Conselho de Administração

GOVERNANÇA DE IA PARA CONSELHEIROS por André Cilurzo e Jefferson Kiyohara

A adoção de inteligência artificial (IA) acelera em ritmo exponencial, trazendo oportunidades estratégicas - maior eficiência, melhores decisões tomadas e novos produtos -, mas também ameaças que podem comprometer reputação, eficácia, cognição, conformidade e continuidade do negócio. Para os membros de Conselho de Administração e de Comitês de Assessoramento, a Governança de IA deixa de ser detalhe técnico e se torna tema central na agenda estratégica.

O conselheiro médio está atualizado sobre o tema, lê e ouve a respeito, e como usuário da solução, utiliza para elaborar e resumir documentos, organizar agendas e atas, apoiar no avanço de suas atividades mensais. Contudo, poucos possuem o conhecimento na profundidade para apontar caminhos para o futuro da organização, repensar estratégias e fornecer as diretrizes, e ser um norteador para os times de negócio e tecnologia. Conhecem do negócio, das operações, de finanças e de riscos, mas não de IA. De forma estratégica, não como usuário. Há a necessidade de unir a experiência e vivência dos atuais conselheiros com a visão deste novo mundo corporativo que está sendo desenhado e construído de forma rápida e disruptiva com a IA.

A ampla disseminação do acesso à internet e aumento da capacidade de tráfego de dados, permitiu o surgimento de diversos novos negócios e empresas de referência. Amazon versus Wal Mart (sem contar o fechamento de Toy R Us e Baby R Us), Airbnb versus Hilton, Nubank versus Itaú para citar alguns exemplos no Brasil e no mundo. E certamente o advento da IA trará desafios, oportunidades e ameaças similares. Novas grandes empresas vão surgir, e empresas históricas irão encolher ou falir. Ter o conhecimento para criar, repensar, descontruir e renunciar a negócios a partir da IA será essencial. Assim como ter um protagonismo estratégico.

E para isto, um ponto fundamental é trabalhar o tema governança de IA nos colegiados, como Conselho de Administração, Comitês e Diretoria Executiva, e reverberar em toda a organização. É preciso definir quais os papéis e responsabilidades de cada um em governança de IA, quem serão os patrocinadores da iniciativa, quais serão as conexões com a estratégia, quais serão as metas, como as ações serão monitoradas, entre outros. É fundamental ter pauta no Conselho de Administração para falar a respeito, bem como atribuir aos comitês, a responsabilidade de cuidar do tema: por exemplo, o Comitê de Inovação poderia focar em oportunidades e o Comitê de Auditoria e Riscos em ameaças. E estes comitês devem mesclar experiência e conhecimento do negócio, com visão de futuro e conhecimento estratégico de IA.

Para isto, é fundamental não só o letramento inicial em IA e governança de IA para todos os membros, mas também a capacitação aprofundada, ao menos de parte dos membros. Não como mero usuário, mas como líder estratégico. Outro caminho possível é a participação de membros externos, especializados no tema (no aspecto estratégico), para trazer os contrapontos, provocações e insights necessários. Uma janela de oportunidade foi aberta, que não pode ser desperdiçada.

Pelo lado de ameaças, novos riscos surgiram no horizonte. Uma pesquisa global recente da Protiviti1, que contou com cerca de 900 respondentes (90% de Alta Liderança) mostra gaps críticos entre a percepção da Alta Liderança e a das equipes de TI sobre o aumento do risco cibernético impulsionado pela IA destacando a urgência de maior visibilidade e governança. Por exemplo, 45% dos líderes de TI acreditam que a IA aumentou significativamente o risco cibernético, contra 30% do C‑suite e dos conselheiros — um sinal de que decisões estratégicas podem estar sendo tomadas com visão parcial do risco. Essa desconexão cria lacunas que retardam as ações necessárias.

Outro problema é o uso não autorizado ou não gerido de ferramentas de IA por funcionários (shadow AI). Prática comum em organizações de todos os tamanhos, e que deteriora controles, políticas de privacidade e conformidade. Sem inventário e monitoramento, membros de conselho e comitês não conseguem avaliar corretamente o risco agregado. A pesquisa mostrou que 68% das empresas médias e 47% das grandes organizações não têm completa visibilidade sobre o uso de ferramentas de IA por seus colaboradores, o que amplia o fenômeno do “shadow AI”. Sem contar que os controles atuais não são suficientes para gerenciar riscos relacionados ao uso de IA, visto que um terço dos respondentes relatou não confiar plenamente que seus controles de segurança acompanham a evolução das ameaças potenciais associadas à IA.

Por outro lado, além das ações já citadas, existem pilares da governança de IA que podem ser implementados nas empresas e ajudam a endereçar uma abordagem mais assertiva aos membros de conselho e comitês:

• Visibilidade e inventário - exigir que a gestão mantenha um inventário atualizado de ferramentas de IA (internas e de terceiros), incluindo modelos, provedores de modelos, dados de treinamento e pontos de integração. A falta de visibilidade é a raiz de muitos riscos.

• Estrutura clara de responsabilidade e papéis - determinar quem responde por quais decisões: conselho (governança e apetite ao risco), comitê de risco/tecnologia (supervisão operacional), CISO e DPO (segurança e privacidade), e áreas de negócio (uso e aderência às políticas). Formalizar um modelo de “leadership & accountability” para IA.

• Políticas, padrões e controles mínimos - aprovar políticas que definam usos permitidos, requisitos de transparência, controle de dados sensíveis, validação de modelos, regras de explicabilidade e testes de vieses. Incluir regras sobre uso de ferramentas generativas, compartilhamento de prompts e proibição de envio de dados sensíveis a serviços públicos.

• Gestão de terceiros e contratos - exigir due diligence em fornecedores com IA embutida, cláusulas contratuais sobre segurança, auditoria, explicabilidade e responsabilidade por desempenho e violações. Requerer certificações ou evidências de práticas seguras quando apropriado.

• Avaliação contínua de risco e validação técnica - Monitoramento de performance dos modelos em produção, testes de robustez (adversarial testing), validação de vieses e revisão periódica do impacto em negócios e conformidade. Relatórios regulares ao conselho com métricas essenciais. 

• Segurança, privacidade e conformidade - integrar IA ao framework de cibersegurança: detectar automações maliciosas (deepfakes, spear‑phishing automatizado), controlar exfiltração via prompts e proteger chaves/infraestrutura de ML. Garantir que a LGPD (ou regimes aplicáveis) seja observada em treinamento e uso de dados.

• Capacidade de resposta e resiliência - planos de resposta a incidentes que incluam cenários de falha de modelos, manipulação de outputs e interrupção de serviços baseados em IA. Testes de continuidade e playbooks operacionais devem contemplar riscos específicos de IA.

O papel ativo do conselho na governança de IA requer entender que IA não é apenas um tema de tecnologia; é um imperativo de gestão de negócios e de riscos corporativos. As organizações com frameworks formais têm melhor visibilidade e maior confiança em seus controles. Conselhos que assumem papel ativo na supervisão da IA reduzem lacunas e colocam a organização em vantagem competitiva. Exigir transparência, métricas e ação coordenada transforma a IA de risco oculto em alavanca de crescimento seguro.


André Cilurzo
é Diretor Executivo de Digital Risk Consulting da Protiviti Brasil. Formado em Administração de empresas pela FGV, Pós Graduado em Business Economics pela FGV. Professor da LEC.
andre.cilurzo@protiviti.com.br

Jefferson Kiyohara
é Diretor de Forensics & Integrity| BDMI & Governance da Protiviti Brasil. Formado em Administração de empresas pela FEA/USP, MBAs Executivos pela FGV e ESPM. Formação Board Starter pela Board Academy e membro externo de comitês de integridade. Professor da FIA.
Jefferson.kiyohara@protiviti.com.br