André de Barros Faria, especialista em tecnologia, avalia a governança de IA nas organizações

O texto que deve regular sistemas automatizados segue em tramitação, mas a LGPD já prevê mecanismos de revisão de decisões tomadas unicamente com base em tratamento automatizado.

O Projeto de Lei 2.338/2023 foi aprovado pelo Senado em dezembro de 2024 e remetido à Câmara dos Deputados em março de 2025. Lá, aguarda parecer em comissão especial, com votação adiada em razão de impasses sobre pontos sensíveis do texto. A proposta segue o modelo europeu e classifica sistemas por nível de risco.

O CEO da Vert Analytics, André de Barros Faria, acompanha esse desenho com atenção prática. A espera pela votação, porém, não suspende as obrigações de governança de IA já em vigor. Boa parte da governança de IA que a futura lei deve exigir já tem base normativa em vigor.

O que já vale enquanto o texto tramita?

A Lei Geral de Proteção de Dados, de 2018, já trata do assunto. O titular pode pedir a revisão de decisões tomadas apenas com base em tratamento automatizado. A regra alcança análise de crédito, perfil de consumo e outros usos que afetam interesses do cidadão. André Faria contextualiza o efeito prático dessa previsão. Para atender a um pedido de revisão, a organização precisa saber qual sistema decidiu, com quais dados e sob qual critério.

Esse registro nasce no desenho do processo, não depois dele. Regras setoriais de instituições financeiras e de saúde acrescentam camadas próprias. Nenhuma delas depende da aprovação do novo marco legal. Órgãos que prestam serviço ao público convivem ainda com exigências de publicidade e de motivação do ato, que também alcançam decisões apoiadas por sistemas.

Inventário e classificação por risco

O modelo baseado em risco começa por um levantamento simples de enunciar e trabalhoso de executar. Ele identifica em que pontos a inteligência artificial já decide algo dentro da instituição. André de Barros Faria descreve o inventário como primeira etapa de qualquer programa sério. Muitas áreas adotaram ferramentas por conta própria, sem registro central, e o mapa costuma revelar mais sistemas do que a diretoria imaginava.

Depois vem a classificação. Um assistente que resume documentos internos exige controle diferente de um sistema que nega um benefício ou ordena uma prioridade de atendimento. Controle proporcional ao risco evita dois erros comuns: travar aplicações inofensivas e liberar as que mais afetam pessoas. A classificação também orienta o orçamento, porque concentra esforço de teste e monitoramento onde o erro custa mais caro.

Rastro de decisão e revisão humana

Auditoria depende de registro. É nesse ponto que a governança de IA deixa de ser documento e vira operação. André de Barros Faria pondera que a exigência mais difícil de atender depois é a mais barata de implantar antes: guardar o rastro de cada decisão automatizada. Isso significa manter versão do modelo, dados consultados, resposta produzida e identificação de quem aprovou a execução.

Em processos com agentes autônomos de IA, cada ação executada precisa gerar esse registro, sem depender da memória de quem operava o fluxo. A revisão humana também pede desenho, não intenção. Definir quais casos param para análise, quem responde por eles e em qual prazo transforma o princípio em procedimento verificável.

O custo de arrumar depois

Instituições públicas e privadas que dependem de contratos e prestação de contas tendem a sentir a diferença primeiro. Editais e cláusulas de fornecimento já pedem descrição de controles, e a exigência deve crescer com a aprovação do marco legal.

A distância entre organizações preparadas e improvisadas aparecerá menos no discurso e mais na velocidade de resposta a uma auditoria. Controle construído junto com o sistema custa uma fração do valor de reconstruí-lo sob prazo. Refazer esse trabalho com o serviço em operação e o cidadão esperando cobra o preço mais alto.

A OESP não é(são) responsável(is) por erros, incorreções, atrasos ou quaisquer decisões tomadas por seus clientes com base nos Conteúdos ora disponibilizados, bem como tais Conteúdos não representam a opinião da OESP e são de inteira responsabilidade da Agência Saftec