Governança de IA no Conselho: Riscos e Responsabilidades

Em algum lugar da sua empresa, neste momento, alguém está usando inteligência artificial: no atendimento ao cliente, na triagem de currículos, na análise de crédito, ou simplesmente colando dados internos em uma ferramenta gratuita que ninguém autorizou. A pergunta que este artigo faz ao conselheiro não é se a empresa usa IA, é se o conselho sabe onde, com que salvaguardas e sob a responsabilidade de quem. Na maioria das companhias brasileiras, a resposta honesta é: não sabe.

Esse descompasso entre adoção e supervisão não é falha de tecnologia, é falha de governança, e governança é exatamente a atribuição do conselho. A boa notícia: o dever do conselheiro diante da IA não exige que ele vire cientista de dados. Exige o que a lei societária brasileira sempre exigiu: diligência, estrutura de supervisão, perguntas certas e deliberação documentada. Este artigo mapeia os riscos que o conselho precisa enxergar, o que a Lei 6.404/76 espera do administrador, o cenário regulatório real, sem futurologia, e as perguntas concretas que transformam o tema em pauta produtiva.

Por que IA Virou Pauta de Conselho, e Não de TI

Os números brasileiros mostram uma curva de adoção que acelera. Segundo a pesquisa TIC Empresas 2025, do Cetic.br, ligado ao Comitê Gestor da Internet no Brasil, a adoção de IA pelas empresas brasileiras subiu de 13% em 2024 para 17% em 2025. Entre as grandes empresas, com mais de 250 funcionários, o salto foi de 38% para 50%: metade das grandes companhias do país já declara usar inteligência artificial. E mesmo entre as pequenas, de 10 a 49 funcionários, a adoção passou de 10% para 15% no mesmo período. A tecnologia deixou de ser experimento de vanguarda e virou infraestrutura de operação.

A supervisão, porém, não acompanhou. A segunda edição do Global Boardroom Program da Deloitte, que ouviu 695 conselheiros e executivos em 56 países entre janeiro e fevereiro de 2025, encontrou 69% dos conselhos com IA na agenda, ante 55% na edição anterior. O avanço é real, mas o mesmo estudo revela a fragilidade por trás dele: 66% dos conselheiros admitem ter conhecimento limitado ou nulo sobre IA. O número melhorou, era 79%, mas continua significando que dois em cada três assentos de conselho discutem um tema que não dominam. Não por acaso, 40% dos conselhos pesquisados afirmaram estar repensando sua composição por causa da IA.

Por que isso é problema do conselho, e não da diretoria de tecnologia? Porque IA não é uma ferramenta de TI: é um risco estratégico transversal. Ela toca decisão de crédito, precificação, contratação de pessoas, relação com o consumidor, propriedade intelectual, dados pessoais e reputação da marca ao mesmo tempo. Nenhuma dessas dimensões pertence isoladamente à TI, e várias delas já têm regulador ativo. Quando uma tecnologia atravessa todas as linhas de negócio e cria exposição legal, regulatória e reputacional simultânea, ela se torna, por definição, matéria de supervisão do conselho.

O Que Pode Dar Errado: os Riscos que o Conselho Precisa Enxergar

Para deliberar sobre IA, o conselho não precisa entender arquitetura de modelos. Precisa enxergar quatro categorias de risco, todas com casos reais e valores conhecidos.

Risco operacional: o modelo erra, e erra com confiança

Sistemas de IA generativa produzem respostas fluentes e erradas, o fenômeno conhecido como alucinação, e modelos treinados em dados históricos reproduzem e amplificam vieses presentes nesses dados. Em processos de negócio críticos, como análise de crédito, triagem de candidatos ou suporte a decisão médica ou jurídica, um erro confiante em escala industrial não é falha pontual: é passivo em formação. A pergunta do conselho não é se o modelo erra, todos erram, é se existe supervisão humana nos pontos de decisão relevantes e se alguém mede a taxa de erro.

Risco reputacional: a marca responde pelo que a IA faz e pelo que fazem com IA

O risco reputacional corre em duas direções. Na primeira, a IA da empresa constrange a marca: um chatbot que ofende clientes ou inventa políticas comerciais vira manchete em horas. Na segunda, a IA de terceiros ataca a empresa: em 2024, a engenharia britânica Arup perdeu cerca de US$ 25,6 milhões em Hong Kong depois que um funcionário participou de uma videochamada com deepfakes que reproduziam o diretor financeiro e outros colegas, e autorizou 15 transferências acreditando cumprir ordens legítimas. Analisamos esse caso e as defesas possíveis no artigo sobre deepfakes e fraude corporativa. Para o conselho, a lição é dupla: a empresa precisa governar a IA que usa e se defender da IA usada contra ela.

Risco regulatório: a lei já alcança a IA, mesmo sem lei de IA

A ausência de uma lei específica de IA no Brasil não significa vácuo regulatório. A LGPD se aplica integralmente sempre que sistemas de IA tratam dados pessoais, e a Autoridade Nacional de Proteção de Dados já demonstrou disposição de agir, como o caso Meta de 2024 mostrou e a próxima seção detalha. Na Europa, o EU AI Act cria obrigações faseadas com alcance extraterritorial. Regulador setorial, como o Banco Central e a CVM, também alcança usos de IA dentro dos seus perímetros. O risco regulatório de IA não é futuro: é presente, distribuído em normas que já existem.

Risco legal: a empresa responde pelos atos da sua IA

Em fevereiro de 2024, o Civil Resolution Tribunal da Colúmbia Britânica, um tribunal administrativo canadense de pequenas causas, condenou a Air Canada a honrar uma política de tarifa de luto que seu chatbot havia inventado ao orientar um passageiro. O valor era modesto, CAD$ 812, e a instância, singela. O princípio estabelecido, não: o tribunal rejeitou o argumento da companhia de que o chatbot seria uma entidade separada responsável pelos próprios atos, e afirmou que a empresa responde por todas as informações em seu site, venham de uma página estática ou de um agente de IA. O valor do caso para o conselho é didático: promessas, erros e vieses da IA corporativa são promessas, erros e vieses da empresa.

Deveres Fiduciários e IA: o Que a Lei 6.404/76 Exige

No direito societário brasileiro, o ponto de partida é o artigo 153 da Lei 6.404/76: o administrador deve empregar, no exercício de suas funções, o cuidado e a diligência que todo homem ativo e probo costuma empregar na administração dos seus próprios negócios. O artigo 158 completa o quadro: o administrador responde civilmente pelos prejuízos que causar com culpa ou dolo, ou com violação da lei ou do estatuto. Nenhum dos dois artigos menciona tecnologia, e é justamente por isso que ambos alcançam a IA: o dever de diligência não é um dever sobre temas específicos, é um dever sobre o modo de administrar.

O que a diligência exige diante da IA? Não exige expertise técnica, assim como nunca exigiu que o conselheiro fosse auditor para supervisionar risco contábil. Exige que o conselheiro garanta a existência de estrutura de supervisão, se informe adequadamente antes de deliberar, faça as perguntas que um administrador cuidadoso faria e documente esse processo em ata. A proteção da regra de decisão empresarial ampara a decisão informada e de boa-fé que deu errado; ela dificilmente ampara a omissão, o tema relevante que nunca entrou em pauta enquanto a empresa adotava IA em escala. Tratamos o regime geral de responsabilidade dos administradores diante de riscos tecnológicos no artigo sobre responsabilidade de administradores em incidentes cibernéticos; a lógica jurídica aplicada à IA é a mesma.

Vale registrar, como referência ilustrativa, o paralelo americano. Na jurisprudência de Delaware, o precedente Caremark, de 1996, firmou que o conselho tem o dever de assegurar a existência de sistemas de informação e monitoramento de riscos, e que a falha completa em implementá-los ou em acompanhá-los pode gerar responsabilidade pessoal dos conselheiros. É um precedente dos Estados Unidos, sem aplicação direta no Brasil, mas a pergunta que ele institucionalizou é universal e cabe em qualquer jurisdição: o conselho montou um sistema para saber o que precisa saber? Aplicada à IA, a pergunta se traduz em inventário, reporting e deliberação registrada.

O Cenário Regulatório Real, Sem Futurologia

Conselhos tomam decisões melhores quando separam o que já é regra do que ainda é projeto. No Brasil, a norma que hoje mais alcança IA é a LGPD, e o caso mais instrutivo do seu enforcement é o da Meta. Em julho de 2024, a ANPD determinou a suspensão cautelar do tratamento de dados pessoais de usuários brasileiros para treinamento da IA generativa da empresa, apontando, em análise preliminar, base legal inadequada, falta de transparência sobre a mudança de política de privacidade, limitações excessivas ao exercício de direitos dos titulares e riscos a crianças e adolescentes. A história, porém, não termina na suspensão: a Meta apresentou um plano de conformidade, e a ANPD autorizou a retomada com restrições, incluindo aviso prévio aos usuários, por e-mail e nos aplicativos, com antecedência de 30 dias antes do início do uso dos dados, facilitação do direito de opt-out por formulário simplificado e não utilização de dados de menores de 18 anos, sob monitoramento contínuo da fiscalização da autoridade.

O ciclo completo do caso ensina mais do que a suspensão isolada. Primeiro: a ANPD age, inclusive contra uma das maiores empresas do mundo, e age rápido. Segundo: o caminho de volta existe e passa por conformidade demonstrável, transparência e salvaguardas, exatamente os elementos que um programa de governança de IA constrói antes de o regulador bater à porta. A mesma autoridade, aliás, opera desde março de 2026 um sandbox regulatório de IA e proteção de dados, com três empresas selecionadas pelo Edital 2/2025 e vigência até dezembro de 2026: sinal institucional de que o regulador brasileiro está construindo capacidade técnica sobre o tema, não apenas reagindo a casos.

Na Europa, o Regulamento (UE) 2024/1689, o EU AI Act, entrou em vigor em 1º de agosto de 2024 com implementação faseada: as proibições de práticas inaceitáveis se aplicam desde fevereiro de 2025, as regras para modelos de IA de propósito geral desde agosto de 2025, e as obrigações para sistemas de alto risco passam a valer em 2 de agosto de 2026, com prazos estendidos até 2027 para modelos de propósito geral colocados no mercado antes de agosto de 2025. O ponto que interessa ao conselho brasileiro é o alcance extraterritorial: a norma se aplica a quem coloca sistemas de IA no mercado europeu e também a casos em que o resultado produzido pelo sistema é utilizado na União Europeia, ainda que a empresa opere de fora do bloco. Companhias brasileiras com clientes, subsidiárias ou produtos digitais alcançando a Europa precisam mapear essa exposição, e o calendário de 2026 torna o mapeamento urgente.

E o marco legal brasileiro de IA? O PL 2338 segue em tramitação na Câmara dos Deputados, sem previsão firme de votação. Um conselho diligente acompanha o tema, mas não delibera com base em texto que ainda pode mudar: as regras que valem hoje são LGPD, Código de Defesa do Consumidor, Lei 6.404/76 e normas setoriais. Quem governa IA por essas normas vigentes estará, na prática, preparado para qualquer marco que venha.

Frameworks que o Conselho Pode Exigir da Gestão

O conselho não desenha programas de governança de IA, mas pode e deve exigir que a gestão ancore o programa em referências reconhecidas, pelo mesmo motivo que exige contabilidade em padrão contábil: comparabilidade, auditabilidade e linguagem comum. Quatro referências merecem estar no radar do conselheiro.

O AI Risk Management Framework do NIST, o instituto de padrões dos Estados Unidos, publicado em janeiro de 2023, organiza a gestão de risco de IA em quatro funções: Govern, Map, Measure e Manage. A função Govern é a que fala diretamente com o conselho: cultura de risco, papéis e responsabilidades, políticas e accountability sobre os sistemas de IA da organização. A ISO/IEC 42001, publicada em dezembro de 2023, dá um passo além: é a primeira norma certificável de sistema de gestão de IA, o que significa que uma auditoria independente pode atestar que o programa existe e opera. Para um conselho, certificação não é garantia de infalibilidade, mas é evidência auditável de estrutura, a mesma lógica da ISO 27001 em segurança da informação.

No plano dos princípios, os Princípios de IA da OCDE, adotados em 2019 e atualizados em 2024, com o Brasil entre os países aderentes, estabelecem o vocabulário de IA confiável que orienta reguladores no mundo todo, incluindo transparência, robustez e accountability. E, em âncora nacional voltada especificamente para conselheiros, o IBGC lançou em outubro de 2024, com Microsoft e Accenture, um guia de inteligência artificial para conselhos de administração, traduzindo o tema para a prática da governança corporativa brasileira. Para o conselheiro que quer um ponto de partida em português, escrito para o seu papel, é o documento natural.

Estrutura de Oversight: Comitê, Reporting e Cadência

Definidos os riscos e as referências, resta a pergunta prática: como o conselho organiza a supervisão? Três decisões estruturam a resposta.

A primeira é onde o tema mora. Não existe resposta única: empresas têm alocado IA no comitê de auditoria, no comitê de riscos ou, em casos de uso intensivo, em comitê dedicado. O caminho mais comum, e razoável para a maioria, é começar no comitê existente e evoluir conforme a materialidade: se a IA passa a sustentar decisões críticas de negócio, a profundidade exigida tende a justificar fórum próprio. Os critérios para desenhar essa estrutura são os mesmos que discutimos no artigo sobre o comitê de risco cibernético no conselho: mandato claro, composição com competência mínima no tema e trânsito direto com a gestão.

A segunda é quem responde pelo tema na gestão. Sem um dono claro, com autoridade e orçamento, a governança de IA vira colegiado difuso em que todos opinam e ninguém responde. E o primeiro entregável desse dono é um inventário dos usos de IA na empresa: quais sistemas, em quais processos, com quais dados, sob quais salvaguardas. O inventário precisa incluir o uso não sancionado, aquele que os funcionários adotam por conta própria em ferramentas gratuitas, fenômeno que mapeamos no artigo sobre shadow AI nas empresas. Um conselho que supervisiona apenas a IA oficial supervisiona a menor parte do risco.

A terceira é a cadência e o formato do reporting. IA deve entrar no ciclo de reporting de riscos com a mesma disciplina dos demais riscos materiais: indicadores comparáveis entre reuniões, incidentes e near-misses reportados, evolução do inventário e status das ações. Os princípios que valem para segurança valem aqui, e estão detalhados no nosso guia de board reporting em cibersegurança: linguagem de negócio, comparabilidade e honestidade sobre o que não se sabe. Reporting de IA que só traz casos de sucesso não é reporting, é marketing interno.

As Perguntas que o Conselho Deve Fazer Sobre IA

A ferramenta mais barata e mais eficaz de supervisão continua sendo a pergunta certa, feita em reunião e registrada em ata. Estas dez cabem em qualquer conselho, sem exigir vocabulário técnico:

• Quem responde pela IA nesta empresa? Nome, mandato e a quem se reporta.
• Temos um inventário dos usos de IA? Incluindo os não autorizados. Quando foi atualizado?
• Quais decisões sobre pessoas a nossa IA influencia? Crédito, contratação, preço, elegibilidade. Existe revisão humana nesses pontos?
• Qual é a nossa exposição LGPD? Sistemas de IA tratam dados pessoais? Com qual base legal e qual transparência?
• Dados de clientes alimentam treinamento de modelos? Nossos ou de fornecedores? Os contratos permitem?
• O que acontece se a nossa IA errar publicamente? Existe plano de resposta a incidente que cubra falha de IA, e ele já foi testado?
• Estamos expostos ao EU AI Act? Alguém mapeou se produtos, clientes ou resultados dos nossos sistemas alcançam a União Europeia?
• Em qual framework nosso programa se ancora? NIST AI RMF, ISO 42001, outro? Por quê?
• Qual foi o incidente ou near-miss de IA mais relevante do trimestre? A resposta "nenhum" merece ceticismo.
• O que a gestão gostaria de fazer com IA e decidiu não fazer? A resposta revela se existe critério de risco funcionando.

O padrão de perguntar bem, aliás, não é exclusivo de IA: estruturamos a mesma disciplina para a supervisão de segurança no artigo sobre as perguntas que o conselho deve fazer ao CISO trimestralmente. A mecânica é idêntica: perguntas recorrentes, respostas comparáveis, tudo em ata. É essa trilha documentada que, além de melhorar a decisão, constitui a evidência de diligência que protege o próprio conselheiro.

Perguntas Frequentes

Conclusão

A governança de IA chega ao conselho brasileiro pelo mesmo caminho por que chegaram o risco financeiro, o ambiental e o cibernético: a adoção correu na frente, os casos de dano se acumularam e a supervisão precisa alcançar. Os dados são claros, metade das grandes empresas do país já usa IA enquanto dois terços dos conselheiros admitem não dominar o tema, e o arcabouço também: a Lei 6.404/76 não pede que o conselheiro programe, pede que ele supervisione com diligência, e a ANPD já mostrou no caso Meta que as regras vigentes bastam para agir. O conselho que sai na frente não é o que aprende a linguagem técnica, é o que instala a mecânica de sempre: um dono na gestão, um inventário honesto, um framework de referência, reporting comparável e dez boas perguntas feitas em ata. IA muda muita coisa na empresa; não muda o que significa ser um administrador diligente.