A operação da governança de IA: comitê, incidentes e revisão humana

Governança de IA costuma ser tratada como projeto: define-se a política, aplica-se o controle, entrega-se o relatório. Mas o que separa empresas que sustentam a governança das que a perdem em seis meses não é a qualidade do projeto inicial — é a operação que vem depois.

Este artigo trata dessa parte: quem decide, o que acontece quando algo sai errado e onde o julgamento humano é obrigatório.

Quem decide: o comitê que funciona

A maior parte dos comitês de IA morre por um de dois motivos: reúne gente demais para decidir qualquer coisa, ou reúne só a área técnica e não tem mandato para dizer não.

O que costuma funcionar é um grupo pequeno com três perfis representados: negócio (que responde pelo resultado do caso de uso), tecnologia (que responde pela viabilidade e pela segurança) e risco ou jurídico (que responde pelo enquadramento legal). Em empresas com Encarregado de dados nomeado, ele participa ou é consultado nos casos que envolvem dado pessoal.

As decisões que precisam de foro definido são poucas e recorrentes:

• Aprovar novo caso de uso, com a classificação de risco correspondente.
• Conceder exceção à política, com prazo e responsável — exceção sem validade vira regra silenciosa.
• Aceitar ou recusar fornecedor de IA depois da avaliação.
• Revisar incidentes e decidir o que muda na política por causa deles.

Reunião mensal com pauta fechada costuma bastar. Comitê que se reúne para "acompanhar o tema" sem decidir nada é a forma mais comum de teatro de governança.

Incidente de IA: o que conta e o que fazer

A maioria das empresas tem plano de resposta a incidente de segurança e nenhum plano para incidente de IA. São coisas parcialmente diferentes.

Vale tratar como incidente pelo menos quatro situações:

• Vazamento por prompt: informação confidencial ou dado pessoal enviado a um modelo fora da política.
• Saída incorreta com consequência: resposta errada que virou decisão, documento enviado a cliente ou ação executada.
• Uso indevido: tentativa deliberada de contornar guardrail ou acessar o que a política restringe.
• Falha do fornecedor: indisponibilidade, mudança de termos ou incidente de segurança do provedor de IA.

O fluxo é o mesmo de qualquer incidente — detectar, conter, avaliar impacto, comunicar quem precisa saber, corrigir e registrar —, com duas particularidades. A primeira: conter pode significar desligar um caso de uso, e isso precisa estar previsto para não virar discussão no meio da crise. A segunda: quando há dado pessoal envolvido, entram as obrigações da LGPD, incluindo a avaliação sobre comunicar titulares e a ANPD.

A pergunta que revela maturidade aqui é direta: quanto tempo entre o evento e alguém saber? Se a resposta depende de alguém reportar voluntariamente, não há detecção — há sorte.

Revisão humana: onde ela é obrigatória

"Humano no circuito" virou frase de efeito. Na prática, é uma decisão de desenho que precisa responder onde, por quem e com que critério.

Três situações pedem revisão humana obrigatória:

• Decisão que afeta pessoa. Crédito, seleção, priorização de atendimento, precificação individual. Além do risco reputacional, a LGPD assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado.
• Conteúdo que sai da empresa. Proposta, parecer, comunicação a cliente e material regulatório. O custo de um erro publicado é sempre maior que o custo da revisão.
• Ação irreversível. Qualquer coisa que a IA execute e que não possa ser desfeita — transação, exclusão, envio.

Um alerta prático: revisão humana só vale se o revisor tiver tempo, contexto e autoridade para discordar. Aprovação em massa, sem leitura, é pior que nenhuma revisão — cria a aparência de controle e transfere a responsabilidade para quem clicou.

O que medir todo mês

Governança sem indicador vira opinião. Quatro números costumam bastar para a conversa mensal:

• Uso por área — quem adotou de fato, e não apenas quem recebeu acesso.
• Bloqueios — quantos, de que tipo, e o que eles revelam sobre a política.
• Exceções vigentes — quantas, para quem, e quantas venceram sem revisão.
• Incidentes e tempo de detecção — a única métrica que mede se o controle funciona.

Bloqueio crescendo não é necessariamente problema: pode significar que o controle está funcionando ou que a política ficou restritiva demais para o trabalho real. Os dois casos pedem conversa, não punição.

Da operação ao mecanismo

Nada disso funciona se depender de disciplina manual. Comitê precisa de dado para decidir, incidente precisa de detecção automática, revisão humana precisa estar embutida no fluxo e as métricas precisam sair do sistema, não de planilha.

É o que o NOBUG STUDIO sustenta — alertas em tempo real, trilha de auditoria e painel central — e o que a implantação de IA organiza junto com a política e o plano de adoção.