Uma estrutura de governança de IA que uma pequena empresa consegue manter

O que é uma estrutura de governança de IA?

Uma estrutura de governança de IA é o sistema de gestão por trás da sua política de IA: define quem pode aprovar uma ferramenta ou um uso de IA, o que precisa ser registrado, como os riscos são verificados e quando as decisões são reavaliadas. A política de uso aceitável diz aos funcionários o que fazer; a governança decide o que entra nessa política e a mantém correta.

A maioria dos modelos de referência publicados é escrita para grandes organizações que desenvolvem sistemas de IA. Uma empresa de 5 a 200 pessoas que usa assistentes prontos precisa da mesma lógica em uma escala muito menor. O objetivo é que cada uso aprovado tenha um responsável, uma justificativa e uma data de revisão, e que ninguém precise adivinhar quem decide.

Esta página contém informações gerais, não orientação jurídica. Se você incorpora IA a produtos, automatiza decisões sobre pessoas ou trabalha em um setor regulamentado, precisa de uma análise especializada que vá além do que está descrito aqui.

Como a estrutura de gestão de riscos de IA do NIST se aplica a uma pequena empresa?

O Referencial de Gestão de Riscos de IA do NIST é de adoção voluntária e foi publicado em 26 January 2023. Ele organiza o trabalho com riscos de IA em quatro funções: Governar, Mapear, Medir e Gerenciar. O NIST afirma que o referencial foi concebido para uso voluntário, sem se restringir a setores ou casos de uso específicos, dando flexibilidade a organizações de todos os portes. Também afirma que os usuários podem selecionar categorias conforme seus recursos e capacidades, que é exatamente o que uma equipe pequena deve fazer.

Governar é uma função transversal: cultura, políticas, papéis e responsabilização. Mapear estabelece o contexto em que um sistema é usado e os riscos nesse contexto. Medir analisa e monitora esses riscos com métodos qualitativos ou quantitativos. Gerenciar aloca recursos aos riscos identificados e abrange planos de resposta e recuperação após incidentes. A página do NIST informa que o modelo está sendo revisado. Por isso, confira a versão atual antes de citá-lo.

A tabela abaixo é nossa adaptação para equipes pequenas. Não é um perfil oficial do NIST, e usá-la não torna uma empresa conforme a nenhuma exigência.

Quem deve ser responsável pela governança de IA em uma pequena empresa?

Uma pessoa definida deve ser responsável pela governança de IA, com um processo claro de aprovação para as decisões que não pode tomar sozinha. Na prática, em empresas com menos de 50 pessoas, costuma ser o fundador ou o diretor de operações; em empresas maiores, alguém da liderança de operações ou de TI que se reporte à direção. As orientações de governança do NIST incluem a responsabilidade da alta liderança pelas decisões sobre riscos de IA, além de funções e canais de comunicação definidos.

Uma divisão viável para uma empresa fictícia de programas de computador com 60 pessoas, a Kestrel Systems: o diretor de operações é responsável pelo registro e aprova novas ferramentas; a pessoa responsável pela proteção de dados autoriza qualquer uso que envolva dados pessoais; cada chefe de departamento aprova os fluxos de trabalho e revisa os resultados da sua área; o diretor-geral aprova a revisão anual. Quatro nomes cobrem tudo, e cada pessoa sabe quais questões estão sob sua responsabilidade.

O que um cadastro de uso de IA deve registrar?

Um registro de IA deve documentar cada ferramenta e uso aprovado, com o plano contratado, a tarefa permitida, as informações autorizadas, o responsável, o revisor e a data de revisão. As orientações de governança do NIST incluem mecanismos para inventariar sistemas de IA, com recursos alocados conforme as prioridades de risco; para uma pequena empresa, uma planilha compartilhada é suficiente.

Registre também os detalhes de terceiros, pois quase todo sistema de IA usado por uma pequena empresa pertence a um fornecedor. O material do NIST sobre governança aborda políticas para riscos de IA de terceiros e processos de contingência quando os sistemas de terceiros falham. No registro, isso significa: o que os termos do fornecedor dizem sobre treinamento, retenção e exclusão, quando você os verificou pela última vez e o que faria se a ferramenta ficasse indisponível ou mudasse seus termos.

Exemplo de linha para Kestrel: "Ferramenta: espaço de trabalho corporativo do [assistente]. Uso: redigir documentos internos e resumir pesquisas públicas. Informações: apenas públicas e internas. Responsável: diretor de operações. Revisor: gestor direto do autor para qualquer conteúdo externo. Termos do fornecedor verificados: [data]. Alternativa: redigir sem IA. Próxima revisão: [data]."

Como um novo uso de IA deve ser aprovado?

Um novo uso de IA deve ser aprovado por meio de uma solicitação curta, por escrito, que responda a cinco perguntas, para que o responsável possa decidir rapidamente e a decisão fique registrada. A maioria das solicitações em uma empresa pequena é de baixo risco e deve levar um dia, não exigir uma reunião de comitê. Um processo lento incentiva as pessoas a ignorá-lo.

O formulário de solicitação da Kestrel tem cinco linhas. Se alguma resposta envolver dados pessoais ou uma decisão sobre uma pessoa, a solicitação passa pela validação de uso de dados antes da aprovação.

Em quais princípios uma política de governança de IA deve se basear?

Não existe uma lista única e consensual de princípios de governança de IA; diferentes referenciais usam princípios diferentes, então escolha um conjunto curto que sua equipe consiga aplicar. O NIST lista características de uma IA confiável: válida e confiável, segura, protegida e resiliente, com responsabilização e transparência, explicável e interpretável, com privacidade reforçada e justa, com gestão de vieses prejudiciais. O manual de IA do governo britânico, publicado em fevereiro de 2025 para servidores públicos, apresenta dez princípios, começando por saber o que é IA e quais são suas limitações e incluindo controle humano efetivo nas etapas certas.

Para uma pequena empresa, três princípios de trabalho costumam ser suficientes: cada uso tem um responsável definido; as informações só vão para onde seu envio é permitido; e uma pessoa verifica e assume a responsabilidade por qualquer resultado utilizado. Se uma proposta de uso não atender aos três, ela ainda não está pronta para aprovação.

Às vezes, as pessoas perguntam sobre os três pilares da governança de IA. Não existe um conjunto padrão. Uma forma prática de pensar no assunto é considerar pessoas (quem decide e quem recebe treinamento), processos (como os usos são aprovados e revisados) e registros (o cadastro e as decisões nele documentadas).

Com que frequência as decisões de governança de IA devem ser revisadas?

Revise todo o cadastro pelo menos uma vez por ano e cada registro sempre que um fornecedor alterar seus termos, um plano mudar, um contrato com cliente acrescentar cláusulas sobre IA ou um problema relatado mostrar que um fluxo de trabalho não está funcionando. As orientações de governança do NIST abrangem o monitoramento contínuo e a revisão periódica do processo de gestão de riscos.

Meia hora por trimestre costuma ser suficiente para uma empresa pequena: o responsável lê o registro de problemas, verifica dois ou três termos de fornecedores, pergunta aos líderes de departamento se algum uso mudou e desativa o que ninguém usa. Desativar ferramentas sem uso faz parte da governança; as orientações de governança do NIST incluem processos para desativar sistemas de IA com segurança.

Onde o treinamento se encaixa na governança de IA?

O treinamento é a parte da governança que torna as regras aplicáveis na prática. As orientações de governança do NIST incluem treinamento dos profissionais em gestão de riscos de IA. Para a União Europeia, as perguntas e respostas da Comissão Europeia sobre letramento em IA referentes ao Artigo 4 do EU AI Act dizem que não existe uma abordagem única para todos, que certificados não são obrigatórios e que um registro interno do treinamento é suficiente.

Registre quem recebeu treinamento e em quais assuntos, e faça o treinamento tratar das tarefas que as pessoas realmente executam. O Tosheo.ai está sendo desenvolvido para oferecer prática por função, com uma visão para gestores do progresso nas habilidades e da conclusão das atividades; não é uma plataforma de governança e não mantém seu registro.

Quando uma pequena empresa precisa de mais do que isso?

Você precisa de mais do que uma estrutura simplificada se desenvolve sistemas de IA, incorpora IA a um produto, usa IA para tomar ou apoiar decisões importantes sobre pessoas, trata dados pessoais sensíveis em grande escala ou atua em um setor regulamentado. Esses casos podem exigir avaliações formais de risco ou impacto, sistemas de gestão certificáveis e análise jurídica.

Existem programas específicos para governança de IA, em sua maioria voltados a organizações maiores. Para uma equipe que usa poucos assistentes, um registro em planilha, uma política curta e uma data de revisão costumam ser suficientes, além de serem mais fáceis de manter atualizados.

Fontes e escopo

NIST, Estrutura de gerenciamento de riscos de IA 1.0 (NIST AI 100-1), January 2023 ↗

NIST, página de visão geral da Estrutura de gerenciamento de riscos de IA, verificada em 16 October 2026 ↗

Guia prático do NIST AI RMF: Governar, verificado em 16 October 2026 ↗

GOV.UK, Guia de IA para o governo do Reino Unido, 10 de fevereiro de 2025 ↗

Comissão Europeia, Letramento em IA - Perguntas e respostas, última atualização em 27 July 2026 ↗