Sua empresa usa IA para decidir sobre pessoas? Veja como montar a governança de IA
Revisado por Lucas Karam, advogado (OAB/BA 56.878), em .
Governança de IA é o conjunto de regras, responsáveis e controles que decide quais sistemas de inteligência artificial a empresa usa, para quê, com quais riscos e quem responde por eles. Os primeiros passos são da própria empresa e não dependem de advogado: listar os sistemas com IA, inclusive os que vêm dentro de softwares contratados, e saber quais decidem sobre pessoas. O Brasil ainda não tem lei de IA em vigor, mas a LGPD já vale para todo sistema que trata dados pessoais.
Usa IA para escolher candidatos ou avaliar funcionários? A pessoa afetada já pode pedir revisão da decisão automatizada (LGPD, art. 20), e o texto do PL 2338 aprovado no Senado põe esses usos entre os de alto risco. Veja o que já vale e o que vem
Resposta no mesmo dia útil, pela equipe do escritório, sob a responsabilidade do advogado Lucas Karam (OAB/BA 56.878). Atendimento online em todo o Brasil, com sigilo profissional. Prefere e-mail? Escreva para contato@lucaskaram.com.br.
O que é governança de IA e quem precisa
Governança de IA reúne as regras, papéis e controles que acompanham cada sistema de inteligência artificial da empresa, da escolha ao desligamento. Ela responde a perguntas simples que quase nenhuma empresa sabe responder hoje: onde usamos IA, para quê, com quais dados, com que risco e quem responde se der errado.
Precisa de governança toda empresa que usa IA para algo além de rascunhos internos, e principalmente a que usa IA para decidir sobre pessoas: seleção de candidatos, avaliação de desempenho, atendimento automatizado, concessão de crédito ou definição de tarifas. Isso vale também para a IA que vem dentro de um software contratado.
A política de uso de IA, que orienta a equipe no dia a dia, é uma das peças da governança. Como montar essa política e treinar a equipe está no guia treinamento de IA para empresas; para escritórios de advocacia, no guia treinamento de IA para advogados.
Os pilares da governança de IA
O tamanho de cada pilar depende do porte da empresa e do risco dos sistemas. Uma empresa pequena pode cobrir todos numa planilha e num documento curto.
- Inventário de sistemasA lista de todas as ferramentas e sistemas com IA da empresa, inclusive os que vêm dentro de softwares contratados, com a finalidade, os dados usados e o responsável por cada um.
- Classificação de riscoSeparar o que é de baixo impacto (resumir um texto interno) do que decide sobre pessoas (escolher candidatos, avaliar funcionários), que exige mais controles.
- Responsáveis e comitêQuem aprova um sistema novo, quem acompanha os que já estão em uso e quem responde quando algo dá errado. Em empresas maiores, um comitê com jurídico, tecnologia, segurança, o encarregado de dados e as áreas de negócio.
- Avaliação de impactoNos usos de maior risco, um documento que descreve os efeitos sobre as pessoas afetadas e as medidas para reduzir os riscos, antes de colocar o sistema em uso.
- Fornecedores e contratosO que o fornecedor faz com os dados, onde ficam, se treina o modelo com eles, como avisa incidentes e que informações entrega para a empresa avaliar o sistema.
- Monitoramento e incidentesAcompanhar erros, reclamações e resultados discriminatórios, com um plano para suspender ou corrigir o sistema.
- Transparência e revisão humanaInformar as pessoas afetadas, explicar os critérios quando pedirem e garantir revisão por uma pessoa nas decisões que importam.
Como montar a governança de IA na empresa
Cada passo usa o resultado do anterior. Os primeiros a empresa dá por conta própria.
-
Faça o inventário
Pergunte a cada área quais ferramentas com IA usa, inclusive as embutidas em sistemas de RH, atendimento, marketing e crédito. Para cada uma: finalidade, dados pessoais, fornecedor e responsável.
-
Classifique o risco
Comece pelos sistemas que decidem ou influenciam decisões sobre pessoas. É o que o PL 2338/2023 chama de avaliação preliminar (art. 12), e já serve hoje como boa prática.
-
Nomeie os responsáveis
Defina quem aprova, quem acompanha e quem responde. O encarregado de dados (DPO) participa sempre que houver dados pessoais.
-
Escreva a política de governança
Regras para aprovar, usar, monitorar e desligar sistemas de IA, e a política de uso para a equipe no dia a dia.
-
Avalie o impacto dos usos de maior risco
Use o relatório de impacto da LGPD (art. 38) como base e acrescente os efeitos sobre os direitos das pessoas afetadas.
-
Ajuste os contratos
Revise os contratos com fornecedores de IA: dados, sigilo, segurança, treinamento do modelo, incidentes e auditoria.
-
Treine e revise
Treine quem usa e quem aprova. Revise o inventário e a classificação de risco periodicamente e sempre que um sistema novo entrar.
Se a empresa ainda não organizou a proteção de dados, comece pelo guia LGPD para empresas: o inventário de dados pessoais e o encarregado servem de base para a governança de IA.
ISO/IEC 42001 e NIST AI RMF
ISO/IEC 42001:2023
A ISO/IEC 42001:2023 é a norma internacional de sistema de gestão de inteligência artificial. Ela traz requisitos para estabelecer, manter e melhorar continuamente a gestão de IA, e vale para organizações de qualquer porte que desenvolvem, fornecem ou usam produtos e serviços com IA. Funciona como a ISO 27001 de segurança da informação: a empresa pode buscar certificação com um organismo certificador, mas não é obrigada.
NIST AI RMF
O AI Risk Management Framework do NIST, instituto de padrões dos Estados Unidos, é um modelo de uso voluntário, lançado em janeiro de 2023 e em revisão. Ele organiza a gestão de riscos de IA em quatro funções: GOVERN (governar), MAP (mapear), MEASURE (medir) e MANAGE (gerenciar).
Nenhum dos dois precisa ser adotado inteiro. Para a maioria das empresas, eles servem de mapa: mostram o que um programa maduro tem e ajudam a escolher por onde começar.
O que a lei já exige e o que vem por aí
LGPD: o que já vale hoje
Quando a IA trata dados pessoais, a LGPD já se aplica. A pessoa pode pedir revisão de decisão tomada só por tratamento automatizado e saber os critérios usados (art. 20); o caminho dela está no guia sobre como pedir revisão de decisão automatizada. A autoridade pode exigir o relatório de impacto à proteção de dados (art. 38). E o art. 50 prevê o programa de governança em privacidade, com políticas baseadas em avaliação sistemática de impactos e riscos, supervisão interna e externa, plano de resposta a incidentes e atualização constante. É, na prática, o esqueleto de uma governança de IA.
PL 2338/2023: o marco legal da IA ainda não é lei
O PL 2338/2023 foi aprovado no Senado e aguarda parecer na Câmara dos Deputados. O texto pode mudar, mas a versão do Senado mostra o caminho:
- avaliação preliminar para classificar o risco do sistema antes do uso, tratada como boa prática (art. 12);
- lista de usos de alto risco, entre eles recrutamento, triagem e avaliação de candidatos, decisões sobre promoção e desligamento e avaliação de desempenho de trabalhadores (art. 14, III);
- avaliação de impacto algorítmico obrigatória para os sistemas de alto risco, a cargo de quem desenvolve ou coloca o sistema em uso (art. 25).
União Europeia: alto risco adiado
O regulamento europeu de IA classifica os sistemas por risco. O Regulamento (UE) 2026/1744 adiou as regras para os sistemas de alto risco: passam a valer em 2 de dezembro de 2027 para os usos listados no anexo III, como emprego e acesso a serviços essenciais, e em 2 de agosto de 2028 para os ligados a produtos regulados. A regra europeia alcança quem atua, oferece produtos ou usa sistemas de IA na União Europeia.
Como funciona o atendimento para empresas
O trabalho é feito com a direção e as áreas da empresa, em etapas. Nem toda empresa passa por todas: cada empresa depende dos sistemas que usa, do porte e do que já tem de proteção de dados. Não há resultado garantido.
-
Diagnóstico e inventário
Conversa com a direção e as áreas para mapear os sistemas de IA em uso e os dados envolvidos.
-
Classificação e mapa de riscos
Classificação de cada sistema e prioridades, com os usos que decidem sobre pessoas em primeiro lugar.
-
Política, papéis e contratos
Política de governança e de uso de IA, definição de responsáveis ou comitê e revisão dos contratos com fornecedores.
-
Avaliações, treinamento e acompanhamento
Relatórios de impacto quando cabem, treinamento das equipes e revisão periódica do programa.
Advogado responsável
Lucas Karam é advogado especialista em Direito Digital, coordena a pós-graduação Inteligência Artificial para Advogados, na EBPOS, e tem as certificações CIPM e CDPO/BR (IAPP) e DPO (EXIN), ligadas à gestão de programas de privacidade.
Coordena a pós-graduação Inteligência Artificial para Advogados na EBPOS, é coautor de livros sobre LGPD pela Saraiva Jur e membro da Comissão Especial de Direito Digital da OAB/BA.
- Inscrição
- OAB/BA 56.878
- Formação
- Direito (UCSAL), pós-graduação em Direito Digital e Compliance, MBA em Data Protection Officer (IESB) e Gestão de TI (Estácio)
- Certificações
- CIPM e CDPO/BR (IAPP), DPO (EXIN), Lead Implementer e Auditor Líder ISO/IEC 27701 (ABNT)
- Sigilo
- Sigilo profissional previsto no Estatuto da Advocacia e, nos processos que envolvem a intimidade, segredo de justiça
Outras entrevistas na imprensa
Entrevistas sobre inteligência artificial, voz clonada e falhas de tecnologia.
-
TV Record
Golpe perfeito? Criminosos utilizam ferramentas que clonam voz e rosto da vítima
-
TV Globo, Bom Dia DF
Sites falsos criados com inteligência artificial
-
Metrópoles, Café em Brasília
Apagão cibernético global: falha em software afeta voos, bancos e serviços
Perguntas frequentes
Governança de IA é obrigatória no Brasil?
Ainda não existe lei de IA em vigor no Brasil: o PL 2338/2023 aguarda parecer na Câmara. Mas a LGPD já exige segurança, prestação de contas e revisão de decisões automatizadas (art. 20) quando a IA trata dados pessoais, e valoriza o programa de governança em privacidade (art. 50).
Qual a diferença entre governança de IA e política de uso de IA?
A política de uso diz o que a equipe pode fazer com as ferramentas no dia a dia. A governança é o sistema maior: quais sistemas a empresa adota, com que risco, quem aprova, quem monitora e quem responde. A política de uso é uma das peças da governança.
Preciso de um comitê de IA?
Depende do porte e do risco. Na empresa pequena, um responsável com apoio do jurídico e do encarregado de dados costuma bastar. Quando há muitos sistemas ou usos que decidem sobre pessoas, um comitê com várias áreas ajuda a decidir com mais segurança.
Vale a pena certificar a empresa na ISO 42001?
A ISO/IEC 42001 é voluntária. A certificação faz mais sentido para quem desenvolve ou vende soluções com IA e precisa demonstrar controle a clientes. Para as demais empresas, a norma é um bom mapa para organizar o programa, mesmo sem certificar.
O que é avaliação de impacto algorítmico?
É a análise do impacto de um sistema de IA sobre os direitos das pessoas, com medidas para prevenir, reduzir e reverter os efeitos negativos. No texto do PL 2338/2023 aprovado no Senado, ela é obrigatória para os sistemas de alto risco (art. 25).
A IA que vem dentro de um software contratado também entra?
Sim. A triagem automática de currículos do sistema de RH ou a análise de crédito do sistema de vendas são usos de IA da empresa, mesmo que o fornecedor seja outro. Por isso entram no inventário e nos contratos.
Moro em outro estado. Vocês podem me atender?
Sim. O atendimento é online, para empresas de todo o Brasil. Lucas Karam é inscrito na OAB da Bahia, e a forma de atuar em processos de outros estados é explicada na análise de cada caso.
Informações atualizadas em outubro de 2026.
Onde conferir
- Lei Geral de Proteção de Dados, Lei 13.709/2018 (Planalto)
- PL 2338/2023, marco legal da inteligência artificial (Câmara dos Deputados)
- Regulamento (UE) 2026/1744, que alterou o regulamento europeu de IA (EUR-Lex)
- ISO/IEC 42001:2023, sistema de gestão de inteligência artificial (ISO)
- NIST AI Risk Management Framework (NIST)
Sua empresa não sabe onde usa IA nem quem responde por ela?
Se a empresa quer organizar o uso de IA, vai adotar um sistema que decide sobre pessoas ou recebeu pedido de cliente ou parceiro para demonstrar controles, a equipe avalia o que falta e por onde começar.
Tenha à mão o porte da empresa, as áreas que usam IA e os principais sistemas e fornecedores. No primeiro contato, não mande senhas nem documentos com dados de clientes ou funcionários.
Resposta no mesmo dia útil, pela equipe do escritório, sob a responsabilidade do advogado Lucas Karam (OAB/BA 56.878). Atendimento online em todo o Brasil, com sigilo profissional. Prefere e-mail? Escreva para contato@lucaskaram.com.br.
Quer saber como o escritório atua nesse tipo de caso? Veja a página do advogado de LGPD e proteção de dados.
Guias do mesmo tema
- Sua empresa usa IA para escolher candidatos?
- Seu site precisa de política de privacidade e termos de uso?
- A Meta ou o Google restringiu sua conta de anúncios?
Ver os guias de empresas e proteção de dados
Ver todos os 90 guias, por tema
Leia também
- Advogado de Proteção de Dados e LGPD
- Advogado para Sites e Aplicativos
- Advogado para Startups e Direito Empresarial
As informações desta página são gerais e não substituem a análise de um caso concreto.