Governança de IA sem área de compliance: por onde começar

Governança de IA em uma empresa que não tem área de compliance não começa com um comitê nem com um documento de 40 páginas. Começa com uma página, um checklist de dez perguntas e a definição de quem responde quando algo dá errado. Depois de mais de 30 anos em tecnologia, boa parte deles montando controle de dados em ambientes regulados, essa é a versão que eu recomendo para quem está adotando IA sem estrutura formal de privacidade.

A confusão mais comum é achar que governança de IA é sinônimo de burocracia — e que, sem um time de compliance, o jeito é deixar para depois. Não é. O risco real de uma empresa média não é ficar sem política; é ter dezenas de usos de IA acontecendo sem que ninguém saiba quais dados estão sendo colados em qual ferramenta.

Este texto é o mínimo que eu considero suficiente: o que a governança precisa cobrir, como colocar isso de pé sem contratar ninguém, e o que fazer com o uso informal de IA que já está rolando na sua empresa agora.

Principais aprendizados

Governança de IA em empresa sem compliance cabe em uma página: propósito, princípios, regras, direitos e deveres. O objetivo é cobrir os riscos essenciais — base legal, minimização de dados, decisão humana em ação irreversível — sem exigir uma estrutura que a empresa não tem.
O artefato mais útil não é a política geral; é um checklist de LGPD de dez perguntas binárias, respondido em cinco minutos, uma vez por piloto de IA antes de ele começar.
Uso informal de IA (shadow AI) não deve ser bloqueado por reflexo. Cada uso não oficial é um caso de uso já testado na prática. Mapear vale mais do que proibir — a proibição só empurra o uso para fora do seu campo de visão.
Todo componente de IA que classifica risco precisa registrar cinco campos: categoria, score, confiança, justificativa e data/hora. Sem log auditável, não há governança — há fé.
A governança leve tem prazo de validade. Quando o volume de dados pessoais cresce, quando entra decisão sensível (crédito, saúde, seleção de pessoas) ou quando um cliente grande exige, é hora de migrar para um assessment estruturado.

O que a governança de IA precisa cobrir quando não existe uma área de compliance?

Precisa cobrir quatro coisas: qual é a base legal para usar cada conjunto de dados, como garantir que só o dado mínimo necessário seja usado, onde a decisão continua sendo humana, e quem é o responsável nomeado por cada uso. Todo o resto é refinamento.

Eu organizo isso em um documento de uma página, com cinco blocos fixos:

Propósito — uma frase sobre por que a empresa usa IA. Por exemplo: “reduzir trabalho repetitivo e melhorar a resposta ao cliente, sem abrir mão de controle sobre os dados”.
Princípios — segurança por padrão, dados mínimos, decisão humana em qualquer ação irreversível, medição desde o piloto, aprendizado registrado.
Regras — nada de dado pessoal sensível sem contrato de tratamento assinado; toda mudança de versão de prompt ou de modelo é registrada; todo uso tem um dono; exportar os dados de volta é sempre possível.
Direitos — qualquer pessoa da empresa pode propor uma melhoria ou levantar uma preocupação, com resposta em até sete dias.
Deveres — registrar o antes e o depois de cada automação, cumprir a LGPD, não colar dado sigiloso em ferramenta fora do ambiente aprovado.

Esse documento é deliberadamente mais leve do que um framework corporativo de governança de dados. Ele não substitui o trabalho de um encarregado de dados quando a empresa chega nesse porte. Mas cobre os mesmos riscos essenciais e — principalmente — pode ser preenchido ao vivo, numa reunião de 30 a 60 minutos, com as pessoas que já estão usando IA na mesa. Uma política que ninguém leu não governa nada. Uma página que a equipe escreveu junto, sim.

Um complemento que eu considero inegociável: um critério de fronteira entre o que a IA faz e o que o humano mantém. A IA assume tarefas repetitivas e previsíveis — classificar, extrair, resumir, formatar, buscar. O humano mantém a decisão final em contexto de risco, o julgamento nos casos fora da curva e a responsabilidade legal pela relação com o cliente. Em um treinamento de adoção que conduzi, esse slide era o primeiro de todos, com uma regra de ouro no rodapé: “na dúvida, não arrisque — pergunte antes ao responsável”. Essa frase resolve mais dúvida operacional do que qualquer manual.

Como implementar governança de IA sem contratar um time?

Com um checklist por piloto, não com uma política que tenta prever tudo. Antes de qualquer iniciativa de IA começar, alguém — o dono daquele uso — responde dez perguntas binárias:

O uso envolve dados pessoais?
A minimização foi aplicada (só o dado necessário)?
A base legal está definida?
Existe contrato de tratamento de dados assinado com o fornecedor?
O acesso está restrito a quem precisa?
A retenção está configurada (os dados somem depois de um prazo)?
Há como auditar o que o modelo fez?
Existe um humano no circuito para decisões irreversíveis?
O antes foi medido (linha de base de tempo, custo ou erro)?
Alguém está nomeado como responsável?

Leva cinco minutos. Se três ou mais respostas forem “não”, o piloto não começa — ou começa com escopo reduzido até fechar as lacunas. Esse gate simples elimina a maior parte dos problemas de privacidade antes que eles cheguem à produção, e não exige nenhuma contratação.

O segundo pilar da implementação é o log auditável. Todo componente de IA que classifica ou pontua risco — e boa parte das aplicações corporativas de IA faz exatamente isso — precisa registrar, para cada decisão: a categoria atribuída, o score, o nível de confiança, a justificativa e a data/hora, com a versão do modelo. Em um produto sensível que classifica risco de pessoas idosas, essa era uma regra de arquitetura obrigatória, não uma boa prática opcional. A decisão de agir ficava sempre com uma pessoa ou uma regra determinística — a IA nunca era dona da decisão, só classificava com justificativa que dava para revisar depois.

Nada disso exige um departamento. Exige um dono por iniciativa e a disciplina de responder o checklist antes, não depois. O artigo LGPD e IA: o que checar antes de contratar um modelo cobre a parte contratual dessa conversa em mais detalhe.

O uso informal de IA na empresa é risco a bloquear ou ativo a mapear?

É ativo a mapear — e a reação de bloquear por reflexo costuma custar mais caro do que o risco que ela tenta evitar. Quando as pessoas adotam ferramentas de IA por conta própria, antes de qualquer programa oficial, cada uso não autorizado é um caso de uso já validado pelo próprio negócio: tem um problema real, uma solução que funcionou e nenhum custo de descoberta para a empresa.

Eu vi isso virar método em um grande grupo educacional. Em vez de proibir, a empresa mapeou o uso orgânico: mais de cem ações de IA identificadas, catalogadas por área. Essa “economia paralela” foi auditada, não extinta — e virou a base de dados do diagnóstico formal de onde investir primeiro. O levantamento do MIT que popularizou o termo shadow AI economy aponta na mesma direção: o uso espontâneo é sinal de adoção, não só de risco. [Fonte externa: MIT, “The GenAI Divide”, 2025]

Isso não quer dizer “libera geral”. Quer dizer que a resposta certa a um uso informal descoberto é uma conversa — “que problema você está resolvendo? que dado você está usando?” — e não um e-mail de bloqueio. O bloqueio não elimina o uso; ele só o move para o celular pessoal, onde você perdeu completamente a visão. Uso informal de IA ainda não é adoção, mas é o mapa de onde a adoção deveria começar. O que precisa entrar em cima disso é governança — dono, métrica, base legal —, não uma proibição.

Um padrão que eu vejo se repetir: a governança de bots e agentes fragmentada por área, cada setor contratando o seu sem falar com os outros — o mesmo padrão que produz projetos de IA desconectados do resto da operação. Isso não se resolve centralizando tudo à força. Resolve-se com a página única de princípios valendo para todo mundo e o checklist valendo para cada iniciativa, independente de quem contratou.

Quando a governança leve deixa de ser suficiente

A página única e o checklist cobrem a fase de adoção. Eles deixam de bastar em três situações claras: quando o volume de dados pessoais tratados cresce a ponto de exigir um encarregado dedicado; quando a IA passa a influenciar decisões sensíveis — crédito, saúde, triagem de currículos, benefícios; e quando um cliente grande ou um edital exige evidência formal de conformidade.

Nesse momento, o caminho é um assessment estruturado. Em uma operadora de telecom, esse tipo de avaliação era organizado em cinco categorias: registro das operações de tratamento, atendimento aos direitos dos titulares, descoberta de onde os dados estão, gestão e auditoria desses dados, e controles de segurança. É outro nível de esforço — mas a empresa só chega nele depois de já ter a página e o checklist rodando. Quem tenta pular direto para o framework corporativo, sem a base, normalmente produz um documento que ninguém usa.

A recomendação prática: comece com a página única esta semana, rode o checklist no próximo piloto, e trate a migração para o assessment estruturado como uma decisão de negócio — disparada por volume, por sensibilidade ou por exigência de cliente, não por ansiedade.

Perguntas frequentes

Preciso de um comitê de IA para ter governança?

Não no começo. Uma página de princípios acordada pela equipe e um responsável nomeado por iniciativa cobrem a fase de adoção. Um comitê formal faz sentido quando há múltiplas áreas usando IA com dados pessoais em escala, ou quando decisões sensíveis entram no circuito. Antes disso, o comitê vira reunião sem pauta e atrasa a adoção sem reduzir risco.

Qual é o primeiro documento de governança de IA que uma empresa média deve criar?

Um documento de uma página com cinco blocos — propósito, princípios, regras, direitos e deveres — preenchido ao vivo com quem já usa IA na empresa. Ele deve caber em uma reunião de 30 a 60 minutos e ser revisado a cada trimestre. Política longa que ninguém lê não governa nada.

Como controlar o uso de ChatGPT e outras ferramentas de IA pelos funcionários?

Mapeando antes de bloquear. Levante quais ferramentas já estão em uso e para quê, defina uma regra clara sobre que tipo de dado nunca pode ser colado em ferramenta externa, e ofereça um ambiente aprovado para os usos legítimos. Bloqueio puro empurra o uso para fora da sua visão, sem eliminá-lo.

Governança de IA e LGPD são a mesma coisa?

Não, mas se sobrepõem bastante. A LGPD trata de dados pessoais; a governança de IA trata também de decisão automatizada, auditabilidade, fronteira humano-máquina e gestão de versões de modelo. Na prática, o checklist de LGPD por piloto é o núcleo da governança de IA de uma empresa que está começando.

Sou Gillian Pellegrino, fundadora da HAIA. Trabalho com IA aplicada há mais de 30 anos e ajudo líderes empresariais brasileiros a adotar IA com controle — sem transformar governança em um projeto que trava a adoção. Se a sua empresa está usando IA sem nenhuma política escrita, a página única é o lugar para começar, e dá para fazer isso nesta semana.