Comitê de IA: quem decide, quem aprova e quem responde
Papéis, matriz de decisão por risco, política de uso aceitável e inventário de casos — a governança executiva mínima para escalar sem susto.
*Sétimo artigo da série sobre IA corporativa, integração com legado e governança da informação.*
Resumo executivo
Sem estrutura de decisão, IA na empresa oscila entre dois extremos igualmente ruins: liberação geral sem controle ou paralisia por medo jurídico. O antídoto é um comitê pequeno, com autoridade real, que classifica casos por risco e delega os de baixo risco. Governança boa é a que aprova rápido o trivial e concentra atenção no que pode machucar.
Quem precisa estar na mesa
Cinco papéis bastam; mais que isso vira plateia.
| Papel | Responsabilidade | Poder de decisão |
|---|---|---|
| Patrocinador executivo | Prioridade e orçamento | Aprova casos de alto risco |
| Dono do processo | Define resultado esperado e mede | Aprova casos de baixo risco na sua área |
| Segurança da informação | Classificação de dado e controles | Veto técnico fundamentado |
| Jurídico / Privacidade | Base legal, contratos, direitos do titular | Veto legal fundamentado |
| Arquitetura / TI | Integração, custo e portabilidade | Define o caminho técnico oficial |
Veto precisa ser fundamentado e ter alternativa proposta. Um comitê que só diz não é substituído, na prática, por ferramentas fora do controle.
Matriz de decisão por risco
O critério não é a tecnologia, é a consequência. Três níveis são suficientes:
- 1.Baixo. Sem dado pessoal ou confidencial, sem efeito externo. Ex.: resumir uma reunião interna pública. Aprovação pelo dono do processo, registro simples.
- 2.Médio. Dado interno confidencial ou impacto em cliente com revisão humana. Ex.: rascunho de proposta comercial. Aprovação do dono + segurança, com registro completo.
- 3.Alto. Dado pessoal sensível, decisão que afeta pessoas ou automação sem revisão. Ex.: triagem de candidatos, análise de crédito. Aprovação do comitê, avaliação de impacto e plano de auditoria obrigatórios.
Publique a matriz. Quando as pessoas conseguem prever a decisão, elas param de contornar o processo.
Política de uso aceitável em uma página
Se não couber em uma página, ninguém lê. O essencial:
- O que nunca pode ser inserido em ferramenta externa (com exemplos do seu setor).
- Qual é o caminho oficial e como pedir acesso.
- Regra de revisão humana: o que exige aprovação antes de sair para cliente.
- Obrigação de indicar quando um material relevante foi produzido com apoio de IA.
- Canal para reportar erro ou incidente, sem punição por boa-fé.
Inventário de casos de uso
Um comitê sem inventário decide no escuro. O registro mínimo por caso: nome, dono, processo afetado, dados utilizados, nível de risco, data de aprovação, métrica de resultado e data de revisão. Uma planilha bem mantida resolve os primeiros doze meses.
Esse inventário é também o que permite responder rapidamente a cliente, auditor ou seguradora — e conversa diretamente com a trilha de auditoria tratada em O ativo esquecido.
Cadência que funciona
- Mensal: comitê revisa novos casos, incidentes e métricas dos casos em produção.
- Trimestral: revisão da matriz de risco e da política, com base no que aconteceu.
- Anual: revisão de fornecedores, contratos e estratégia de portabilidade.
O que fazer na segunda-feira
- Nomeie os cinco papéis com nomes próprios e uma data de primeira reunião.
- Classifique os casos de uso já existentes na matriz de três níveis — inclusive os informais.
- Publique a política de uma página junto com o acesso ao caminho oficial.
- Defina o prazo máximo de resposta do comitê; governança lenta perde para a ferramenta pessoal.
Conclusão
Comitê de IA não existe para autorizar tecnologia; existe para dizer quem responde quando algo dá errado — e para tornar essa resposta previsível. Com papéis claros e risco classificado, a empresa acelera onde é seguro e concentra rigor onde importa.
Leitura complementar
Trilha engenharia:
- Políticas como código para governança de IA — detalhamento técnico deste tema.