Empresas avançam na IA, mas governança ainda é desafio

A adoção de Inteligência Artificial (IA) pelas empresas está avançando em um ritmo acelerado, superando a velocidade com que os mecanismos de controle e governança são estruturados. O desafio para as organizações deixou de se concentrar apenas na proteção dos dados utilizados pela tecnologia e passou a englobar também as decisões e ações que a própria IA executa. O tema foi amplamente discutido durante a quarta edição do DPO Talks, evento promovido pela Edenred, reunindo especialistas em privacidade, governança de dados e IA.

Governança de IA: da estratégia à operação

A maturidade das empresas em relação à governança de IA varia significativamente. Algumas organizações ainda utilizam comitês informais para resolver demandas pontuais, enquanto outras já desenvolvem modelos com responsabilidades distribuídas em três camadas: estratégica (definição de diretrizes), tática (transformação de princípios em processos) e operacional (uso das soluções). Segundo Ivana Braga, DPO e Compliance Officer para a América Latina na DXC Technology, não existe um modelo único de governança, mas a integração com a proteção de dados e a governança corporativa deve ocorrer desde a concepção dos projetos.

Pietra Quinelato, especialista em governança de IA e professora da ESPM, destacou que princípios como transparência, privacidade e responsabilização são comuns em diferentes referenciais internacionais. A principal dificuldade reside em traduzir esses princípios em medidas concretas, envolvendo processos, pessoas e tecnologia. "Eu não acho realmente que governança seja sobre custo, que seja só sobre risco. Eu acho que a gente tem que governar para acelerar", afirmou Quinelato.

IA: Negócios e Tecnologia em Sinergia

Uma das mudanças mais notáveis é a crescente participação das áreas de negócio na criação de soluções de IA. Projetos de IA já não se limitam a ferramentas para resumir documentos ou produzir textos. Profissionais sem conhecimento aprofundado de programação conseguem desenvolver agentes e aplicações, ampliando as possibilidades de inovação, mas também os riscos relacionados ao Shadow IT — adoção de soluções sem passar pelos processos formais de segurança. Ivana Braga defende a evolução do conceito de privacy by design para AI by design, incorporando privacidade, segurança e governança desde o início do desenvolvimento, com a criação de representantes de IA nas áreas de negócio, os AI Champions.

Carolina Klamas, especialista em privacidade e governança de dados, ressaltou que a proximidade entre governança e negócio permite avaliar se os projetos atendem às necessidades da organização. Para evitar controles excessivos, ela sugere classificar ferramentas e atividades conforme seus riscos. A especialista também destacou o potencial de utilizar agentes de IA nos próprios processos de governança, automatizando atividades de monitoramento.

Desafios Adicionais e Regulamentação Global

A governança de IA amplia os desafios da proteção de dados, especialmente quando agentes acessam sistemas e executam operações. Francisco Castro, responsável pela área de dados da Edenred no Brasil, explicou que a complexidade das soluções e seu impacto no negócio exigem diferentes níveis de avaliação. Falhas em integrações podem gerar consequências que vão além do vazamento de informações, como alterações indevidas em sistemas e remoção de mecanismos de segurança.

A atuação internacional adiciona complexidade, exigindo que organizações globais acompanhem regulamentações como o Regulamento Europeu de Inteligência Artificial. O desafio é estabelecer princípios compartilhados sem desconsiderar as particularidades de cada mercado, priorizando a proteção de informações confidenciais e avaliando riscos regulatórios, operacionais e comerciais.

Comitês Autônomos e Evolução Gradual

A composição dos comitês de governança de IA deve integrar profissionais de governança, arquitetura, segurança da informação, proteção de dados e áreas de negócio, com senioridade e autonomia para tomar decisões. A participação de equipes de comunicação institucional é importante devido aos possíveis impactos reputacionais. Áreas de continuidade de negócios e recuperação de desastres também devem ser consideradas.

Para organizações sem estrutura formal de governança de IA, recomenda-se aproveitar mecanismos existentes de proteção de dados, gestão de riscos e segurança da informação. O diagnóstico das ferramentas utilizadas e a revisão de relatórios de privacidade e impacto são passos iniciais. O letramento dos funcionários sobre os riscos e regras de utilização é fundamental. A Edenred optou por iniciar com uma equipe reduzida e incorporar novas áreas conforme a necessidade, evitando excesso de planejamento que poderia atrasar a implementação de controles.