A inteligência artificial já faz parte da rotina de muitas empresas antes mesmo de existir uma estrutura interna específica para controlar seu uso. Assim, a governança de IA deixou de ser uma discussão futura para virar uma necessidade prática.
Ferramentas generativas podem apoiar análises, relatórios, automações e decisões. Ao mesmo tempo, recursos de IA também podem estar incorporados a softwares contratados por diferentes áreas, sem que exista uma visão centralizada sobre onde e como as equipes os utilizam.
Com o avanço da discussão sobre o Marco Legal da IA no Brasil, portanto, esse uso começa a ganhar outra dimensão para áreas de Compliance, Jurídico e Riscos.
O PL 2.338/2023 ainda está em tramitação, mas sua abordagem baseada em risco já ajuda a evidenciar uma questão prática: como a empresa identifica onde ela usa IA, quais riscos estão envolvidos e quais controles existem sobre esse uso?
Quer entender primeiro o que está acontecendo na regulação?
Veja o artigo sobre o avanço dos PLs 2.338/2023 e 6.237/2025 e o estágio atual do Marco Legal da IA no Brasil.
Governança de IA começa por saber onde a tecnologia é usada
Uma empresa dificilmente consegue avaliar riscos de inteligência artificial se não souber quais sistemas fazem parte de sua operação.
Esse levantamento, portanto, pode incluir ferramentas contratadas diretamente, recursos disponíveis dentro de softwares já utilizados e aplicações que áreas ou colaboradores adotam para executar atividades corporativas.
Algumas perguntas ajudam a organizar essa visão:
- Qual sistema de IA a empresa utiliza;
- Em qual processo ele participa;
- Qual é sua finalidade;
- Quais áreas utilizam a ferramenta;
- Que tipo de informação o sistema processa;
- Se o sistema participa de alguma decisão relevante.
Esse mapeamento não deve ser tratado como uma obrigação já vigente do PL 2.338/2023. Ele funciona, sim, como uma prática de governança para que a empresa compreenda o próprio uso da tecnologia antes de definir controles.
Referenciais de gestão de risco, como o AI Risk Management Framework do NIST, também tratam inventário, finalidade, contexto de uso e responsabilidades como elementos importantes de governança de IA.
Nem todo uso de IA apresenta o mesmo risco
O PL 2.338/2023 trabalha com uma abordagem proporcional ao risco. Na prática, portanto, a avaliação não depende apenas da ferramenta, mas também da finalidade e das consequências que seu uso gera.
Uma IA que revisa um texto corporativo apresenta questões diferentes de um sistema que apoia decisões sobre pessoas, acesso a serviços ou outros processos sensíveis.
Para a governança interna, isso significa relacionar cada uso ao contexto em que ele ocorre.
| Pergunta de governança | O que a empresa precisa identificar |
|---|---|
| Onde a IA é utilizada? | Sistemas, ferramentas e processos envolvidos |
| Para que ela é utilizada? | Finalidade e contexto de uso |
| Que risco está associado? | Possíveis consequências para pessoas e para a empresa |
| Quem responde pelo processo? | Área ou responsável |
| Quais controles existem? | Avaliações, aprovações, revisão e monitoramento |
| O que fica registrado? | Decisões e medidas adotadas |
Essa tabela não representa um checklist de adequação ao futuro Marco Legal. Ela mostra, sim, como o tema começa a se conectar com práticas já conhecidas de compliance e gestão de riscos.
Política precisa virar processo
Uma política interna de uso de inteligência artificial pode estabelecer ferramentas permitidas, informações que não devem ser compartilhadas e situações que exigem aprovação.
Mas a política, sozinha, não mostra o que aconteceu na operação.
Quando um uso de IA exige avaliação, autorização ou revisão, a empresa também precisa saber quem é responsável, quais controles ela aplicou e quais registros ficaram associados à decisão.
Esse é um ponto importante, porque a responsabilidade pode ficar distribuída entre diferentes áreas. A TI pode administrar a ferramenta, a Compliance acompanhar determinados riscos, o Jurídico avaliar aspectos específicos, e a área de negócio permanece responsável pelo processo em que a empresa usa a IA.
Por isso, a governança exige responsabilidades definidas e mecanismos para acompanhar o que a empresa decidiu.
Também é necessário considerar que o uso da tecnologia pode mudar ao longo do tempo. Uma ferramenta pode receber novas funcionalidades, começar a processar outros tipos de informação ou passar a atuar em um processo diferente daquele inicialmente analisado.
Assim, aprovação, registro e monitoramento precisam fazer parte do mesmo fluxo.
O texto em discussão no PL 2.338/2023 prevê mecanismos como avaliação preliminar e avaliação de impacto algorítmico para determinadas situações. A redação ainda pode mudar, mas reforça, de todo modo, a importância de processos documentados para análise e acompanhamento de riscos.
O que isso significa para Compliance?
A inteligência artificial acrescenta novos riscos à operação, mas muitos dos mecanismos necessários para organizá-los já fazem parte da rotina de Compliance e GRC.
Mapear usos, definir responsáveis, avaliar riscos, acompanhar controles e manter registros são práticas que a empresa pode aplicar à governança de IA mesmo antes da conclusão do debate legislativo — o mesmo ponto de partida que já detalhamos no conteúdo sobre baixa maturidade de IA em compliance.
O principal risco operacional aparece quando a tecnologia se espalha entre ferramentas e áreas, e a empresa não consegue identificar depois como alguém autorizou, acompanhou ou revisou determinado uso. Os módulos de Políticas e Normas e Formulários da Gopliance ajudam a evitar essa lacuna, formalizando as regras de uso de IA e estruturando o fluxo de aprovação com responsáveis e registros de cada etapa.
Quer entender como centralizar processos de compliance e acompanhar controles em um único ambiente?
A Gopliance ajuda empresas a organizar processos de compliance com rastreabilidade e evidências auditáveis.
A regulação brasileira de inteligência artificial ainda pode mudar. Mesmo assim, a discussão atual já deixa uma pergunta concreta para as empresas: quem usa IA, para qual finalidade, sob quais controles e com quais registros?
Organizar essas respostas ajuda Compliance, Jurídico e Riscos a acompanhar a expansão do uso da tecnologia sem depender de controles dispersos.
Informações regulatórias verificadas em 1º de setembro de 2026.
