Governança de IA falha quando vira reunião sem poder de decisão

Aprovar um caso de uso novo. Classificar o risco desse caso. Autorizar exceção à política vigente. Desativar um sistema em operação. Se essas quatro não têm dono nomeado, não existe governança: existe agenda.

A quarta é a que revela se a estrutura é real. Aprovar é fácil e distribui crédito; desativar contraria quem implantou, tem custo político e precisa estar atribuída antes de ser necessária. Comitê que nunca desativou nada pode ter sorte, mas normalmente não tem mandato.

Nomear dono não significa concentrar. Significa que, para cada uma das quatro decisões, existe uma pessoa que assina e responde — inclusive quando a decisão é não decidir agora.

Tecnologia responde por viabilidade, integração e segurança técnica: o que é possível construir, com qual esforço, sobre qual infraestrutura e com quais controles de acesso.

Jurídico e privacidade respondem por base legal, contrato e exposição regulatória — inclusive pela leitura do art. 20 da LGPD quando a decisão automatizada afeta interesses de titular, e do art. 46 quando o desenho envolve segurança de dados pessoais.

Risco e auditoria respondem por trilha, controle e teste: se a decisão é reconstruível, se o controle desenhado funciona e se alguém verificou. A área de negócio responde pela decisão que o sistema apoia e é dona do resultado — não é convidada, é responsável. O executivo decide em impasse, e essa atribuição precisa estar escrita antes do primeiro impasse.

Comitê mensal com pauta fixa e decisão registrada produz mais governança que fórum trimestral com apresentação. A diferença não é frequência: é o formato da saída, que precisa ser uma decisão e não um alinhamento.

Nem todo caso deve subir. Casos de baixo risco resolvidos na área liberam o comitê para o que tem consequência regulatória, financeira ou reputacional. Se tudo sobe, nada é analisado com profundidade e a fila vira o mecanismo real de priorização.

O critério de subida precisa ser escrito e conhecido pelas áreas. Sem ele, a decisão de levar ou não levar um caso ao comitê fica com quem propõe o caso, que é a pessoa com menos incentivo para submetê-lo a escrutínio.

Cada decisão registrada precisa conter cinco elementos: o caso analisado, a classificação de risco atribuída, a condição imposta para operar, quem aprovou e o que faria a empresa reverter a autorização.

O último elemento é o menos usual e o mais útil. Declarar a condição de reversão transforma a aprovação em decisão revisável e dá ao comitê um gatilho objetivo para reabrir o caso, em vez de depender de alguém levantar a mão.

A ISO/IEC 42001:2023 organiza a gestão de IA em torno de papéis definidos e registro de decisões, e o NIST AI RMF trata a governança como função que atravessa todo o ciclo do sistema. A ANPD, por sua vez, é a referência de interpretação regulatória no Brasil quando o caso envolve dado pessoal.