Governança de IA e proteção de dados: framework prático para organizações

A adoção de inteligência artificial nas organizações cresceu muito mais rápido do que os frameworks de governança para gerenciá-la. O resultado é frequentemente o mesmo: sistemas de IA implementados sem avaliação adequada de riscos, sem documentação, sem processos de revisão e sem clareza sobre quem é responsável pelo quê.

Governança de IA não é apenas uma preocupação de compliance — é uma necessidade operacional. Modelos que degradam silenciosamente, sistemas que reproduzem vieses, decisões automatizadas sem rastreabilidade: esses problemas têm custo operacional, reputacional e jurídico real.

Este guia apresenta um framework prático para governança de IA com foco em proteção de dados — integrado às obrigações da LGPD e às melhores práticas internacionais.

Por que governança de IA é diferente de governança de TI

A governança de TI tradicional — com controles de acesso, gestão de ativos e gestão de mudanças — não é suficiente para sistemas de IA. As razões são estruturais:

1. Comportamento emergente: sistemas de IA não se comportam exatamente como programados — aprendem padrões dos dados. Seu comportamento em produção pode ser diferente do comportamento em desenvolvimento.

2. Drift de modelo: ao longo do tempo, a distribuição dos dados de entrada muda, e o modelo pode degradar silenciosamente. Um modelo de detecção de fraude excelente há dois anos pode ter desempenho significativamente inferior hoje sem que ninguém perceba.

3. Opacidade: em modelos complexos, pode ser difícil explicar por que um output específico foi gerado — o que cria desafios para auditoria, debugging e cumprimento do Art. 20 da LGPD.

4. Risco de viés: modelos reproduzem padrões dos dados de treinamento — incluindo padrões discriminatórios históricos — o que cria risco de violação do princípio da não discriminação (Art. 6º, IX, LGPD).

5. Responsabilidade distribuída: desenvolvedores, cientistas de dados, times de negócio, operação e compliance têm responsabilidades que precisam ser claramente delimitadas.

Os cinco pilares do framework de governança de IA

Pilar 1: Inventário e Classificação de Sistemas de IA

Você não pode governar o que não conhece. O ponto de partida é um inventário completo dos sistemas de IA em uso ou em desenvolvimento na organização.

Para cada sistema, documentar:

Nome e descrição funcional
Tipo de IA (ML supervisionado/não supervisionado, deep learning, LLM, híbrido)
Finalidade de negócio
Dados utilizados (categorias, volume, fontes)
Titulares afetados
Se toma ou apoia decisões automatizadas que afetam titulares (Art. 20)
Criticidade para o negócio
Provedor (interno ou terceiro)
Status (em desenvolvimento, em produção, em descontinuação)

Classificação por nível de risco

Nível	Características	Exemplos	Controles exigidos
Alto risco	Decisões automatizadas com impacto material sobre titulares; dados sensíveis; larga escala	Score de crédito, triagem de candidatos por IA, diagnóstico médico por IA	RIPD obrigatório; revisão humana; explicabilidade; monitoramento de viés
Médio risco	Apoio a decisões não totalmente automatizadas; dados não sensíveis; escala moderada	Recomendação de produtos, priorização de atendimento	RIPD recomendado; documentação técnica; monitoramento de desempenho
Baixo risco	Automação de tarefas internas; sem impacto direto sobre titulares	Classificação interna de e-mails, sugestão de respostas para agentes	Documentação básica; revisão periódica

Pilar 2: Políticas e Princípios de IA Responsável

A organização deve ter princípios de IA responsável formalizados em política, que orientem como sistemas de IA são desenvolvidos, avaliados e operados.

Princípios recomendados (alinhados com LGPD e melhores práticas internacionais):

Transparência: titulares devem ser informados quando IA é usada em decisões que os afetam, com direito a informações sobre a lógica envolvida.

Explicabilidade: sistemas de IA devem ser capazes de fornecer explicações sobre decisões específicas, especialmente para casos de alto impacto.

Equidade: sistemas de IA não devem perpetuar ou amplificar discriminações. Avaliação de viés é obrigatória antes da implantação, com monitoramento contínuo.

Responsabilidade (Accountability): sempre há um humano responsável pelo comportamento de um sistema de IA. A responsabilidade pelo algoritmo não pode ser delegada ao algoritmo.

Supervisão humana: decisões de alto impacto devem ter mecanismos de revisão humana disponíveis.

Minimização: sistemas de IA devem usar o mínimo de dados pessoais necessário para a finalidade.

Segurança: sistemas de IA devem ser desenvolvidos e operados com controles de segurança adequados ao nível de risco.

Pilar 3: Processo de Aprovação (AI Gate Review)

Todo sistema de IA, antes de ir para produção, deve passar por revisão e aprovação que verifique conformidade com as políticas da organização e com a LGPD.

Gate 1 — Pré-desenvolvimento (fase de projeto)

Definição clara da finalidade e base legal
Verificação de que dados disponíveis têm base legal para esse uso
Identificação inicial de riscos
Decisão: prosseguir / redesenhar / não fazer

Gate 2 — Pré-produção (antes de implantar)

RIPD elaborado e aprovado pelo DPO
Avaliação de viés realizada e documentada
Explicabilidade testada e documentada
Processo de revisão humana (se Art. 20 aplicável) definido e operacional
Aviso de privacidade atualizado
DPA com provedor formalizado (se aplicável)
Decisão: aprovar / condicionar / recusar

Gate 3 — Revisão periódica (em produção)

O modelo está performando como esperado? (métricas técnicas)
Viés aumentou desde a implantação?
Algum risco novo foi identificado?
O RIPD precisa ser atualizado?
Frequência: semestral para alto risco; anual para médio risco

Pilar 4: Papéis e Responsabilidades

A governança de IA requer que papéis específicos sejam claramente definidos:

Dono do modelo (Model Owner): geralmente um líder de negócio. Responsável pela finalidade, pelo desempenho de negócio e pelas decisões estratégicas sobre o sistema.

Desenvolvedor/Cientista de dados: responsável pela arquitetura técnica, treinamento, avaliação de desempenho técnico e documentação técnica.

DPO: responsável por revisar e aprovar o RIPD, verificar bases legais, garantir que direitos dos titulares são atendíveis e monitorar evolução regulatória sobre IA.

Segurança da Informação: responsável pelos controles técnicos de segurança do sistema e dos dados.

Equipe jurídica/compliance: responsável por avaliar riscos legais, incluindo conformidade com LGPD, Marco Legal de IA e regulação setorial.

Comitê de IA (em organizações maiores): instância multi-disciplinar que aprova sistemas de alto risco e define políticas.

Pilar 5: Monitoramento Contínuo

Sistemas de IA em produção precisam de monitoramento ativo:

Monitoramento técnico:

Métricas de desempenho comparadas com baseline estabelecido
Drift detection: a distribuição dos dados de entrada está mudando?
Latência e disponibilidade do sistema

Monitoramento de equidade:

Métricas de viés por grupos protegidos
Alertas quando métricas de equidade se degradam além de threshold definido

Monitoramento regulatório:

Volume e resultado das solicitações de revisão pelo Art. 20
Reclamações de titulares relacionadas a decisões do sistema
Mudanças regulatórias que impactam o sistema (ANPD, Marco Legal de IA)

Integração com o programa LGPD existente

Para organizações que já têm programa de conformidade LGPD estruturado, a governança de IA não deve ser um silo separado:

Inventário de atividades de tratamento (ROPA): sistemas de IA devem ser registrados como atividades de tratamento, com campos adicionais para informações específicas de IA.

Gestão de terceiros/fornecedores: provedores de modelos de IA de terceiro devem ser geridos como operadores, com DPAs, avaliações de due diligence e monitoramento.

Gestão de incidentes: incidentes envolvendo sistemas de IA (outputs incorretos com impacto a titulares, vazamento de dados de treinamento, descoberta de viés severo) devem entrar no fluxo de gestão de incidentes existente.

Aviso de privacidade: deve informar sobre o uso de sistemas de IA em decisões que afetam titulares, como exige a transparência do Art. 9º da LGPD.

Referências de frameworks internacionais

Organizações que buscam benchmarks externos podem se orientar por:

ISO/IEC 42001:2023 — Sistema de Gestão de Inteligência Artificial. Norma publicada em dezembro de 2023 que especifica requisitos e fornece orientações para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão de IA nas organizações.

NIST AI Risk Management Framework (AI RMF 1.0) — Publicado pelo National Institute of Standards and Technology dos EUA em janeiro de 2023. Organizado em quatro funções: Governar (Govern), Mapear (Map), Medir (Measure) e Gerenciar (Manage). Referência amplamente adotada internacionalmente.

EU AI Act — Regulamento europeu de inteligência artificial (Regulamento UE 2024/1689), aprovado pelo Parlamento Europeu em março de 2024, formalmente adotado pelo Conselho da UE em maio de 2024, publicado no Jornal Oficial da UE em julho de 2024 e em vigor desde 1º de agosto de 2024. Classifica sistemas de IA por nível de risco (inaceitável, alto, limitado, mínimo) e estabelece obrigações proporcionais. Útil como referência para organizações com operações na Europa ou que desenvolvem tecnologia para o mercado europeu.

Marco Legal de IA do Brasil (PL 2.338/2023): aprovado pelo Senado em dezembro de 2024 e em análise na Câmara dos Deputados no início de 2026. Adota abordagem de gestão de risco similar ao AI Act europeu. Quando aprovado, imporá obrigações específicas para sistemas de alto risco, incluindo documentação técnica, avaliação de impacto e supervisão humana.

Conclusão

Governança de IA não é opcional — é um imperativo regulatório e operacional. A LGPD já impõe obrigações sobre sistemas de IA; o Marco Legal de IA (PL 2.338/2023, aprovado pelo Senado e em análise na Câmara) adicionará mais quando aprovado. Mas além da conformidade, a governança de IA é simplesmente boa gestão: sistemas avaliados, monitorados e revisados performam melhor, causam menos dano e constroem mais confiança.

O framework apresentado aqui — inventário, políticas, aprovação, papéis e monitoramento — oferece uma estrutura para começar. O nível de maturidade adequado depende do volume e da criticidade dos sistemas de IA em uso. Mas nenhuma organização que usa IA para decisões que afetam pessoas pode se dar ao luxo de não ter governança alguma.

A Confidata oferece funcionalidades específicas para governança de IA: registro de sistemas de IA no inventário de atividades, RIPD com campos específicos para modelos de machine learning e integração com o sistema de gestão de terceiros para DPAs com provedores de IA.