IA chegou ao conselho como tema de tecnologia. Ela é tema de risco corporativo

Sistemas de inteligência artificial podem produzir decisão desalinhada da estratégia aprovada, gerar exposição regulatória e comprometer a confiança do cliente. As três consequências são de competência do conselho, independentemente de onde a tecnologia esteja hospedada ou de quem a contratou.

O deslocamento de responsabilidade acontece porque o tema chega embrulhado em vocabulário técnico. Quando a conversa é sobre modelo, plataforma e integração, o conselho se sente fora de escopo; quando é sobre decisão automatizada que afeta cliente, o escopo é evidente.

Os princípios de IA da OCDE tratam responsabilidade e supervisão como atributos da organização que opera o sistema, não do fornecedor que o vende. O IBGC, no material sobre inteligência artificial no âmbito do conselho de administração, situa o tema no mesmo lugar em que estão risco, conformidade e estratégia.

Primeiro, número de sistemas de IA em operação e quantos têm dono nomeado. Segundo, percentual submetido a avaliação formal no período. Os dois medem se existe controle ou apenas uso.

Terceiro, incidentes registrados e tempo médio de resolução. Quarto, exposição de dado pessoal e número de decisões automatizadas que afetam titulares — a leitura direta dos arts. 20 e 46 da LGPD em forma de indicador.

Quinto, custo total e variação em relação ao período anterior. Sexto, casos de uso aprovados e casos barrados. O sexto é o mais revelador: um comitê que aprovou tudo o que recebeu não estava analisando, estava homologando.

Se o conselho pedir hoje a lista de sistemas de IA em operação, com dono e classificação de risco, em quanto tempo ela chega? A resposta é o diagnóstico completo.

Chegar em dias indica que o inventário existe como processo mantido. Levar semanas indica que ele será construído sob demanda, com o viés previsível de quem monta a lista sabendo que ela será lida pelo conselho.

A ISO/IEC 42001:2023 organiza a gestão de IA em torno de inventário e controle dos sistemas em uso. O teste do prazo mede exatamente isso, sem exigir auditoria formal.

Trimestral, com relatório curto e comparável entre períodos. O intervalo é longo o bastante para que os números mudem e curto o bastante para permitir correção antes do fechamento do exercício.

Apresentação que muda de formato a cada reunião impede ver tendência, e tendência é a única coisa que o conselho consegue supervisionar de fato. Um conselheiro não vai auditar um sistema; vai perceber que incidentes cresceram três trimestres seguidos.

Considere um conselho que fixa o mesmo conjunto de seis indicadores por quatro trimestres. Mesmo sem nenhuma capacidade técnica adicional, ele passa a fazer perguntas específicas — o que, na prática, é o mecanismo de supervisão.

Projeto termina; sistema em operação permanece. Quando o conselho acompanha IA como iniciativa com data de encerramento, a supervisão desaparece exatamente quando o uso se torna rotina e o risco deixa de ser experimental.

O reporte precisa sobreviver ao fim do projeto que o originou. Isso significa que os seis indicadores continuam sendo apresentados mesmo quando nada de novo foi contratado no trimestre, porque a ausência de novidade não reduz a exposição acumulada.

Considere um conselho que retira o tema da pauta após a conclusão da implantação. Ele perde a única série histórica que teria permitido perceber a deterioração de um controle antes do incidente.