Governança de IA vira infraestrutura crítica sob pressão de reguladores

A inteligência artificial saltou da décima para a segunda posição no ranking global de riscos empresariais do Allianz Risk Barometer 2026 — e, no recorte brasileiro, assumiu o primeiro lugar, com 32% das indicações, à frente dos incidentes cibernéticos (31%). O levantamento ouviu mais de 4 mil executivos em 120 países.

É a primeira vez que a IA lidera a lista no país, segundo a FEBRABAN Tech. O dado marca a virada que o mercado vinha adiando: tratar a tecnologia não como experimento isolado, mas como infraestrutura que precisa de governança de IA formal, com dono, controle e prestação de contas.

O que puxa o risco não é o modelo em si, e sim a falta de validação: falhas de implementação, exposição a responsabilização e desinformação gerada por sistemas automatizados lideram as preocupações apontadas à seguradora.

Shadow AI cresce sem passar pelo jurídico

Antes de virar linha de política interna, a IA já entrou nas empresas pela porta dos fundos. Chama-se shadow AI o uso de ferramentas de inteligência artificial sem aprovação, monitoramento ou envolvimento das áreas de tecnologia, segurança e jurídico — o colaborador cola dados da empresa num chatbot público para adiantar uma tarefa, e ninguém registra.

Entre 40% e 65% dos colaboradores de grandes empresas admitem usar ferramentas de IA não homologadas, e cerca de 38% reconhecem já ter inserido informações confidenciais de trabalho nesses sistemas, segundo levantamentos reunidos pela imprensa especializada.

A projeção da Gartner é que, até 2027, mais de 40% dos vazamentos de dados ligados à IA venham do uso indevido de IA generativa em operações que cruzam fronteiras. A ausência de regra clara não freia a adoção — apenas empurra o uso para fora do controle, onde o dado sensível vaza sem rastro.

Sandbox e matriz de risco no lugar do veto

A resposta que ganha corpo entre as empresas não é proibir nem liberar tudo, e sim criar um caminho controlado. Ambientes de teste isolados — os sandboxes — permitem experimentar modelos sem expor dado corporativo sensível às APIs públicas que reaproveitam o conteúdo para treino.

No mesmo movimento, o uso passa a ser classificado por uma matriz de risco: ferramenta de apoio administrativo segue por aprovação simplificada, enquanto solução que decide triagem de currículo ou concessão de crédito exige avaliação prévia, do tipo relatório de impacto à proteção de dados (RIPD).

A supervisão humana em pontos decisivos do fluxo — o human-in-the-loop — deixa de ser detalhe técnico e vira exigência de governança de IA, com comitês que reúnem tecnologia, compliance e jurídico para responder por aquilo que o algoritmo entrega. É a diferença entre escalar com salvaguarda e acumular passivo invisível no balanço.

ANPD mira o art. 20 e a revisão humana

A Agência Nacional de Proteção de Dados concluiu a tomada de subsídios sobre uso de inteligência artificial e tratamento de dados pessoais com 124 contribuições de empresas, entidades públicas, terceiro setor e cidadãos. O material alimenta a regulamentação do Item 7 da Agenda Regulatória 2025-2026.

O foco é o art. 20 da LGPD, que garante ao titular o direito de pedir revisão de decisões tomadas unicamente por tratamento automatizado — de perfil de crédito a triagem em processo seletivo. Transparência, explicabilidade e canais acessíveis de contestação apareceram como consenso; revisão humana em casos de alto risco, como crédito e emprego, também.

Para a Agência, cumprir essas diretrizes funciona como escudo probatório: demonstra que a empresa adotou cautelas proporcionais antes do incidente, não depois. É aí que a governança de IA sai do discurso e vira prova documental.

Foram recebidas 124 contribuições com pontos de alta complexidade e relevância— Arthur Sabbat, conselheiro da ANPD, à Convergência Digital · convergenciadigital.com.br

Prazo europeu já corre e alcança o Brasil

No dia 2 de agosto, entrou em vigor a maior parte do AI Act, a lei de inteligência artificial da União Europeia. Passaram a valer as obrigações de transparência do Artigo 50 — chatbot precisa avisar que é uma IA, e texto, imagem, áudio ou vídeo sintéticos devem ser marcados em formato legível por máquina — e a Comissão Europeia iniciou a fiscalização dos modelos de propósito geral (GPAI).

O descumprimento pode custar até 3% do faturamento global anual ou 15 milhões de euros, o que for maior. A norma alcança quem está fora do bloco: empresa brasileira que ofereça sistema de IA a usuários europeus responde pelas mesmas regras.

No Brasil, o PL 2338/2023, aprovado pelo Senado em dezembro de 2024 e em tramitação na Câmara, segue o mesmo desenho baseado em risco, cria o Sistema Nacional de Regulação e Governança de IA (SIA) e prevê sanção de até R$ 50 milhões por infração. A votação final foi adiada mais de uma vez em meio a impasses sobre direitos autorais e exceções para sistemas de alto risco.

Onde inovar e proteger ainda se chocam

O consenso da tomada de subsídios não apagou as divergências. A base legal para treinar modelos com dados pessoais dividiu os participantes: parte defende que o consentimento é inviável em larga escala e pede o legítimo interesse; outra alerta que o legítimo interesse pode servir de justificativa para raspagem de dados (scraping) e para o tratamento de dados pessoais sensíveis.

A análise setorial mostrou o tamanho da disputa — o setor privado, 56% das contribuições, pediu mais flexibilidade para não inibir a inovação, enquanto o terceiro setor, 22%, priorizou a prevenção da discriminação algorítmica. A exclusão de dados de modelos já treinados e a obrigatoriedade de revisão humana ficaram sem acordo.

O mesmo tensionamento trava o PL 2338 na Câmara, onde o equilíbrio entre proteção de direitos e estímulo à inovação segue sem redação final. Enquanto o texto não fecha, quem acaba definindo o limite é o incidente — e o regulador que chega depois dele.