Governança de agentes de IA significa saber, a qualquer momento, quem responde por cada assistente ou automação em produção, com quais dados ele pode trabalhar e o que fazer se algo falhar — decidido antes de precisar, não depois de um incidente forçar a conversa. A pauta deixou de ser hipotética: pesquisa do Cetic.br mostra que a adoção de IA nas empresas brasileiras avançou de 13% para 17% em um ano, com grandes empresas já em 50%, e o número de agentes espalhados por áreas diferentes cresce mais rápido do que qualquer política capaz de acompanhá-los.
Para empresas de médio porte, o risco raramente está na ferramenta escolhida — está na ausência de um padrão comum quando cada área decide, sozinha, com qual fornecedor de IA trabalhar. É esse tipo de fragmentação, mais do que a tecnologia em si, que a HAIA encontra com mais frequência nos diagnósticos executivos, e é o ponto onde vale começar a decisão de governança.
Principais aprendizados
- Fragmentação de fornecedores de IA por área é o padrão mais comum em diagnósticos de médio porte, não a exceção — o mesmo cliente pode ter três áreas diferentes, com três fornecedores diferentes, sem arquitetura, custo ou qualidade em comum.
- A decisão de centralizar governança costuma ser reativa: nasce depois de um incidente de segurança, não antes dele — antecipar essa decisão custa muito menos do que esperar a indisponibilidade acontecer.
- Uma política de governança de IA não precisa ser um documento corporativo robusto: cinco blocos em uma página — propósito, princípios, regras, direitos e deveres — cobrem o essencial para quem não tem equipe de compliance dedicada.
- Governança sem um responsável formal tende a perder ciclo, mesmo quando o formato do programa está correto — o gargalo raramente é o conteúdo da política, é a ausência de um dono com mandato para operá-la entre um ciclo e outro.
- A regulação está avançando em paralelo, e antes do previsto: o Sistema Nacional de IA e a atuação da ANPD como reguladora residual ganham corpo institucional mesmo com o Marco Legal da IA ainda em tramitação — quem organiza governança agora chega à lei com inventário pronto, não com projeto de emergência.
Por que a fragmentação de fornecedores de IA por área é um risco, mesmo quando cada agente funciona bem sozinho?
Porque o risco não está na performance individual de cada agente — está na ausência de um padrão comum entre eles. Em um diagnóstico recente conduzido pela HAIA em um grupo educacional de médio-grande porte, o mesmo sintoma apareceu de forma independente em três frentes diferentes da operação: RH, TI e a área acadêmica haviam contratado, cada uma por conta própria, seu próprio fornecedor de chatbot, com integrações e canais distintos — WhatsApp numa área, Teams em outra — sem qualquer arquitetura, custo ou critério de qualidade compartilhado entre elas.
O que torna esse achado relevante não é ter aparecido uma vez, mas ter se repetido em conversas separadas, com pessoas diferentes, sobre iniciativas diferentes. Quando o mesmo padrão surge de forma independente em mais de uma frente da mesma organização, deixa de ser hipótese de diagnóstico e vira fato estabelecido — evidência forte o suficiente para justificar consolidar arquitetura e fornecedor, não como suposição. É o cenário que a startup brasileira Dooers, acelerada pelo Google, tenta resolver com sua plataforma de governança de agentes: hoje, cerca de dois terços das organizações não têm política formal para gerir o uso de IA nem para identificar agentes rodando sem supervisão — o que a IBM já chama de caos operacional. Já escrevi sobre como esse mesmo raciocínio de nomear, atribuir dono e medir cada iniciativa de IA que já existe na empresa evita que a fragmentação vire custo invisível.
É preciso esperar um incidente de segurança para justificar centralizar a governança de agentes de IA?
Não é preciso, mas costuma ser assim que acontece. Nesse mesmo grupo educacional, a decisão de centralizar a hospedagem dos agentes de IA internos — em vez de manter deploys locais dispersos por time — não nasceu de um planejamento preventivo de governança. Nasceu de um incidente de segurança que causou indisponibilidade de um dia e meio. A decisão de arquitetura veio depois do incidente, não antes.
Esse é um padrão recorrente o suficiente para valer como argumento concreto em qualquer diagnóstico de maturidade: organizações em estágio inicial de adoção de IA, com múltiplos agentes descentralizados por time, carregam exposição real a esse tipo de evento até que ele aconteça pelo menos uma vez. A alternativa mais comum observada no mercado ainda é aprender via incidente — perda de disponibilidade, exposição de dado, falha de acesso — em vez de aprender via planejamento. Antecipar essa conversa custa uma fração do que custa reagir a ela depois que a operação já parou.
Como montar uma política de governança de IA sem ter equipe de compliance dedicada?
Com um documento deliberadamente leve, não com uma política corporativa robusta. Um modelo que a HAIA usa como referência em diagnósticos e workshops condensa a governança em cinco blocos, cabíveis em uma única página: propósito (por que a empresa usa IA, em uma frase — reduzir atrito, melhorar atendimento, aumentar margem); princípios (segurança por padrão, dados mínimos, decisão humana em qualquer ação irreversível, medição semanal); regras (nenhum dado sensível sem contrato de proteção de dados assinado, toda mudança de versão registrada, todo agente com dono nomeado); direitos (qualquer colaborador pode sugerir melhoria, com resposta em prazo definido); e deveres (registrar antes-depois de cada piloto, cumprir a LGPD, não inserir dado sigiloso fora do ambiente aprovado). Um checklist de dez perguntas binárias de LGPD por piloto completa o modelo, pensado para ser preenchido em poucos minutos, não em semanas.
Isso resolve a política, mas não resolve a operação sozinho. No mesmo grupo educacional, um programa anual de inovação em IA perdeu um ciclo inteiro não porque o formato estava errado, mas porque não existia um cargo formalmente responsável por operá-lo entre uma edição e outra — a responsabilidade era rateada informalmente por uma área já sem capacidade sobrando. Só voltou a rodar com continuidade quando a liderança formalizou um cargo dedicado à frente da iniciativa. O documento de uma página resolve o que a política precisa dizer; um responsável nomeado resolve quem garante que ela continue sendo seguida depois do lançamento.
Conclusão: governança que acelera, não que trava
Nenhuma dessas correções exige uma reestruturação cara. Um documento de uma página, um dono nomeado por agente, um inventário do que já existe — nenhum desses três passos depende de esperar a regulação amadurecer ou de sofrer um incidente primeiro. Controle excessivo paraliza tanto quanto a ausência total de controle dispersa: o objetivo da governança de agentes de IA não é burocratizar cada novo piloto, é acelerar a captura de valor com risco conhecido, em vez de risco ignorado. Se sua empresa ainda não sabe nomear quantos agentes de IA estão em produção hoje nem quem responde por cada um, esse inventário é o primeiro passo antes de qualquer nova ferramenta — é exatamente o que o Diagnóstico Executivo de IA da HAIA mapeia antes de comprometer mais orçamento com execução.
Perguntas frequentes
O que é governança de agentes de IA, na prática?
É o conjunto mínimo de decisões que definem quem responde por cada agente ou automação em produção, com quais dados ele pode operar e o que fazer em caso de falha. Não é um departamento nem um sistema — é inventário, dono nomeado e regra registrada, aplicados antes que a lista de agentes cresça mais rápido do que a capacidade de acompanhá-la.
Uma empresa média realmente precisa de uma política formal de IA, mesmo pequena?
Precisa de alguma política, mas não precisa de uma política corporativa robusta. Um documento leve, de uma página, cobrindo propósito, princípios, regras, direitos e deveres, já resolve o essencial para empresas sem equipe de compliance dedicada. O risco maior não é ter uma política simples demais — é não ter nenhuma.
Governança de IA é a mesma coisa que compliance com a LGPD?
Não são a mesma coisa, mas se sobrepõem bastante. A LGPD trata da base legal, minimização e proteção de dados pessoais; a governança de agentes de IA é mais ampla — inclui também quem é dono de cada agente, qual arquitetura e fornecedor a empresa padroniza, e como decisões de risco são tomadas. Um checklist de LGPD por piloto costuma ser parte da governança, não o todo dela.
Quanto tempo leva para estruturar uma governança leve de agentes de IA?
O documento de princípios pode ser rascunhado em uma reunião de 30 a 60 minutos com a liderança. O que leva mais tempo é o inventário — levantar quantos agentes já existem, por área, com qual fornecedor e qual dono — porque em empresas médias essa informação raramente está centralizada. Ainda assim, é trabalho de semanas, não de meses, se começar antes de a lista crescer mais.
