Tenho visto uma volume enorme sobre Governança de IA, o que é muito positivo, mas também levam a muitas outras reflexões. O cenário contemporâneo da IA nas organizações revela um descompasso crítico entre a execução operacional e a supervisão normativa. Volta e meia leio estatísticas como: 85% das organizações já integraram a IA em suas operações principais ou a implementaram em múltiplas funções, apenas 25% dos líderes reportam ter visibilidade abrangente sobre como os funcionários utilizam essas ferramentas.
Independente deste percentual estar tão assertivo, o que é perceptível é que este hiato de governança ocorre em um momento de inflexão regulatória sem precedentes, principalmente fora do Brasil (não posso deixar de lado a resolução do CFM publicada meses atrás) onde a entrada em vigor do EU AI Act e o avanço de legislações estaduais nos EUA, especificamente nos estados de Colorado, Califórnia e Nova York, transformaram o gerenciamento de riscos de IA em uma questão de consequências legais imediatas. Incidentes como vazamentos de dados e sanções regulatórias não são mais ameaças teóricas, mas realidades para empresas que ainda tentam formalizar seus controles. A IA deixou de ser uma simples opção estratégica para se consolidar como uma realidade arquitetônica permanente, exigindo que a liderança de GRC migre de uma postura de “esperar para ver” para uma governança operacional ativa e resiliente.
A lacuna
O conceito de Exposure Gap (Lacuna de Exposição) detalhado em alguns relatórios define a vulnerabilidade gerada pela incapacidade de monitorar os três canais de implantação tecnológica: o desenvolvimento por design, o uso via fornecedores de terceiros e a danada da Shadow AI. Este último canal representa o ponto de ruptura mais agudo da visibilidade corporativa, com relatos que em cerca de 35% das organizações descrevem o uso de ferramentas de IA não sancionadas como pervasivo ou disseminado em suas estruturas.
Não quero ser pessimista ou alarmista, mas tenho visto números maiores quando tratamos de PME aqui em terras tupiniquins. Aliás, este é um dos motivadores de minha pesquisa de doutorado.
Existe uma correlação direta entre essa falta de controle interno e a exposição a ameaças externas, uma vez que as mesmas lacunas de visibilidade que permitem o uso de ferramentas não autorizadas facilitam ataques de phishing (44%) e engenharia social via IA (42%). Sem uma infraestrutura capaz de mapear o que está operando dentro da arquitetura de TI, as organizações tornam-se incapazes de mitigar riscos externos que já estão sendo explorados ativamente por agentes maliciosos, resultando em uma superfície de ataque expandida e desprotegida.
O Fator Humano como a Superfície de Risco
Diferente das vulnerabilidades de software tradicionais, a camada mais crítica e menos governada na era da IA é a força de trabalho. Os dados revelam que o principal temor dos gestores é a entrada de dados sensíveis em sistemas de IA (34%), superando outras preocupações técnicas. Nos últimos 12 meses, os incidentes reportados confirmam que o comportamento humano é o motor da crise: 40% das empresas enfrentaram outputs imprecisos e 33% registraram violações de políticas internas. Estes eventos são exacerbados pela pressão por velocidade e pela falta de treinamento adequado, ambos citados por 21% dos líderes como drivers primários de comportamentos inseguros.
A falha é estrutural: a governança atual foi construída para auditar sistemas estáticos, mas está sendo aplicada contra comportamentos individuais dinâmicos sob pressão comercial.
O cenário é agravado pela severa escassez de talentos especializados em segurança de IA, um gargalo crítico apontado por 23% dos CISOs e 31% dos líderes de auditoria interna, o que impede a criação de defesas robustas na velocidade das implementações.
Responsabilidade compartilhada
A governança de IA padece de uma fragmentação de autoridade que resulta em uma perigosa difusão de responsabilidade. Atualmente, nenhuma função isolada detém mais de 25% da responsabilidade total, o que gera uma Paralisia Institucional em momentos de crise.
O exemplo mais alarmante desta falha é a ausência de um kill switch (comando de desligamento) centralizado.
A autoridade para interromper um sistema de IA em caso de mau funcionamento ou violação ética está pulverizada entre cinco funções diferentes: Liderança Executiva, Risco, TI, Compliance e Segurança. Este modelo de decisão distribuída atua como um gargalo para a resposta a incidentes, garantindo atrasos que aumentam exponencialmente a responsabilidade civil e os danos reputacionais. Essa desarticulação organizacional é refletida na tecnologia utilizada, onde uma gama de empresas operam com soluções pontuais desconectadas, transformando o GRC em um exercício burocrático de preenchimento de documentos sem qualquer conectividade técnica real com os sistemas que executam os modelos de IA.
Maturidade e a ascensão da IA Agêntica
Você já deve ter lido sobre a evolução seguindo passos como: Lagging, Starting, Scaling e Leading. Não é diferente para IA.
O maior obstáculo para a transição do nível inicial para o nível Scaling é a dependência crônica de processos manuais, o que explica por que cerca de 1/5 das organizações conseguem identificar riscos cross-funcionais em tempo real. Processos manuais são o inimigo natural da escala.
Enquanto as empresas lutam com planilhas e avaliações periódicas, a tecnologia avança para a IA agêntica, onde sistemas executam tarefas multietapas de forma autônoma. Os controles desenhados para a IA supervisionada tradicional são insuficientes para agentes que operam sem um humano no loop. Para atingir o nível de excelência, os líderes de GRC devem estabelecer Human Oversight Thresholds (limiares de supervisão humana), definindo preventivamente quais ações exigem validação humana antes da execução. A governança deve deixar de ser um framework de políticas estáticas para se tornar um Sistema de Ação integrado ao fluxo de trabalho tecnológico.
O mercado tem reconhecido a insuficiência dos métodos tradicionais, o que justifica o dado que regularmente que cerca de 70-80% dos tomadores de decisão planejam aumentar seus orçamentos de tecnologia GRC. O foco deste investimento não deve ser a compra de mais ferramentas isoladas, mas a construção de um ecossistema de risco unificado.
A governança precisa ser estrutural, automatizada e capaz de gerar evidências para satisfazer as exigências que estamos submetidos, chega de “teatro”.
Penso que para o estrategista de GRC, o caminho passa por algumas fases essenciais:
- estabilizar o talento especializado,
- reduzir o risco humano via controles integrados ao fluxo de trabalho,
- automatizar a conformidade,
- integrar a visão de risco cibernético e
- elevar o reporte ao nível do conselho administrativo.
A escolha que costumo apresentar aos líderes é:
"Construir a infraestrutura de controle agora, migrando para sistemas de ação operacionalizados, ou gerenciar as consequências jurídicas e financeiras inevitáveis de sua ausência no futuro breve."#GovernançaDeIA #ISO42001 #ISO27001 #SaúdeDigital #IAnaSaúde #GestãoDeRiscos #Compliance #CyberCompass #healthcare #AIGovernance #GenAI