Governança de IA na prática: o que definir antes de dar autonomia a um sistema

Dar autonomia a um sistema de IA em uma operação crítica é uma decisão de governança, não apenas de tecnologia. A boa notícia é que governar IA não precisa ser burocrático: um conjunto pequeno de definições explícitas resolve a maior parte dos riscos.

1. Níveis de autonomia

Nem toda ação tem o mesmo risco. Classificar as ações que a IA pode realizar em níveis torna o debate concreto. O modelo que usamos tem quatro níveis:

• Executa: ações de baixo risco e reversíveis (consultar, classificar, gerar rascunhos)
• Executa e notifica: ações rotineiras dentro de limites (renovar licença abaixo de um valor)
• Propõe e aguarda: ações que precisam de aprovação humana (movimentações relevantes, alterações de política)
• Nunca executa: ações fora do escopo por decisão explícita

2. Escopo de acesso

A IA deve acessar apenas os sistemas e dados necessários para os casos de uso aprovados. Isso limita o impacto de um erro e simplifica a auditoria. O princípio é o mesmo aplicado a pessoas: menor privilégio.

3. Explicabilidade e registro

Toda ação precisa ser reconstruível: quais dados foram consultados, quais regras foram aplicadas, qual foi o raciocínio e qual o resultado. Sem isso, não há como auditar, aprender com erros ou prestar contas a reguladores.

4. Papéis e revisão

Defina quem aprova mudanças nos guardrails, quem revisa exceções e com que frequência o desempenho é avaliado. Um comitê pequeno e um ritual periódico bastam para a maioria das operações.

5. Parada segura

Deve ser possível pausar a IA a qualquer momento sem impacto nos sistemas. Parece óbvio, mas precisa ser testado — não apenas declarado.