Há um ritual corporativo que se repete com uma regularidade quase litúrgica. O executivo sobe ao palco, abre o slide número sete, aquele que ostenta o logotipo de alguma ferramenta de inteligência artificial ao lado da palavra transformação, e anuncia, com o peito estufado de quem acabou de reinventar o fogo, que sua empresa agora é orientada por dados e movida por IA. A plateia aplaude. Os investidores relaxam os ombros. E, em algum andar mais discreto do mesmo edifício, um analista jurídico completamente esquecido continua colando planilhas de clientes num chatbot público, porque ninguém, absolutamente ninguém, lhe explicou onde termina a conveniência e começa o risco.

Essa cena não é ficção corporativa. É rotina. E é também o retrato mais fiel do que a expressão governança de inteligência artificial significa, hoje, para a maioria das organizações brasileiras: um conceito mencionado com fervor em apresentações e ignorado com naturalidade na operação.

A pergunta que dá título a este texto não é retórica, embora eu compreenda a tentação de tratá la como tal. Seu uso de IA está pronto para auditoria é uma pergunta que separa lideranças de aventureiros disfarçados de visionários. E a resposta, para a esmagadora maioria dos conselhos administrativos, é um não constrangedor, seguido de um silêncio ainda mais constrangedor.

O conforto estatístico da negligência

Vamos aos números, porque números têm a vantagem de não se importarem com o quanto incomodam. Um levantamento conduzido pela SAP em parceria com a Oxford Economics, ouvindo mais de mil e seiscentos executivos em oito países, entre eles duzentos líderes brasileiros, mostrou que oito em cada dez empresas manifestam preocupação com o uso não autorizado de ferramentas de inteligência artificial dentro de suas próprias paredes, segundo reportagem da Prolinx. Preocupação, note se, não ação. A preocupação corporativa costuma ser gratuita e decorativa, como uma placa de extintor apontando para uma parede sem extintor.

No Brasil, a paisagem melhora pouco quando se troca a lente. De acordo com o relatório sobre custo de violações de dados da IBM, citado pela Inforchannel, oito em cada dez empresas brasileiras ainda não possuem qualquer política formal de governança para inteligência artificial. Entre os conselhos de empresas de capital aberto, apenas pouco mais de vinte por cento afirmam ter políticas formais em vigor, ainda que a maioria reconheça, em tom quase confessional, que o tema já bate à porta. Reconhecer o problema virou, infelizmente, um substituto socialmente aceitável para resolvê lo.

E chegamos a um dado que merecia ser lido em voz alta em toda reunião de diretoria antes do cafezinho: apenas vinte e oito por cento dos CEOs assumem pessoalmente a responsabilidade pela supervisão da governança de inteligência artificial em suas organizações, segundo a pesquisa de confiança em IA de 2026 citada pela Runrun.it. Os outros setenta e dois por cento preferem terceirizar a consciência corporativa para comitês, departamentos de conformidade ou, na hipótese mais preguiçosa de todas, para o próprio silêncio. É uma covardia elegante, cuidadosamente disfarçada de delegação estratégica.

Enquanto isso, a maturidade em inteligência artificial responsável, segundo a mesma pesquisa da McKinsey, subiu de dois inteiros para dois vírgula três numa escala que, convenhamos, ainda mora no porão do edifício. Adoção acelera todos os dias. Governança manca atrás, mancando com dignidade, mas mancando.

Um eufemismo chamado shadow AI

Chamar isso de shadow AI é um eufemismo generoso demais. O shadow IT, aquele fenômeno antigo de colaboradores usando o Dropbox pessoal para compartilhar arquivos da empresa, já incomodava os departamentos de tecnologia havia duas décadas. A shadow AI é a versão adulta e mal educada desse velho problema. Segundo levantamento divulgado pela Tera, entre quarenta e sessenta e cinco por cento dos colaboradores de grandes empresas confessam usar ferramentas de inteligência artificial não aprovadas no trabalho. A Microsoft, em dado citado pelo Portal Information Management, vai além e aponta que setenta e cinco por cento dos trabalhadores já usam alguma forma de IA no exercício de suas funções, independentemente de qualquer homologação.

Não estamos falando apenas de alguém abrindo uma aba extra do navegador durante o expediente. Estamos falando, cada vez mais, de agentes autônomos acessando sistemas de CRM, tomando decisões operacionais e enviando comunicações em nome da empresa sem que a diretoria sequer saiba de sua existência, como descreve a própria Tera em sua análise sobre a chamada segunda onda da inteligência artificial corporativa. Um relatório recente da KnowBe4, mencionado pela Security Leaders, chega a afirmar que seis em cada dez empresas brasileiras admitem abertamente a falta de governança sobre ferramentas autônomas, justamente no momento em que essas ferramentas mais ampliam a superfície de ataque da organização. É a definição perfeita de passivo invisível: aquilo que não aparece no balanço até o dia em que aparece, e nesse dia aparece com juros compostos.

A bússola que já existe e que quase ninguém abriu

Nesse ponto, alguém sempre pergunta, com aquela candura tipicamente brasileira de quem já sabe a resposta e finge não saber, se existe alguma norma, algum caminho, alguma bússola nesse território pantanoso. Existe, sim. E, ironicamente, ela já está disponível há mais tempo do que a maioria dos executivos levou para simplesmente lê la.

A ISO IEC 42001, publicada no fim de 2023, é a primeira norma internacional certificável dedicada a sistemas de gestão de inteligência artificial, conforme descreve a BSI em seu material institucional. Ela não promete milagres nem elimina risco, porque nenhuma norma faz isso, mas oferece algo bem mais valioso do que um selo para colocar na assinatura de e mail: uma estrutura auditável de responsabilidades, mapeamento de sistemas por nível de risco, controles documentados e revisão contínua pela alta liderança, como detalha a Fundação Vanzolini. Organizações que já possuem certificação ISO 27001 conseguem caminhar até a certificação em quatro a oito meses, e as que partem do zero absoluto, entre oito e catorze meses, segundo estimativa da consultoria VGrid especializada no tema. Não é rápido. Mas também não é geológico. É apenas mais rápido do que o tempo que a maioria das empresas está levando para admitir, em voz alta, que precisa começar.

O Brasil e sua paciência beneditina

No plano regulatório, o Brasil segue seu ritmo peculiar, que mistura urgência retórica com paciência de convento. O PL 2338 de 2023, o chamado Marco Legal da Inteligência Artificial, foi aprovado pelo Senado Federal em dezembro de 2024, seguiu para a Câmara dos Deputados em março de 2025 e, depois de doze audiências públicas e um adiamento cortesmente atribuído a impasses políticos e ao calendário eleitoral, ainda aguarda votação final em 2026, conforme acompanhamento da Barbieri Advogados e da CBRdoc. O texto propõe, nos moldes do AI Act europeu, uma classificação de sistemas por nível de risco, direitos de transparência e contestação para os cidadãos afetados, além de multas que podem chegar a cinquenta milhões de reais, dobradas em caso de reincidência, de acordo com o levantamento da IALocus voltado à advocacia.

Ou seja, a lei ainda não pegou, mas o preço de ser pego já está anunciado, como aquele tapume de obra que promete conclusão em trinta dias há três anos.

A questão inconveniente que poucos gostam de encarar de frente é a seguinte: com regulamentação formal ou sem ela, o mercado, os clientes, os fornecedores e, mais cedo do que se imagina, os tribunais, já cobram como se a lei estivesse em vigor. Empresas de maior porte já exigem de seus fornecedores evidências concretas de governança de inteligência artificial antes de sequer assinar um contrato, segundo a mesma reportagem da Inforchannel. Esperar a sanção presidencial para começar a se organizar internamente é como esperar o incêndio ser oficialmente decretado antes de comprar o extintor que já deveria estar na parede desde o início.

O erro que nenhuma norma resolve sozinha

Mas talvez o equívoco mais caro, o mais silenciosamente corrosivo, não esteja na ausência de normas nem na lentidão do Congresso. Esteja em algo mais íntimo e mais humano: a ilusão confortável de que a tecnologia resolve aquilo que só a conduta resolve.

Nenhum algoritmo assina responsabilidade. Nenhum modelo generativo comparece a uma auditoria para explicar por que uma decisão automatizada negou crédito, descartou um currículo ou classificou incorretamente um paciente. Quem comparece, sempre, é gente. É o gestor que escolheu implementar sem mapear. É o diretor que aprovou o orçamento e nunca perguntou sobre controles. É o conselho inteiro que aplaudiu o slide número sete e jamais perguntou o que havia, de fato, por trás dele.

A inteligência artificial, bem utilizada, é um multiplicador extraordinário de capacidade humana. Ela lê, cruza, sintetiza e sugere numa velocidade que nenhuma equipe reproduziria sozinha. Mas multiplicar zero por qualquer número ainda dá zero. Se a base é frágil, se falta comprometimento genuíno com processos, se falta a garra de fazer o trabalho difícil de mapear riscos antes que eles se materializem em manchete, a ferramenta apenas acelera o tropeço. A tecnologia amplifica exatamente aquilo que já existe na cultura de uma organização, inclusive a negligência que ela tanto se esforça para esconder atrás de um dashboard bonito.

É por isso que insisto, talvez de forma pouco popular entre os entusiastas do momento, que a inteligência artificial deveria ser tratada como complemento, jamais como substituto, daquilo que há de mais humano na gestão: compromisso, dedicação, disciplina de execução e a coragem de assumir, pessoalmente, a responsabilidade por decisões automatizadas que carregam a assinatura invisível da empresa. Vinte e oito por cento dos CEOs assumindo essa responsabilidade não é apenas um número técnico de pesquisa de mercado. É um retrato moral do momento em que vivemos.

O que mais de três décadas de governança ensinam

Depois de mais de três décadas atravessando estruturas de governança em ambientes tão diversos quanto órgãos públicos de segurança, instituições financeiras e operações de tecnologia de grande escala, aprendi uma lição que nenhuma ferramenta jamais vai substituir: auditoria não é sobre o que a empresa mostra quando está preparada para ser vista. É sobre o que a empresa é quando não sabia que estava sendo observada. A inteligência artificial apenas tornou essa verdade mais rápida de ser descoberta, e infinitamente mais difícil de disfarçar.

Convido você, líder que chegou até aqui sem pular parágrafos por vaidade, a fazer um exercício simples e propositalmente desconfortável. Liste, sem consultar ninguém e sem embelezar a resposta, todos os pontos em que a inteligência artificial já toma decisões, sugere respostas ou processa dados sensíveis dentro da sua organização. Depois, pergunte quem seria capaz de explicar, em detalhes e sob juramento, exatamente como cada uma dessas decisões foi tomada. Se a lista de sistemas em uso for maior do que a lista de explicações disponíveis, você já tem o diagnóstico. E ele raramente é gentil com quem o lê.

A pergunta seu uso de IA está pronto para auditoria nunca foi, na essência, sobre tecnologia. Foi sempre sobre caráter, sobre a disposição de olhar para dentro da própria operação com o mesmo rigor que se exige dos números do balanço patrimonial. Empresas sobrevivem, com relativa frequência, a crises tecnológicas. Poucas sobrevivem à descoberta pública de que aplaudiram a inovação sem nunca terem perguntado quem, afinal, respondia por ela.

O convite que deixo não é para temer a inteligência artificial, tampouco para tratá la como panaceia universal de eficiência que dispensa supervisão humana. É para devolver à liderança aquilo que nenhuma máquina jamais poderá assumir em seu lugar: comprometimento genuíno, compromisso público, e a garra necessária para fazer o trabalho invisível de governança antes que ele se torne visível da pior forma possível, numa sala de auditoria, diante de reguladores, de clientes ou da própria consciência.

Porque, no fim das contas, a auditoria mais implacável nunca é a externa. É aquela que cada líder faz consigo mesmo, quando ninguém mais está olhando, e resta apenas uma pergunta sem maquiagem possível: você estava, de fato, no comando, ou apenas emprestou sua assinatura para que uma máquina decidisse em seu lugar?

Referências

  1. Microsoft Learn. Normas do Sistema de Gestão de Inteligência Artificial ISO/IEC 42001. https://learn.microsoft.com/pt-br/compliance/regulatory/offering-iso-42001
  2. BSI Group. ISO 42001, Sistema de gestão de IA. https://www.bsigroup.com/pt-BR/products-and-services/standards/iso-42001-ai-management-system/
  3. Fundação Vanzolini. ISO/IEC 42001, o padrão global para gestão de IA. https://vanzolini.org.br/blog/iso-iec-42001-governana-de-ia/
  4. VGrid. ISO/IEC 42001, Sistema de Gestão de IA (AIMS). https://vgrid.com.br/iso-42001/
  5. CBRdoc. Marco Legal da IA terá votação final em 2026. https://blog.cbrdoc.com.br/marco-legal-da-ia-tera-votacao-final-em-2026/
  6. IALocus. Marco Legal da IA Brasil 2026, PL 2338, guia para advogados. https://ialocus.com.br/blog/post-pl-2338-marco-legal-ia-brasil-2026.html
  7. Barbieri Advogados. Regulamentação da Inteligência Artificial no Brasil 2026. https://barbieriadvogados.com/en/regulamentacao-inteligencia-artificial-brasil/
  8. Inforchannel. Sem governança, shadow IA vira passivo invisível no balanço das empresas. https://inforchannel.com.br/2026/03/09/sem-governanca-shadow-ia-vira-passivo-invisivel-no-balanco-das-empresas/
  9. Runrun.it. Shadow AI, como proteger sua empresa dos riscos ocultos da inteligência artificial. https://blog.runrun.it/shadow-ai/
  10. Tera. Shadow AI, a IA que sua empresa não aprovou. https://somostera.com/blog/shadow-ai-governanca-empresas
  11. Portal Information Management. Shadow AI, por que proibir IA generativa não resolve o problema de governança. https://docmanagement.com.br/05/29/2026/shadow-ai-por-que-proibir-inteligencia-artificial-generativa-nao-resolve-o-problema-de-governanca/
  12. Prolinx. Shadow AI, riscos e governança no financeiro e na saúde. https://prolinx.com.br/shadow-ai/
  13. Security Leaders. 60% das empresas brasileiras admitem falta de governança sobre IA, diz estudo. https://securityleaders.com.br/60-das-empresas-brasileiras-admitem-falta-de-governanca-sobre-ia-diz-estudo/