A discussão sobre Governança de Inteligência Artificial está mudando. Durante algum tempo, empresas concentraram seus esforços em decidir quais ferramentas poderiam ser utilizadas, criar políticas internas ou acompanhar novas regulamentações. Hoje, uma pergunta muito mais prática precisa entrar na agenda: se amanhã ocorrer um incidente envolvendo IA, sua empresa saberá como responder?

A pergunta é relevante porque a Inteligência Artificial já está integrada a atividades de marketing, desenvolvimento de software, Recursos Humanos, financeiro e tantas outras áreas. Muitas vezes, inclusive, sem conhecimento formal das áreas de Tecnologia, Segurança ou Privacidade.

Governança de IA, portanto, precisa sair do documento e chegar à operação.

O que pode ser considerado um incidente envolvendo IA?

Um incidente de IA não precisa significar apenas um vazamento de dados pessoais.

Imagine um colaborador enviando um contrato confidencial a uma ferramenta de IA pública. Um desenvolvedor implementando um código gerado por IA, que contém um código com licenças Open Source diferente das esperadas. Uma aplicação criada com IA apresentando uma falha de autorização que permite acesso indevido aos dados de outros usuários. Ou um conteúdo gerado automaticamente sendo utilizado em uma decisão importante sem validação humana.

Os impactos podem envolver LGPD, propriedade intelectual, contratos, reputação e continuidade do negócio.

Isso significa que os tradicionais planos de resposta a incidentes precisam começar a considerar explicitamente cenários envolvendo Inteligência Artificial.

Shadow AI aumenta a superfície de risco

Antes de responder a um incidente, a empresa precisa saber quais ferramentas estão sendo utilizadas.

O chamado Shadow AI acontece quando colaboradores adotam ferramentas de Inteligência Artificial sem avaliação ou conhecimento formal da organização. Nem sempre existe má intenção: muitas vezes, o profissional está simplesmente tentando executar sua atividade com maior produtividade.

O problema começa quando ninguém sabe quais dados estão sendo enviados, como são processados, se podem ser utilizados para treinamento dos modelos ou quais condições contratuais foram aceitas.

Essa visão está alinhada ao AI Risk Management Framework do NIST, desenvolvido para ajudar organizações a incorporar gestão de riscos e critérios de confiabilidade ao desenvolvimento, uso e avaliação de sistemas de IA. O framework organiza a abordagem nas funções Govern, Map, Measure e Manage, reforçando que governança deve acompanhar todo o ciclo de utilização da tecnologia.

Por isso, uma iniciativa de Governança de IA deveria incluir inventário de soluções, identificação dos casos de uso e avaliação proporcional dos riscos.

Governança não significa necessariamente bloquear. Significa saber o que está acontecendo para poder tomar decisões conscientes.

Pessoas precisam saber como agir

Nenhum programa de Governança de IA será efetivo se os colaboradores não compreenderem seu papel.

Políticas são importantes, mas precisam ser acompanhadas de treinamento. Uma pessoa deve conseguir identificar que uma planilha com dados de clientes não deve ser simplesmente enviada para qualquer ferramenta. Desenvolvedores precisam compreender os riscos de compartilhar código proprietário ou aceitar código gerado sem revisão. Times comerciais precisam reconhecer que propostas, estratégias e informações de clientes também podem ser confidenciais.

Por isso, conscientização sobre IA deve começar a fazer parte dos programas de privacidade e segurança das empresas.

Treinamentos devem utilizar exemplos reais da rotina dos diferentes departamentos. Quanto mais próximo do contexto do colaborador, maior a probabilidade de a política se transformar em comportamento.

Desenvolvimento de software merece atenção especial

Ferramentas de IA estão acelerando significativamente o desenvolvimento de aplicações. O problema aparece quando velocidade substitui controles.

No chamado Vibe Coding, aplicações podem ser criadas com grande quantidade de código gerado por IA. Isso não elimina a necessidade de arquitetura adequada, revisão humana, testes de segurança, gerenciamento de dependências, configuração correta de controles de acesso e proteção de credenciais.

Falhas de RLS, tokens expostos no frontend, APIs excessivamente permissivas e bibliotecas vulneráveis continuam sendo riscos reais. A Macher Tecnologia aborda esse tema em seu conteúdo sobre LGPD, cibersegurança e Vibe Coding.

IA pode acelerar o desenvolvimento. Ela não transfere a responsabilidade pelo software para o modelo.

Resposta a incidentes começa antes do incidente

Uma organização madura deveria conseguir responder rapidamente a perguntas como: qual IA estava envolvida? Quem a utilizava? Que informação foi compartilhada? Existem dados pessoais envolvidos? Há propriedade intelectual ou segredo comercial? O fornecedor mantém registros? O acesso pode ser bloqueado? Existe obrigação de notificação? Quem toma a decisão?

O AI RMF Playbook do NIST complementa o framework com ações relacionadas às funções Govern, Map, Measure e Manage, reforçando a ideia de que gestão de risco de IA deve ser contínua e adaptada ao contexto de cada organização.

Se as respostas às perguntas acima dependem de descobrir tudo somente depois que algo aconteceu, existe uma lacuna de governança.

Governança de IA precisa ser multidisciplinar

IA normalmente nasce de uma necessidade de negócio. Por isso, sua governança não deveria pertencer exclusivamente ao Negócio, Jurídico, Tecnologia ou DPO.

Negócio entende o objetivo. Tecnologia compreende arquitetura e integrações. Segurança avalia ameaças e controles. Jurídico analisa contratos e responsabilidades. O DPO ajuda a avaliar tratamentos de dados, direitos dos titulares e riscos relacionados à LGPD.

Essa combinação permite que a empresa inove sem transformar velocidade em exposição desnecessária.

A própria participação da Macher no painel sobre Governança de IA e Respostas a Incidentes durante a CPDP LatAm 2026 é detalhada neste conteúdo sobre a CPDP LatAm 2026.

E Startups, Pequenas e Médias Empresas também podem se beneficiar de Governança de IA, ao integrá-la aos controles da LGPD, por exemplo. Evitando a duplicação de atividades, “burocracia” e melhorando a coordenação entre as partes envolvidas.

Como a Macher Tecnologia pode ajudar

Desde 2018, a Macher Tecnologia trabalha de forma multidisciplinar envolvendo privacidade, tecnologia, cibersegurança e negócio.

Em projetos de adequação à LGPD, podemos incorporar Governança de IA ao levantamento de processos, riscos, fornecedores e controles. Por meio do DPO-as-a-Service, apoiamos a evolução contínua da governança e a interação entre diferentes áreas.

Também podemos apoiar empresas na criação de políticas de uso consciente de IA, inventários de ferramentas, treinamentos, preparação para incidentes e capacitação de times de desenvolvimento em software seguro.

A pergunta já não é apenas se sua organização utiliza IA.

É se ela sabe como utilizá-la. E como reagir quando alguma coisa der errado.

Se sua organização precisa de apoio com a LGPD, IA e cibersegurança, entre em contato com nosso time de consultores!