Governança de IA: o risco agora é de quem assina embaixo
ONU alerta para perda de controle sobre agentes autônomos, enquanto CNJ, CARF, ANPD e boards brasileiros seguem sem rastro de decisão.
O Painel Científico Internacional Independente sobre Inteligência Artificial da ONU publicou nesta quarta-feira (1º de julho) seu primeiro relatório preliminar, assinado por 40 cientistas de todas as regiões do mundo. A conclusão central: não existem hoje métodos confiáveis para manter controle sobre sistemas de IA altamente autônomos, e há casos documentados de agentes que já violam instruções de segurança para evitar o próprio desligamento.
O relatório chega dias antes do primeiro Diálogo Global da ONU sobre Governança de IA, marcado para Genebra em 6 e 7 de julho, e reforça o ponto que atravessa este texto: a autonomia do sistema não elimina a responsabilidade de quem o aprovou. Na apresentação do documento, o secretário-geral António Guterres resumiu que, quanto mais a tecnologia avança sem regra compartilhada, menos controle governos e organizações mantêm sobre o resultado.
Para quem responde por risco corporativo, o alerta científico tem endereço prático. Se a própria ciência reconhece que não sabe garantir contenção de um agente que age sozinho, a supervisão humana, os pontos de parada e o log auditável deixam de ser boa prática de governança de IA e viram condição mínima antes de qualquer sistema autônomo entrar em produção.
Caso Grok muda o alvo: da conduta para a arquitetura
Antes de qualquer marco legal específico, o Brasil já tem um precedente concreto de como a fiscalização vai tratar falha de governança em IA. Em 20 de janeiro de 2026, a ANPD publicou a Nota Técnica nº 1/2026/FIS/CGF, apontando possíveis violações à LGPD no sistema Grok, da X, pela geração de conteúdo sexualizado a partir de fotos reais de pessoas identificáveis, incluindo crianças e adolescentes.
O documento fixou um entendimento que vale para qualquer empresa que opere IA generativa: conteúdo sintético associado a uma pessoa real é tratamento de dado pessoal, e quando envolve elemento biométrico, é dado sensível, exigindo base legal robusta e relatório de impacto específico. A autoridade constatou que a política interna da plataforma proibia o uso, mas a arquitetura técnica permitia o resultado mesmo assim.
Em 11 de fevereiro, ANPD, Ministério Público Federal e Senacon consideraram insuficientes as medidas apresentadas pela X e determinaram, em conjunto, a implementação imediata de correções técnicas, sob risco de multa diária e processo administrativo sancionador. O caso muda o alvo do escrutínio regulatório: deixa de perguntar apenas se o usuário usou mal a ferramenta e passa a perguntar se quem desenhou o sistema previu o uso indevido como resultado provável.
CNJ e CARF documentam o modelo mínimo de controle
Dois órgãos públicos brasileiros já rodaram, na prática, o desenho de governança que qualquer área jurídica ou fiscal de empresa vai precisar replicar. O CNJ publicou em 11 de março de 2025 a Resolução nº 615/2025, que autoriza o uso de IA generativa por magistrados e servidores, mas condiciona esse uso à classificação de risco da aplicação, à supervisão humana obrigatória e à rastreabilidade das decisões apoiadas por algoritmo.
Em 27 de março de 2026, o CARF seguiu roteiro parecido pela Portaria CARF/MF nº 142, que lançou a ferramenta Iara, desenvolvida pelo Serpro para recuperar precedentes tributários e sugerir fundamentação de voto. O uso começou restrito a um grupo-piloto de 24 conselheiros, com revisão humana obrigatória e responsabilidade do voto mantida com quem assina, não com a ferramenta.
A ANPD caminha na mesma direção pelo lado da proteção de dados: concluiu em fevereiro a fase de nivelamento do próprio sandbox regulatório de IA, que segue em testes práticos com seis empresas habilitadas até dezembro de 2026, sob supervisão direta da autoridade. O padrão que se repete nos três casos, piloto controlado, revisão humana e rastro auditável, é o que falta na maior parte das políticas de IA corporativas hoje.
Board aprova IA, mas raramente governa o próprio uso
Os números que chegam à mesa do conselho mostram o tamanho do descompasso. Um estudo da Society for Corporate Governance com a Board Intelligence, de maio de 2026, constatou que apenas 24% das organizações têm alguma política para uso de IA na sala do conselho, e só 9% têm uma política abrangente.
O mesmo desalinhamento aparece na pesquisa de 2026 da TrustedTech com a Censuswide, com 2.001 respondentes nos Estados Unidos e no Reino Unido: 72,8% dos executivos de C-level usam IA não autorizada no trabalho, e 77% de quem usa esse tipo de ferramenta reconhece que ela representa risco de segurança ou privacidade, mesmo assim.
O relatório What Directors Think 2026, do Diligent Institute, ouviu mais de 200 conselheiros americanos e chegou a um número parecido: 66% já usam IA no trabalho do conselho, mas apenas 22% têm qualquer processo de governança para esse uso. O volume de incidentes documentados cresce junto: o AI Index 2026 da Stanford HAI, analisado pela IAPP, registrou 362 relatos de incidente de IA em 2025, ante 233 em 2024, enquanto os cargos dedicados a governança de IA cresceram 17% no último ano. A conclusão para o comitê de auditoria é direta: o risco já está na pauta pelos números, falta que a política formal acompanhe.
Adiamento do AI Act não suspende a exigência de rastro
O calendário internacional também está em movimento, e o sinal mais relevante veio da Europa. Em 7 de maio de 2026, Conselho, Parlamento e Comissão fecharam o acordo do Digital Omnibus, que adia as obrigações de alto risco do AI Act: sistemas isolados do Anexo III passam a ter prazo até 2 de dezembro de 2027, e sistemas embutidos em produto regulado, até 2 de agosto de 2028. A mesma revisão introduz, a partir de 2 de dezembro de 2026, a proibição a sistemas de IA que gerem imagem íntima não consentida ou material de abuso sexual infantil.
No Brasil, o PL 2338/2023 segue em análise na Comissão Especial da Câmara dos Deputados, aguardando parecer do relator, com expectativa de votação apenas no fim do ano. Enquanto isso, o governo federal enviou ao Congresso, em dezembro de 2025, o projeto que cria o Sistema Nacional de Governança da IA, com a ANPD indicada como autoridade reguladora residual nos setores sem norma específica.
O recado para quem monta a política de IA da empresa é que o adiamento do prazo europeu não é sinal para esperar. A régua que já está em vigor no Brasil, LGPD, Resolução CNJ 615 e Portaria CARF 142, cobra supervisão humana e rastro auditável agora, independentemente de quando a lei brasileira específica for sancionada.
Na data de 21 de julho de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
