentes públicos para redigir e-mail, extensões de transcrição em reuniões, ferramentas de geração de imagem no marketing.

Para cada item, registre:

O inventário costuma revelar duas coisas desconfortáveis: uso não autorizado disseminado, e sistemas críticos sem responsável nomeado. Ambas são melhores descobertas por você do que por um incidente.

Classificação de risco: três níveis bastam

Modelos regulatórios internacionais trabalham com escalas de risco, e a lógica é útil mesmo fora de qualquer obrigação legal formal. Para empresas de médio porte, três níveis são suficientes.

Risco baixo. O sistema apoia atividade interna, não trata dado pessoal sensível e o erro é corrigido pelo próprio usuário antes de qualquer efeito externo. Exemplos: apoio à redação, resumo de reunião interna, busca em documentação técnica pública.

Controles: política de uso, registro no inventário, orientação básica. Não precisa de comitê.

Risco médio. O sistema influencia decisão de trabalho, trata dados pessoais ou produz saída que chega ao cliente com revisão humana. Exemplos: triagem de chamados, sugestão de resposta a cliente, análise de currículo como apoio.

Controles: base legal documentada, avaliação de impacto simplificada, conjunto de avaliação com métricas, registro de interações, revisão humana obrigatória antes de efeito externo, revisão periódica semestral.

Risco alto. O sistema afeta direitos, acesso a serviço, condições contratuais ou segurança de pessoas. Exemplos: decisão de crédito, priorização em atendimento de saúde, seleção de candidatos com efeito eliminatório, precificação individualizada.

Controles: relatório de impacto à proteção de dados, teste de desempenho por subgrupo, mecanismo formal de contestação humana, aprovação de comitê, auditoria e reavaliação trimestral, documentação completa de decisões de projeto.

O erro comum é aplicar controles de risco alto a tudo — o que paralisa a organização — ou aplicar controles de risco baixo a tudo, o que cria exposição.

A política de uso de IA que funciona

Políticas longas não são lidas. A que funciona cabe em duas páginas e responde perguntas concretas que as pessoas realmente têm.

O que pode ser colocado em ferramentas de IA externas. Seja específico com exemplos: pode colar um texto de marketing público; não pode colar contrato de cliente, dado de folha de pagamento, código proprietário ou informação de terceiros sob acordo de confidencialidade.

Quais ferramentas são aprovadas. Uma lista explícita, com processo simples para solicitar inclusão. Proibir tudo sem oferecer alternativa aprovada garante uso clandestino — o pior cenário, porque acontece sem visibilidade.

Quando é obrigatório revisar a saída. Regra simples e memorável: tudo que sai da empresa ou vira decisão passa por revisão humana identificada.

Quando é obrigatório informar que houve uso de IA. Comunicação com cliente, conteúdo publicado, documento formal.

O que é proibido sem exceção. Gerar conteúdo que se passe por pessoa real, tomar decisão automatizada sobre pessoas sem aprovação prévia, contornar controles de acesso existentes.

A quem recorrer em caso de dúvida. Um nome, um canal. Sem isso, a política vira letra morta na primeira situação ambígua.

A melhor política é a que um funcionário consegue consultar em 30 segundos e sair com uma resposta clara. Se a dúvida sobrevive à leitura, a política falhou.

Rastreabilidade: o requisito técnico que sustenta tudo

Governança sem registro é declaração de intenção. Do ponto de vista técnico, é preciso ser capaz de reconstituir qualquer saída relevante do sistema.

O registro mínimo por interação: identificação do usuário, entrada recebida, documentos ou dados consultados, versão do modelo e do prompt, saída gerada, ação tomada, quem aprovou e quando. Retenção compatível com a política de retenção da empresa e com prazos prescricionais aplicáveis.

Além do registro operacional, mantenha versionamento de prompts e configurações. É surpreendentemente comum encontrar sistemas em produção cujo comportamento mudou porque alguém editou um prompt, sem registro de quem, quando ou por quê.

E mantenha o conjunto de avaliação versionado junto. Ele é a evidência de que o sistema foi testado, e é o que permite provar que uma degradação foi detectada e corrigida.

Contratos com fornecedores: o que verificar

Boa parte da exposição de uma empresa em IA está no contrato do fornecedor, não no seu código.

Verifique explicitamente: se os dados enviados são usados para treinar modelos do fornecedor (e como desativar isso); em que região geográfica ocorre o processamento e o armazenamento; por quanto tempo os dados são retidos; se há subcontratados e quais; qual o compromisso de notificação em caso de incidente; e o que acontece com os dados no encerramento do contrato.

Para transferência internacional de dados pessoais, a LGPD exige mecanismo adequado — cláusulas contratuais padrão ou outra hipótese do artigo 33. Isso precisa estar documentado, não presumido.

Estrutura organizacional proporcional

Empresa de médio porte não precisa de departamento de IA responsável. Precisa de papéis claros.

Um patrocinador executivo que decide sobre casos de risco alto. O encarregado de dados (DPO) já existente, envolvido nas avaliações. Um responsável técnico por sistema, nomeado no inventário. E um fórum de revisão — pode ser uma reunião mensal de 45 minutos com TI, jurídico e as áreas de negócio envolvidas, com pauta fixa: novos casos, incidentes, resultados de avaliação, revisões vencidas.

Esse fórum é o mecanismo mais barato e mais eficaz de governança que existe. Ele funciona porque cria um lugar onde a decisão acontece, em vez de circular por e-mail indefinidamente.

Avaliação de impacto: quando fazer e o que precisa conter

Para sistemas classificados como risco médio e alto, é preciso documentar uma avaliação de impacto. Em alguns casos ela é exigida formalmente pela autoridade; em todos os casos ela é o documento que a empresa vai precisar quando um cliente corporativo, um auditor ou um titular de dados fizer perguntas.

A versão proporcional para empresa de médio porte cabe em cinco a oito páginas e responde:

O que o sistema faz e por quê. Descrição do processo, do problema que resolve e da alternativa considerada. Registrar por que a IA foi escolhida em vez de uma solução determinística é mais importante do que parece — é a primeira pergunta de qualquer questionamento.

Quais dados são tratados. Categorias, origem, volume, se há dado pessoal, se há dado sensível, por quanto tempo ficam retidos e quem tem acesso.

Qual a base legal e, quando for legítimo interesse, o teste de proporcionalidade: qual o interesse, por que é legítimo, qual o impacto sobre o titular e por que o benefício supera esse impacto.

Quais são os riscos identificados e a medida de mitigação de cada um. Riscos típicos: resposta incorreta com efeito sobre a pessoa, vazamento por acesso indevido, viés no tratamento de subgrupos, dependência excessiva do sistema pelos operadores.

Como o desempenho é medido e com que periodicidade é reavaliado.

Qual o caminho de contestação humana disponível ao titular afetado, e em quanto tempo é respondido.

O documento precisa ser mantido vivo. Uma avaliação de impacto escrita na implantação e nunca revisada descreve um sistema que não existe mais dois anos depois.

Erros de governança que custam caro

Proibir sem alternativa. Gera uso clandestino, sem visibilidade e sem controle. Muito pior do que uso controlado.

Governar apenas o que a TI implantou. A maior parte do uso de IA numa empresa hoje é de ferramentas adotadas individualmente. O inventário precisa alcançá-las.

Confundir política com treinamento. Publicar o documento não muda comportamento. É preciso treinar com exemplos do dia a dia da própria empresa.

Tratar governança como projeto com fim. Modelos mudam, fornecedores mudam, casos de uso se multiplicam. A revisão precisa ser recorrente.

Um plano de 60 dias para começar

1. Semanas 1–2: monte o inventário, incluindo uso não oficial. Converse com as áreas, não apenas com a TI.
2. Semanas 3–4: classifique cada item em baixo, médio ou alto risco. Identifique os que tratam dado pessoal.
3. Semanas 5–6: escreva a política de uso em duas páginas e valide com jurídico e RH.
4. Semana 7: defina os papéis e agende o fórum mensal.
5. Semana 8: treine as equipes com casos reais e publique o canal de dúvidas.

Ao final, a empresa não terá governança perfeita — terá governança suficiente para avançar com segurança, que é o objetivo real.

Conclusão

Governança de IA não é sobre impedir. É sobre criar condições para que a empresa possa dizer sim com confiança, sabendo o que está assumindo.

As empresas que estruturam isso cedo avançam mais rápido, porque não param a cada novo caso de uso para redescobrir as mesmas respostas. As que deixam para depois acabam parando de verdade — geralmente no pior momento, quando um cliente grande pede a documentação de conformidade ou quando um incidente expõe a ausência de registro.

A BHELP.tech estrutura essa camada junto com a implantação técnica: inventário, classificação de risco, política de uso, rastreabilidade e o fórum de revisão que mantém tudo vivo. Governança e engenharia caminham juntas — separá-las é o que produz sistemas que funcionam mas não podem ser usados.