Série Negócios em tempos de IA, parte 13 de 13. Este ensaio encerra a série com o tema da governança de IA nas empresas: o conjunto de regras, papéis, processos e controles que permite usar a inteligência artificial de forma alinhada aos objetivos do negócio, à lei e à ética. A análise percorre o NIST AI RMF, a norma ISO/IEC 42001 e a LGPD, com atenção às empresas de pequeno porte.
Ao longo desta série, a IA foi discutida como tecnologia de propósito geral, como ferramenta de predição, como fator de produtividade, como base de novos modelos de negócio, como fonte de dependência de plataformas, como força que transforma o trabalho e as competências, como possível disrupção, como fonte ou não de vantagem competitiva, como parte do atendimento e como novo problema de precificação. Em todos esses temas, apareceu a mesma pergunta de fundo: quem decide, quem responde e como os riscos são controlados?
Para estudantes e profissionais de marketing, comunicação, administração e tecnologia, governança pode soar como assunto de grandes corporações e departamentos jurídicos. Mas qualquer empresa que usa IA para falar com clientes, tratar dados pessoais ou apoiar decisões já está tomando decisões de governança, mesmo que de forma implícita. O texto define o conceito, apresenta os principais referenciais internacionais e a legislação brasileira, discute a auditoria de sistemas e propõe uma governança proporcional para negócios menores.
O que é governança de IA
Mäntymäki e colegas (2022) propuseram uma definição de governança organizacional de IA que ajuda a delimitar o tema. Para os autores, trata-se de um sistema de regras, práticas, processos e ferramentas tecnológicas usado para garantir que o uso de IA por uma organização esteja alinhado às suas estratégias, objetivos e valores, cumpra os requisitos legais e atenda aos princípios éticos que ela adota. A definição tem duas vantagens: trata a governança como algo operacional, e não apenas como declaração de princípios, e a vincula à estratégia do negócio.
Essa distinção é importante. Nos últimos anos, muitas organizações publicaram princípios de IA, com palavras como transparência, justiça e responsabilidade. Os Princípios de IA da OCDE, adotados em 2019 e atualizados em 2024, são uma referência internacional nesse sentido (OECD, 2019). Mas princípios sem processos não mudam práticas. A governança é o que transforma valores em decisões concretas: quem aprova o uso de uma ferramenta, quais testes são feitos antes, quem monitora os resultados e o que acontece quando algo dá errado. Os dilemas éticos que esses princípios procuram enfrentar são discutidos no ensaio sobre ética e vieses na inteligência artificial.
O NIST AI Risk Management Framework
O Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, conhecido pela sigla NIST, publicou em 2023 a primeira versão de seu referencial de gestão de riscos de IA, o AI RMF 1.0 (NIST, 2023). O documento é voluntário, não setorial e foi construído com consultas públicas, o que o tornou uma referência usada também fora dos Estados Unidos.
O referencial descreve características de sistemas de IA confiáveis: válidos e confiáveis, seguros, protegidos e resilientes, responsáveis e transparentes, explicáveis e interpretáveis, com privacidade reforçada e justos, com vieses prejudiciais gerenciados. Para alcançar essas características, organiza a gestão de riscos em quatro funções:
- Governar: criar uma cultura de gestão de riscos, com políticas, papéis, responsabilidades e prestação de contas. É a função transversal, que sustenta as demais.
- Mapear: entender o contexto de uso de cada sistema, quem é afetado, quais benefícios e riscos estão em jogo.
- Medir: avaliar, testar e monitorar os riscos identificados, com métodos quantitativos e qualitativos.
- Gerenciar: priorizar os riscos e decidir como tratá-los, inclusive com planos de resposta a incidentes.
Em 2024, o NIST publicou um perfil específico para IA generativa (NIST, 2024), que lista riscos próprios dessa tecnologia, como a confabulação, isto é, a produção de informações falsas apresentadas com confiança, a privacidade de dados, a integridade da informação, a propriedade intelectual, os vieses prejudiciais e a homogeneização de conteúdos, a configuração da interação entre humanos e IA e a integração de componentes de terceiros na cadeia de valor. Para cada risco, o documento sugere ações associadas às quatro funções.
A norma ISO/IEC 42001
Publicada em dezembro de 2023, a ISO/IEC 42001 é a primeira norma internacional de sistema de gestão de IA (ISO/IEC, 2023). Enquanto o NIST oferece um referencial flexível de gestão de riscos, a ISO/IEC 42001 segue o modelo das normas de sistema de gestão, como a ISO 9001, de qualidade, e a ISO/IEC 27001, de segurança da informação. Isso significa que ela pode ser auditada e certificada por organismos independentes.
A norma exige que a organização compreenda seu contexto e as partes interessadas, defina uma política de IA, atribua papéis e responsabilidades, avalie riscos e impactos dos sistemas de IA, implemente controles, monitore o desempenho e promova melhoria contínua. Seus anexos trazem uma lista de controles de referência, que tratam de temas como recursos e dados, avaliação de impactos, ciclo de vida dos sistemas, informações para as partes interessadas, uso responsável e relação com terceiros.
Para empresas que já têm sistemas de gestão certificados, a norma permite integrar a governança de IA a estruturas existentes. Para empresas menores, a certificação pode ser desproporcional, mas a lógica da norma serve como roteiro: política, papéis, avaliação de riscos, controles e revisão periódica.
O quadro brasileiro: LGPD e regulação de IA
A LGPD como base
No Brasil, a principal norma em vigor que incide sobre o uso de IA nas empresas é a Lei Geral de Proteção de Dados Pessoais (Brasil, 2018), tema do ensaio sobre LGPD e marketing digital. Sempre que um sistema de IA trata dados pessoais, seja para treinar, seja para responder a clientes ou apoiar decisões, aplicam-se os princípios da lei, como finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.
Dois pontos merecem destaque. O artigo 20 garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, como a definição de perfil de consumo ou de crédito, e prevê que o controlador forneça informações claras sobre os critérios usados, respeitados os segredos comercial e industrial. E o princípio da responsabilização exige que a empresa consiga demonstrar a adoção de medidas eficazes, o que pressupõe registros, políticas e processos, ou seja, governança. Para agentes de pequeno porte, a Autoridade Nacional de Proteção de Dados estabeleceu regras de aplicação simplificada (ANPD, 2022), o que não elimina as obrigações principais.
A regulação específica de IA
O Projeto de Lei nº 2338/2023, que propõe um marco regulatório para a IA no Brasil com abordagem baseada em riscos, foi aprovado pelo Senado Federal em dezembro de 2024 e seguiu para a Câmara dos Deputados (Brasil, 2023). Como a tramitação pode ter avançado desde que este texto foi escrito, quem pesquisa o tema deve consultar a situação atualizada no portal do Congresso. A lógica de classificação por risco aproxima o projeto do regulamento europeu de IA, discutido no ensaio sobre rotulagem de conteúdo sintético. Para as empresas, a recomendação prudente é não esperar a lei: referenciais como o NIST AI RMF e a ISO/IEC 42001 preparam a organização para exigências futuras.
Da política à prática: auditoria e responsabilidade
Raji e colegas (2020) observaram que muitas organizações publicam princípios de IA, mas têm dificuldade de verificar se seus sistemas os respeitam. Os autores propuseram um processo de auditoria algorítmica interna, conduzido ao longo de todo o ciclo de desenvolvimento, em etapas que incluem a delimitação do escopo, o mapeamento dos envolvidos e dos riscos, a reunião de documentos, os testes e a reflexão sobre os resultados, com registros que permitam atribuir responsabilidades. A proposta enfatiza que a auditoria deve começar antes do lançamento, e não apenas depois de um incidente.
Essa ideia se conecta a vários temas desta série. A dependência de fornecedores, discutida no ensaio sobre plataformas e ecossistemas de IA, exige governança de terceiros: saber quais dados são enviados, em que condições e com que garantias. A responsabilidade pelo que um chatbot afirma, discutida no ensaio sobre IA em serviços e atendimento, exige controles sobre as fontes de informação. E a fronteira irregular de competência dos modelos exige revisão humana nas tarefas críticas.
Aplicação: uma governança proporcional para pequenos negócios
Uma pequena empresa não precisa de um comitê de ética nem de certificação para governar o uso de IA. Precisa de um conjunto mínimo de práticas, proporcionais ao risco, inspiradas nas quatro funções do NIST:
- Inventário: uma lista simples das ferramentas de IA em uso, para quê, por quem e com quais dados.
- Política curta: uma página com o que pode e o que não pode ser feito, como não inserir dados pessoais de clientes em ferramentas sem contrato adequado e revisar todo conteúdo antes de publicar.
- Responsável: uma pessoa designada para acompanhar o uso, tirar dúvidas e registrar problemas.
- Classificação de risco: separar usos de baixo risco, como rascunhos internos, de usos de risco maior, como atendimento automatizado, decisões sobre clientes e conteúdo publicado em nome da marca.
- Revisão periódica: a cada trimestre, verificar o que funcionou, o que deu errado e o que mudou nas ferramentas e na legislação.
Uma agência pequena que atende clientes de vários setores pode, por exemplo, definir que nenhum dado de cliente é inserido em ferramentas gratuitas, que todo texto publicado passa por revisão humana e que o uso de imagens geradas segue regras de transparência combinadas com cada cliente. São medidas simples, mas que demonstram responsabilidade e reduzem riscos jurídicos e de reputação.
Para pesquisar: questões e caminhos para TCC
Algumas perguntas de pesquisa que partem deste ensaio:
- Pequenas e médias empresas de uma região têm políticas, mesmo informais, sobre o uso de IA por seus funcionários? Método sugerido: questionário com análise descritiva e entrevistas de aprofundamento.
- Como as políticas de IA publicadas por empresas brasileiras se comparam às funções do NIST AI RMF? Método: análise documental com categorias derivadas do referencial.
- Profissionais de marketing conhecem o direito de revisão de decisões automatizadas previsto no artigo 20 da LGPD? Método: questionário de conhecimento e percepção.
- Quais barreiras organizacionais dificultam a implementação de governança de IA em empresas de médio porte? Método: estudo de casos múltiplos com entrevistas.
Palavras-chave de busca para Google Acadêmico, SciELO e Portal de Periódicos da CAPES: “governança de inteligência artificial”, “gestão de riscos de IA”, “proteção de dados pessoais”, “decisões automatizadas”, “regulação da inteligência artificial”; em inglês, “AI governance”, “AI risk management”, “NIST AI RMF”, “ISO/IEC 42001”, “algorithmic auditing”, “responsible AI”.
Considerações finais
A governança de IA é o que transforma princípios em práticas. Referenciais como o NIST AI RMF oferecem uma estrutura flexível para mapear, medir e gerenciar riscos; a ISO/IEC 42001 permite organizar esse trabalho como um sistema de gestão auditável; e a LGPD já impõe às empresas brasileiras obrigações concretas sempre que a IA trata dados pessoais. Para negócios menores, o caminho é a proporcionalidade: saber o que se usa, definir regras claras, nomear responsáveis e revisar com frequência.
Com este texto, a série Negócios em tempos de IA chega ao fim. O percurso mostrou que a inteligência artificial não muda os negócios por si só: seus efeitos dependem de complementos organizacionais, de escolhas estratégicas, de competências humanas e de regras que garantam confiança. Para quem estuda e trabalha com marketing, comunicação e tecnologia, a principal lição talvez seja esta: as ferramentas mudam rapidamente, mas as perguntas sobre valor, poder, trabalho e responsabilidade continuam sendo as que orientam boas decisões.
Referências
AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Resolução CD/ANPD nº 2, de 27 de janeiro de 2022. Aprova o Regulamento de aplicação da Lei nº 13.709, de 14 de agosto de 2018, Lei Geral de Proteção de Dados Pessoais (LGPD), para agentes de tratamento de pequeno porte. Diário Oficial da União, Brasília, DF, 2022.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, Brasília, DF, 15 ago. 2018.
BRASIL. Senado Federal. Projeto de Lei nº 2338, de 2023. Dispõe sobre o uso da inteligência artificial. Brasília: Senado Federal, 2023.
INTERNATIONAL ORGANIZATION FOR STANDARDIZATION; INTERNATIONAL ELECTROTECHNICAL COMMISSION. ISO/IEC 42001:2023: information technology: artificial intelligence: management system. Geneva: ISO, 2023.
MÄNTYMÄKI, Matti et al. Defining organizational AI governance. AI and Ethics, v. 2, p. 603-609, 2022.
NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Artificial Intelligence Risk Management Framework (AI RMF 1.0). Gaithersburg: NIST, 2023. (NIST AI 100-1).
NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY (NIST). Artificial Intelligence Risk Management Framework: generative artificial intelligence profile. Gaithersburg: NIST, 2024. (NIST AI 600-1).
OECD. Recommendation of the Council on Artificial Intelligence. Paris: OECD, 2019. (OECD/LEGAL/0449).
RAJI, Inioluwa Deborah et al. Closing the AI accountability gap: defining an end-to-end framework for internal algorithmic auditing. In: CONFERENCE ON FAIRNESS, ACCOUNTABILITY, AND TRANSPARENCY, 2020, Barcelona. Proceedings […]. New York: ACM, 2020. p. 33-44.
Como citar este texto
RÚBIO, Mélker. Governança de IA nas empresas: NIST AI RMF, ISO/IEC 42001 e LGPD na prática. MR Academy, Novo Progresso, 24 abr. 2027. Disponível em: https://melkerrubio.com/governanca-de-ia-nas-empresas/. Acesso em: [data do seu acesso].
Quer aprofundar com aulas práticas? Conheça os cursos da MR Academy.
