Comitê de Governança de IA: Roles & Responsibilities

A adoção de Inteligência Artificial deixou de acontecer apenas dentro das áreas de tecnologia. Marketing utiliza IA generativa para produzir conteúdo, RH pode utilizá-la em recrutamento, desenvolvedores adotam copilots e ferramentas de Vibe Coding, enquanto jurídico, vendas e atendimento incorporam diferentes assistentes em suas atividades.

Nesse cenário, surge uma pergunta importante: quem decide quais ferramentas de IA podem ser utilizadas, para quais finalidades e sob quais controles?

É justamente essa uma das funções de um Comitê de Governança de Inteligência Artificial.

O que é um Comitê de Governança de IA?

O Comitê de Governança de IA é uma estrutura multidisciplinar responsável por estabelecer diretrizes, avaliar riscos e acompanhar a utilização de Inteligência Artificial dentro da organização.

O objetivo não deve ser impedir inovação. Pelo contrário: boa governança cria condições para que a empresa utilize IA com maior segurança, transparência e previsibilidade.

O NIST AI Risk Management Framework trata governança como elemento transversal da gestão de riscos de IA e destaca responsabilidades envolvendo liderança, gestão, desenvolvedores, usuários e terceiros.

Quem deve participar do Comitê de IA?

Não existe uma composição única. Ela deve refletir os riscos, tamanho e atividades da organização. Entretanto, um Comitê de Governança de IA pode envolver representantes de:

• Alta gestão;
• Produto;
• Tecnologia (Dev, TI e Cybersec);
• Jurídico;
• DPO;
• Times de Gestão de Riscos;
• Áreas que utilizem IA de maneira relevante ou intensiva.

Essa multidisciplinaridade é importante porque os riscos de IA também são multidimensionais. Uma ferramenta pode ser tecnicamente segura, mas criar riscos de privacidade; pode atender à LGPD, mas gerar problemas de propriedade intelectual; ou ainda apresentar riscos relacionados a vieses, decisões automatizadas, segurança, contratos ou reputação.

O papel do Comitê é reunir essas perspectivas antes que decisões importantes sejam tomadas isoladamente.

Para startups e SMBs (Pequenas e Médias Empresas), é compreensível que a criação de um Comitê de Governança de IA dedicado seja mais difícil. Em empresas menores, é possível que as mesmas pessoas frequentemente acumulem responsabilidades, criando um grande overlap de funções. Nesses casos, a solução não precisa ser reproduzir a estrutura de uma grande corporação, mas criar um modelo de governança proporcional ao porte e aos riscos do negócio. Uma alternativa prática é ampliar o mandato de um Comitê de Privacidade, por exemplo, para incluir Governança de IA, definir claramente quem é responsável por cada tipo de decisão e recorrer a especialistas externos quando necessário. O uso de um DPO-as-a-Service multidisciplinar também pode ajudar a suprir competências que não existem internamente, trazendo apoio em privacidade, jurídico, tecnologia, cibersegurança e gestão de riscos sem exigir a criação de várias posições permanentes.

O mais importante é evitar que a falta de uma estrutura formal resulte em ausência de governança: mesmo uma startup deve saber quais ferramentas de IA utiliza, para quais finalidades, quais dados são tratados, quais riscos existem e quem pode aprovar ou bloquear determinados usos.

Comitê de Privacidade e Comitê de IA são a mesma coisa?

Não.

Um Comitê de Privacidade e Proteção de Dados normalmente concentra sua atuação na LGPD, nos incidentes, riscos, políticas, fornecedores, RIPDs e demais aspectos do programa de privacidade.

O Comitê de Governança de IA possui escopo diferenciado. Ele deve considerar aspectos de segurança, qualidade dos modelos, questões de propriedade intelectual, como homologar fornecedores, riscos da IA e impactos sobre pessoas e processos.

Há, entretanto, uma grande área de interseção entre ambos.

A própria ANPD vem aproximando explicitamente os temas. Seu Sandbox Regulatório trata conjuntamente Inteligência Artificial e proteção de dados pessoais, incluindo transparência algorítmica, explicabilidade e gestão de riscos. Em agosto de 2026, a Autoridade publicou inclusive a metodologia de testagem do projeto-piloto.

Uma PME pode ter um único Comitê de Privacidade e IA?

Sim, e muitas vezes isso é mais eficiente para elas.

Para PMEs, criar estruturas independentes para privacidade, cybersecurity, dados e IA pode tornar a governança excessivamente burocrática. Uma alternativa é transformar o Comitê de Privacidade existente em um Comitê de Privacidade, Dados e Governança de IA, ampliando seu mandato e, quando necessário, convidando especialistas ou representantes das áreas impactadas.

O importante não é o número de comitês. É garantir que existam responsabilidades claras, inventário das soluções utilizadas, critérios de aprovação, avaliação proporcional de riscos, registro das decisões e acompanhamento dos casos de uso.

Essa abordagem também ajuda a combater o chamado Shadow AI: ferramentas utilizadas por colaboradores sem conhecimento ou avaliação formal da organização. A Macher Tecnologia oferece o DPO Helper como Software para a LGPD, oferecendo visibilidade sobre processos, aplicações e serviços em uso pelas empresas.

Qual é o papel do DPO na Governança de IA?

O DPO possui papel importante, principalmente quando sistemas de IA tratam dados pessoais. A própria ANPD destaca riscos como utilização de dados para finalidades diferentes das originalmente previstas, falta de transparência e potenciais vieses discriminatórios.

O DPO/Encarregado pode apoiar a organização, apoiando a coordenação das iniciativas entre as áreas relevantes, além da avaliação de bases legais para novos tratamentos/sistemas/produtos, atualizar RIPD/DPIA com base no uso de IA, na avaliação de fornecedores e riscos decorrentes do tratamento de dados.

Mas o DPO não deve ser o único responsável pela Governança de IA. Tecnologia, negócio, CyberSec e jurídico continuam sendo corresponsáveis pelas decisões dentro de suas respectivas competências.

Um DPO-as-a-Service da Macher Tecnologia pode ampliar essa capacidade ao disponibilizar uma estrutura multidisciplinar envolvendo privacidade, tecnologia, segurança da informação, jurídico, riscos e gestão.

Governança de IA deve fazer parte da adequação à LGPD?

Sem dúvida.

Isso não significa que a LGPD determine expressamente que toda empresa constitua um Comitê de IA. Significa que um projeto moderno de adequação não deveria ignorar como colaboradores, fornecedores e sistemas utilizam Inteligência Artificial, bem como Agentes Autônomos internos são construídos.

A própria Agenda Regulatória 2025–2026 da ANPD inclui Inteligência Artificial e prevê discussões envolvendo decisões automatizadas, direitos dos titulares, princípios da LGPD e hipóteses legais.

Por isso, na prática, inventariar e avaliar o uso de IA deve fazer parte de qualquer projeto atual de adequação à LGPD e ser integrado ao ROPA.

Como a Macher Tecnologia pode ajudar?

A Macher Tecnologia apoia empresas na adequação à LGPD, estruturação de programas de privacidade, DPO-as-a-Service e desenvolvimento de modelos de Governança de IA.

Nossa abordagem integra negócio, jurídico, tecnologia, cybersecurity e privacidade para desenvolver políticas de IA, inventariar ferramentas e casos de uso, avaliar riscos, estruturar comitês e responsabilidades e promover treinamento e conscientização.

Essa integração entre LGPD e Inteligência Artificial também foi tema da participação da Macher Tecnologia na CPDP LatAm 2026, em painel sobre Governança de IA e resposta a incidentes.

Governança não precisa impedir a adoção de IA. Ela precisa permitir que a empresa inove sabendo quais riscos está assumindo, e como pretende administrá-los.

Se sua organização precisa de apoio com a LGPD, IA e cibersegurança, entre em contato com nosso time de consultores!

Sobre a Macher Tecnologia

A Macher Tecnologia é uma empresa especializada em soluções Digital, focada em privacidade e proteção de dados. No mercado desde 2018, suporta clientes de diferentes indústrias em suas jornadas de conformidade, de forma multidisciplinar e hands-on.

Com uma abordagem inovadora, a Macher Tecnologia auxilia empresas na implementação de estratégias eficazes de conformidade com LGPD e GDPR, fornecendo consultoria, treinamento e ferramentas tecnológicas para gestão de riscos e proteção de dados corporativos.

Entre em contato e saiba como podemos ajudar sua organização hoje mesmo!