Governança mínima de IA para empresas de médio porte

O uso de IA costuma chegar antes da regra. Alguém resume contrato em ferramenta gratuita, outro cola a planilha de clientes para pedir uma análise. Governança, nessa fase, não é um programa corporativo. É saber onde a IA está, com quais dados e quem responde.

O que é governança mínima de IA

Governança mínima de IA é o menor conjunto de regras e registros que permite à empresa usar IA sabendo o que está em uso, com quais dados e sob responsabilidade de quem. São seis itens: inventário de usos, classificação de dados, regra de autonomia, dono por agente, registro e revisão periódica. A política de uso junta tudo em um documento que a equipe consegue ler.

Por que a versão enterprise não cabe no médio porte

A versão de grande empresa não cabe porque pressupõe estrutura que o médio porte não tem: comitê, área de risco, jurídico interno e responsável por dados em tempo integral. Copiar o modelo produz um manual que ninguém lê e uma reunião que ninguém marca.

O erro oposto é não fazer nada ou proibir tudo. Proibição sem alternativa empurra o uso para contas pessoais, fora da vista da empresa. O que não pode faltar são três respostas: o que está em uso, qual dado pode entrar em qual ferramenta e quem responde por cada agente.

Os sete componentes da governança mínima

Os componentes são os seis itens da governança mínima mais a política de uso. Cada um vira um artefato de uma página, com dono nomeado.

Para a regra de autonomia, use uma escada de autonomia de quatro níveis, detalhada no artigo sobre onde colocar aprovação humana em agentes de IA. Na Heleveos, a ficha de todo agente traz escopo, proprietário humano, ferramentas permitidas, nível de autonomia e trilha de auditoria.

Política de uso de IA em uma página: o que precisa constar

Uma política de uso de IA precisa responder a quatro perguntas: quais ferramentas são permitidas, quais dados não entram em ferramentas públicas, o que exige revisão humana e quem responde pelo resultado.

• Ferramentas permitidas. Lista nominal, com contas da empresa. Conta pessoal não entra.
• Dados que não entram em ferramentas públicas. Dados pessoais de clientes e colaboradores, contratos, preços, dados financeiros e credenciais.
• Revisão humana. Tudo o que sai para cliente, vai para sistema oficial ou envolve dinheiro passa por uma pessoa antes.
• Responsabilidade pelo resultado. Quem envia, assina ou aprova responde pelo conteúdo. "A IA errou" não é justificativa.

Classificação de dados em quatro níveis

A classificação separa os dados em quatro níveis e diz, para cada um, em qual ferramenta de IA ele pode entrar.

A LGPD inclui entre os dados pessoais sensíveis o dado sobre origem racial ou étnica, convicção religiosa, opinião política, saúde e vida sexual, além do dado genético ou biométrico, quando vinculado a uma pessoa natural. Esse tipo de dado fica no nível restrito.

Onde a governança de IA encontra a LGPD

A governança de IA encontra a LGPD sempre que um dado pessoal entra em uma ferramenta ou em um agente. A Lei 13.709/2018 define tratamento como toda operação realizada com dados pessoais, o que inclui usar o dado em uma ferramenta de IA. Cinco pontos merecem atenção:

• Bases legais. O art. 7º lista as hipóteses em que o tratamento pode ser realizado, como consentimento do titular, cumprimento de obrigação legal ou regulatória, execução de contrato e interesses legítimos do controlador. Dados sensíveis têm lista própria, no art. 11.
• Necessidade. O art. 6º inclui entre os princípios a limitação do tratamento ao mínimo necessário. Se o agente precisa de dois campos, não entregue o cadastro inteiro.
• Direitos do titular. O art. 18 garante ao titular, entre outros direitos, a confirmação da existência de tratamento, o acesso aos dados e a correção.
• Decisões automatizadas. O art. 20 garante o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses do titular.
• Controlador e operador. Controlador é a quem competem as decisões sobre o tratamento. Operador é quem realiza o tratamento em nome do controlador e segundo as instruções dele (art. 39). Os dois devem manter registro das operações de tratamento (art. 37). No contrato com o fornecedor de IA, deixe claro quem ocupa cada papel.

A lei também determina que o controlador indique um encarregado pelo tratamento de dados pessoais (art. 41) e admite que a autoridade nacional estabeleça hipóteses de dispensa. Confirme com seu jurídico a situação da sua empresa.

Existe ainda uma proposta de marco legal de IA no Brasil, o PL 2338/2023, apresentado no Senado Federal com a ementa "Dispõe sobre o uso da Inteligência Artificial". Acompanhe o andamento na fonte oficial. Este conteúdo é informativo e não substitui orientação jurídica.

O que perguntar a um fornecedor de IA

Pergunte, por escrito, o que acontece com o dado depois que ele sai da sua empresa. Cinco perguntas cobrem o essencial:

1. 1Onde o dado é processado e armazenado, e em qual país? A LGPD só permite transferência internacional de dados pessoais nos casos listados no art. 33.
2. 2Por quanto tempo o dado fica retido e como é eliminado?
3. 3O dado é usado para treinar modelos? É possível desativar esse uso em contrato?
4. 4Quais registros de uso são guardados, por quanto tempo e quem tem acesso?
5. 5Como e em quanto tempo o fornecedor avisa em caso de incidente de segurança?

Se o fornecedor não diz onde o dado fica, trate a ferramenta como pública.

Cadência de revisão

A governança mínima se mantém com três gatilhos: uma rotina mensal, uma revisão trimestral e uma revisão a cada mudança.

• Mensal. O dono de cada agente revisa indicadores, exceções e incidentes. É a rotina de AI Operations.
• Trimestral. A direção revisa o inventário, a lista de ferramentas permitidas e as respostas dos fornecedores.
• A cada mudança. Agente novo, ferramenta nova ou incidente dispara revisão da ficha e da classificação.

Checklist de governança mínima de IA

O checklist abaixo resume a governança mínima em dez itens verificáveis.

1. 1Existe um inventário de todos os usos de IA, incluindo os informais.
2. 2Cada uso tem finalidade, tipo de dado e responsável registrados.
3. 3Os dados estão classificados em níveis, com regra de uso para cada um.
4. 4A política de uso cabe em uma página e foi comunicada a toda a equipe.
5. 5As ferramentas permitidas estão listadas e usam contas da empresa.
6. 6Cada agente tem ficha com escopo, ferramentas, nível de autonomia e dono.
7. 7Preço, contrato, pagamento, dados pessoais e comunicação pública exigem aprovação explícita.
8. 8Há registro do que cada agente fez, com fonte e aprovação.
9. 9Os fornecedores responderam por escrito sobre local de processamento, retenção, treinamento e registros.
10. 10A próxima revisão tem data, e existe um canal para reportar incidentes.

Perguntas frequentes

Como criar uma política de uso de IA na empresa?

Comece pelo inventário: descubra quais ferramentas a equipe já usa e com quais dados. Depois escreva uma página com as ferramentas permitidas, os dados que não entram em ferramentas públicas, o que exige revisão humana e quem responde pelo resultado. Aprove na direção e revise a cada trimestre.

Posso colocar dados de clientes em ferramentas de IA?

Depende da ferramenta, do dado e da base legal. Dado pessoal de cliente não deve entrar em ferramenta pública ou em conta pessoal. Em ferramenta contratada pela empresa, o uso precisa se apoiar em uma das hipóteses da LGPD e em um contrato que trate de local de processamento, retenção e uso para treinamento.

Quem deve ser responsável pela IA em uma empresa média?

Um diretor responde pelo conjunto: inventário, política e revisão. Cada agente tem um dono próprio, que é o gestor da área em que ele trabalha. A TI cuida de acesso, integração e registro.

Preciso de um comitê de IA?

Não para começar. Em uma empresa de médio porte, um diretor responsável e uma pauta fixa na reunião de direção resolvem. O comitê passa a fazer sentido quando há muitos agentes em áreas diferentes, com dados sensíveis e prioridades em conflito.