Indiciada. Não por um hacker. Não por um ataque sofisticado. Por um prompt qualquer, num chat gratuito, com alguém colando a folha de pagamento "só pra ganhar tempo". Sua empresa não precisa ter feito nada de errado para ser tratada como culpada. Basta não ter feito nada de certo: — nenhum processo definido — nenhum dado rotulado — nenhum responsável identificado O tribunal que vai julgar esse incidente não vai perguntar qual era a sua intenção. Vai perguntar uma coisa só: existia controle? Se a resposta for "não sei ao certo", você já perdeu — antes mesmo de o caso começar. Governança de IA não é burocracia para atrasar a inovação. É o que separa uma empresa que é vítima de um incidente de uma empresa tratada como sua causa. O vácuo não aparece na foto do primeiro piloto de IA que funcionou bonito. Mas é ele quem vai depor contra você.