Quando um sistema de IA da empresa nega um crédito de forma enviesada ou vaza dados de clientes, quem responde?  

Não é a área técnica que construiu o modelo, nem a diretoria que aprovou o uso, mas sim, o conselho de administração. 

E com o marco legal da IA caminhando para virar obrigação em 2026, essa pergunta deixa de ser hipótese. A maioria dos conselhos, porém, ainda discute à exaustão onde investir em IA e quase nunca quem responde quando ela falha, uma conta que não fica com quem operou o sistema, e sim com quem deveria tê-lo supervisionado. 

Governança de IA é a estrutura que uma empresa usa para decidir onde aplica inteligência artificial, com quais limites e sob qual supervisão. Na prática, ela define: 

• A escolha de fornecedores e modelos; 

• As regras de uso de dados; 

• Os critérios de transparência; 

• Os controles para quando o sistema erra. 

E o conselho de administração entra nessa conta porque a IA deixou de ser assunto restrito à área de tecnologia. 

 Afinal, quando um algoritmo influencia precificação, concessão de benefícios ou contratação, ele mexe com risco, reputação e conformidade, justamente os temas que o conselho já supervisiona há décadas. 

Essa supervisão pode se apoiar em comitês e na diretoria, mas a accountability não se transfere. Como na gestão de riscos e nos controles internos, o conselho responde por garantir que o sistema funcione, ainda que não o opere diretamente. 

Por fim, dois temas costumam se confundir aqui. O primeiro é usar IA para o próprio conselho trabalhar melhor, com análise de dados e preparação de reuniões, assunto que tratamos no guia sobre inteligência artificial e governança corporativa. 

 Já este artigo trata do segundo: quando o conselho governa a IA que roda em toda a empresa.

No Brasil, a regulação de IA está saindo do campo das recomendações para o das obrigações. O PL 2338/2023 (Marco Legal da Inteligência Artificial) passou pelo Senado em dezembro de 2024 e deve ser votado pela Câmara em 2026. 

O texto segue a lógica europeia do AI Act e estabelece, entre outros pontos: 

• A classificação dos sistemas de IA por nível de risco; 

• A exigência de governança proporcional a esse risco; 

• Multas de até R$ 50 milhões por infração; 

• A ANPD no centro da fiscalização. 

Mesmo antes de a lei passar, parte das obrigações já vale: a LGPD se aplica a qualquer IA que trate dados pessoais, e reguladores como o Banco Central e a CVM já cobram explicabilidade e controle de modelos. 

Por isso, esperar o marco legal para estruturar a governança é, em si, uma decisão de risco, e esse risco chega direto ao conselho. 

Na prática, ele responde legalmente pelo uso de IA na empresa, a responsabilidade recai sobre a organização que colocou o sistema em operação e sobre quem deveria supervisioná-lo. E o desconhecimento técnico não protege o board, assim como não o protege em temas financeiros. 

Então, quando o regulador ou um cliente perguntar quem aprovou aquele modelo, a resposta vai precisar estar em ata. 

Mapear essa exposição antes que a fiscalização chegue exige método, e o caminho é tratar a IA como uma linha dentro da matriz de risco da empresa, com probabilidade e impacto avaliados como qualquer outro risco corporativo. 

Comece com um modelo pronto de matriz de risco e leve a exposição da empresa a IA, já estruturada, para a mesa do conselho.

O papel do conselho na governança de IA se divide em frentes concretas. Nenhuma delas exige que o conselheiro entenda de machine learning, só que saiba quais perguntas fazer e a quem cobrar a resposta.

Definir a estratégia de IA 

Cabe ao conselho garantir que a adoção de IA tenha direção clara, definindo onde investir, quais processos entram primeiro e como tudo se conecta aos objetivos de longo prazo. 

Sem essa direção, a IA se torna uma coleção de pilotos isolados que ninguém consegue avaliar nem comparar. 

A pergunta para a diretoria é direta: qual problema de negócio cada iniciativa de IA resolve, e como medimos o retorno? 

Não é pergunta retórica. Em levantamento da NACD, a incerteza sobre o retorno foi a maior barreira à adoção de IA apontada pelos próprios conselheiros. 

Colocar IA dentro do apetite de risco 

A IA precisa entrar no apetite de risco formal da empresa, discutido pelo comitê de riscos e aprovado pelo conselho.  

Isso porque modelos de IA erram e produzem informações incorretas sem sinalizar o erro, então o board precisa saber quais decisões dependem desse output e onde existe verificação humana antes da decisão final. 

E o peso disso varia bastante, já que um modelo que define preços sem revisão é um risco bem diferente de um chatbot interno, o que a matriz precisa refletir. 

Cuidar de viés, dados e transparência 

Modelos treinados com dados históricos reproduzem as distorções que já existem na organização. Se os dados de promoção carregam viés de gênero, por exemplo, a IA acaba replicando esse viés em escala. 

Para manter isso sob controle, valem dois mecanismos: auditorias periódicas dos algoritmos e regras claras sobre quais dados alimentam cada sistema. Rodar a auditoria é função da gestão, mas é o conselho que exige que ela aconteça e cobra os resultados. 

Corrigir a lacuna de competência do board 

A maioria dos conselhos não tem ninguém com experiência real em dados ou tecnologia, e isso é uma lacuna na matriz de competências. 

Em pesquisa da Deloitte com quase 700 conselheiros e executivos, dois em cada três admitiram ter pouco ou nenhum conhecimento sobre IA, ainda que seja uma melhora frente aos 79% do levantamento anterior. 

A correção passa por um novo conselheiro com esse perfil, pelo letramento dos atuais ou por um assessor externo.

Estruturar a governança de IA no conselho é decidir onde o tema mora e com que frequência ele é discutido. 

Há dois caminhos comuns, e a escolha depende de quanto a IA já pesa no negócio: 

• Um comitê dedicado a IA, para empresas em que a tecnologia já é central na operação; 

• IA como pauta recorrente nos comitês que já existem, em geral os de risco, auditoria ou estratégia (o caminho mais comum). 

Para entender como dividir essas responsabilidades, vale revisar a estrutura dos comitês do conselho de administração. 

Governança de IA precisa de um comitê dedicado? Nem sempre. O que não funciona é tratar o tema como assunto avulso, que aparece na pauta quando alguém lembra. 

Em paralelo, o conselho define ou aprova as políticas internas de IA: 

• Regras de uso; 

• Níveis de acesso a dados; 

• Critérios éticos; 

• Limites do que pode ser automatizado sem revisão humana. 

Formalizar isso no regimento interno do conselho dá à diretoria um parâmetro claro do que é aceitável e do que precisa subir para aprovação. Vale pensar também na cadência dessa revisão, porque um tema que muda a cada trimestre não cabe num ciclo anual. 

O cuidado, porém, não vale só para dentro de casa, já que o padrão que o conselho cobra da IA da empresa, como isolamento de dados e supervisão humana, é o mesmo que se aplica à IA que ele próprio usa para trabalhar. 

É aí que entra a Atlas Governance, o maior portal de governança da América Latina, usado por mais de 750 organizações e 20 mil conselheiros em 11 países.  

O Atlas AI, a camada de inteligência nativa da plataforma, foi construído para a mesa do conselho, com isolamento total de dados por empresa, certificação ISO 27001 e trilha de auditoria completa, os mesmos controles que uma boa governança de IA exige.

Conheça o Atlas AI