Governança de IA deve começar antes da lei?

Rener Menezes e Evener Menezes discutem por que riscos, clientes, auditorias, seguradoras e investidores podem exigir governança de inteligência artificial antes da aprovação de uma lei brasileira específica.

Nota de revisão: resumo e pontos-chave são demonstrativos; o vídeo acima é o episódio publicado.

O risco não espera a lei

A questão central do episódio é se as empresas devem esperar a aprovação de uma lei brasileira específica para começar a governar o uso de inteligência artificial. Rener Menezes e Evener Menezes sustentam que essa espera confunde duas coisas diferentes: obrigação legal e risco de negócio. Uma regra pode ainda estar em discussão, mas dados podem ser expostos, modelos podem produzir respostas incorretas e aplicações podem tomar decisões inadequadas hoje.

Essa distinção importa porque conformidade é apenas uma parte da governança. A empresa também precisa proteger informações, preservar rastreabilidade e decidir quais usos aceita. Adiar essas decisões até que todos os detalhes regulatórios estejam definidos mantém a organização exposta e torna uma futura adequação mais difícil. A alternativa é construir desde já uma base revisável, sem cristalizar como regra definitiva um texto ainda em discussão.

O episódio menciona o projeto brasileiro de regulação da IA e o AI Act europeu para contextualizar a discussão. Textos, prazos e obrigações mudam durante a elaboração e a implementação de uma norma, por isso decisões jurídicas precisam considerar a versão oficial vigente. Já os riscos técnicos e comerciais decorrem dos usos atuais da tecnologia e exigem gestão independentemente do calendário parlamentar.

A cobrança pode chegar pelo mercado

Governo e reguladores não são os únicos agentes capazes de exigir controles. Na conversa, clientes, auditorias, seguradoras, fornecedores e investidores aparecem como fontes de cobrança. Em relações comerciais, questionários de diligência já podem pedir políticas, testes de segurança, evidências de controle de acesso e explicações sobre o tratamento de informações. A governança de IA tende a entrar nesse mesmo processo.

Uma empresa brasileira com clientes, investidores ou operações no exterior também pode enfrentar requisitos contratuais ou regulatórios de outras jurisdições. Para identificar quais regras incidem em cada caso, a organização precisa mapear onde atua, quais dados processa e quais compromissos assumiu. A relação internacional é um ponto de partida para essa análise, não um critério suficiente por si só.

O relato sobre o setor financeiro mostra essa dinâmica na prática. Ao contratar ou ser contratada, uma instituição pode precisar apresentar evidências sobre testes, políticas e procedimentos. Essas avaliações revelam lacunas, criam incentivos para corrigi-las e podem influenciar uma negociação antes de qualquer sanção estatal.

Governança adaptativa, não adivinhação regulatória

O contraponto relevante é que implementar controles detalhados cedo demais pode gerar retrabalho. Regras em elaboração mudam, assim como padrões técnicos e interpretações. Ao comparar esse desafio à implementação do Pix, o episódio destaca uma decisão comum aos dois contextos: avançar enquanto parte dos requisitos ainda amadurece e preservar capacidade de adaptação.

A saída proposta é uma governança adaptativa. Os fundamentos podem começar agora, enquanto detalhes são revistos periodicamente. Inventário, responsáveis, classificação de risco, política de uso, controle de acesso e registros de auditoria continuam úteis mesmo quando uma exigência específica muda. Já decisões estreitamente vinculadas a uma redação provisória devem ser tratadas com cautela.

Governança, nesse sentido, não é acumular aprovações. É estabelecer direitos de decisão e responsabilização: quem pode autorizar uma ferramenta, quem responde por determinado risco e quais evidências sustentam a escolha. Burocracia sem redução de risco apenas torna a operação mais lenta. Controles proporcionais ajudam a empresa a experimentar dentro de limites conhecidos.

O que fazer na segunda-feira

O primeiro passo prático é descobrir o que realmente existe. A empresa precisa inventariar ferramentas de IA, contas utilizadas, integrações, dados enviados, resultados produzidos e áreas responsáveis. Uma lista de soluções oficialmente contratadas é insuficiente, porque aplicações podem nascer nas áreas de negócio com contas pessoais, planilhas, arquivos locais ou código gerado por modelos.

Esse levantamento não é simples. A IA generativa distribuiu a capacidade de criar automações para além da tecnologia. Um profissional pode montar um painel ou relatório funcional sem compreender autenticação, autorização, logs ou exposição de dados. O resultado aparente pode ser rápido, enquanto o débito de segurança e de conhecimento permanece oculto.

Depois da descoberta, é preciso priorizar. Casos que envolvam dados pessoais ou confidenciais, decisões sobre pessoas, acesso a sistemas, produção automática de conteúdo externo ou execução de ações merecem análise mais rigorosa. Entre os riscos discutidos estão vazamento de informações, viés, respostas factualmente erradas — frequentemente chamadas de alucinações — e perda de rastreabilidade.

O terceiro movimento é criar regras compreensíveis e educar as equipes. Uma política deve explicar ferramentas autorizadas, dados que não podem ser enviados, exigências de autenticação, revisão humana e canal para avaliar novos casos. Proibir sem oferecer alternativas pode deslocar o uso para ambientes menos visíveis. Liberar sem critérios, por outro lado, transfere riscos para pessoas que talvez não tenham condições de avaliá-los.

Por fim, deve existir um responsável claro, apoiado por tecnologia, segurança, jurídico e áreas de negócio. Esse responsável não precisa decidir sozinho, mas deve coordenar escolhas como contratar uma solução corporativa, operar um modelo internamente ou interromper um uso inadequado. Conhecimento técnico e contexto de negócio precisam participar da mesma decisão.

Custos, benefícios e evidências

O episódio contesta a ideia de que governança seja apenas custo. Incidentes também consomem recursos e podem afetar receita, contratos e reputação. Ao mesmo tempo, governança não produz retorno automaticamente: controles excessivos podem desperdiçar dinheiro sem melhorar decisões. A comparação correta é entre medidas proporcionais, risco reduzido e valor preservado.

Na conversa, Rener e Evener associam uma governança mais madura à redução de custos provocados por incidentes de IA. O argumento sustenta a necessidade de comparar o custo dos controles com os riscos de cada uso: prevenir, detectar e responder a falhas pode ser economicamente preferível a agir apenas depois de um problema.

O mesmo ceticismo deve valer para fornecedores. Uma licença corporativa pode oferecer autenticação, administração e auditoria melhores do que uma conta pessoal, mas o rótulo “enterprise” não comprova adequação. Contrato, configuração, retenção de dados, integrações, permissões e práticas reais de uso precisam ser avaliados.

Uma base útil mesmo com incerteza

A síntese do episódio é que esperar a lei não é uma estratégia de gestão de risco. A empresa pode começar por descoberta, priorização, políticas, educação e responsabilidade clara, mantendo revisão contínua à medida que tecnologia e regulação evoluem. Essa abordagem melhora a capacidade de identificar incidentes, responder a mudanças regulatórias e decidir com evidências.

O objetivo também não é impedir o uso de IA. Há benefícios possíveis em automação e apoio ao trabalho, especialmente em tarefas repetitivas, mas eles dependem do contexto e dos controles. A pergunta útil para a liderança deixa de ser “a lei já obriga?” e passa a ser “sabemos onde a IA está sendo usada, quais riscos aceitamos e quem responde por essas decisões?”.