Se a inteligência artificial mudou a maneira de pensar as operações e a estratégia, por que insistimos em aplicar uma governança ultrapassada sobre ela?

*Por Fabio Ferreira

Cada vez mais há uma lacuna entre as vulnerabilidades criadas pela inteligência artificial e as métricas de risco que impactam diretamente o negócio, e quem sofre com isso é a governança – e, por consequência, a segurança. De acordo com o estudo *AI at the Core 2025* da IBM, quase 74% das organizações pesquisadas relatam cobertura moderada (37,3%) ou limitada (36,6%) em seus frameworks corporativos de governança e risco de IA.

Ainda segundo a pesquisa, apenas 23,8% das organizações possuem estruturas que abordam esses riscos de forma abrangente; 2,3% relatam não ter nenhuma cobertura, permanecendo expostas a riscos de IA não gerenciados. Esses dados confirmam o descompasso entre a adoção acelerada de ferramentas de inteligência artificial e a maturidade de controle e segurança dentro das organizações. Em outras palavras, as vulnerabilidades criadas pela IA não aparecem claramente nos mapas de risco, e precisamos entender o porquê disso. 

A resposta mais imediata é que os líderes ainda não estão totalmente cientes dos impactos trazidos pelo uso dessas ferramentas. Mas, examinando mais de perto, vemos outro grande risco: o fato de que as plataformas de inteligência artificial são todas terceirizadas.

Inúmeras e simples atividades cotidianas são delegadas à IA todos os dias, e esse aspecto não é levado em conta no mapeamento necessário para criar uma matriz de risco.

Outro ponto diz respeito ao próprio mapeamento de riscos: “em que” e “de que forma” a IA está sendo aplicada? São perguntas que poucas empresas estão contemplando. O caso da Saúde é exemplar: após o Conselho Federal de Medicina (CFM) ter emitido em fevereiro uma resolução normatizando o uso dessa ferramenta, vimos uma verdadeira correria das empresas do setor para se adequarem à norma, e o que segurou boa parte delas nessa corrida foi justamente não saber exatamente onde a inteligência artificial estava sendo usada. Claro, todas sabiam que médicos e demais profissionais estavam utilizando a ferramenta, o que não sabiam era onde nem como.

Muito trabalho pela frente

O episódio do CFM serve como um alerta não só para a necessidade de mapear o uso da IA, mas principalmente os impactos dela para os agentes de cada setor e seus clientes finais. Vejamos: a resolução do órgão delibera que “a palavra final sobre as decisões diagnósticas, terapêuticas e prognóstica sempre será do médico, que também pode se recusar a usar a tecnologias não validadas cientificamente, que não tenha certificação regulatória pertinente ou que contrariem princípios éticos, técnicos ou legais da medicina”.

Ela também proíbe que seja delegada à inteligência artificial a comunicação de diagnósticos, prognósticos ou decisões terapêuticas. Em resumo: o elemento humano tem a decisão, mas também a responsabilidade exclusiva de se relacionar com o cliente final. Pense em quantas empresas usam chatbots no contato com seus clientes, e imagine o tamanho do impacto sobre elas se uma decisão semelhante fosse tomada por órgãos reguladores.

Claro, há muitos casos onde esse nível de controle é desnecessário, mas meu ponto é que o CFM fez sua lição de casa ao mapear os riscos envolvidos na utilização da inteligência artificial, só que as empresas e profissionais regidos pelo órgão não tinham sequer começado a pensar nisso, e precisaram investir tempo, esforço e dinheiro para correr atrás do prejuízo.

Discussão executiva

Evidentemente, a jornada rumo a esse mapeamento exigirá um patrocínio da alta direção. É nesse momento em que a maturidade do executivo de TI terá que entrar em cena, porque é ele quem precisa apresentar ao board e à diretoria os argumentos que vão suportar esse patrocínio. Ele precisa saber mostrar para o negócio porque não é possível esperar os problemas surgirem para reagir a eles, e sim mapeá-los antes que aconteçam.

Essa atuação do CIO vai ser ainda mais crucial em empresas que ainda não têm um nível de governança de risco mais elevado. Nesse caso, ele precisa mostrar que os riscos, quando não devidamente endereçados, vão comprometer a estratégia de longo prazo e os resultados financeiros da organização.

Se a história acabasse aqui, poderíamos dizer que ela não é muito diferente de episódios passados da TI: alguma inovação traz impactos para as empresas, mais positivos do que negativos, e o executivo de tecnologia precisa traduzir esses impactos em linguagem que o negócio “entenda”. Só que aqui existe um componente adicional que dificulta bastante essa conversa.

A culpa é de quem?

Ainda não há registro de nenhum caso onde a inteligência artificial foi comprovadamente a causa direta de perdas financeiras. Você pode perguntar: “ora, e quando usam a IA para fazer um deep fake que autoriza um pagamento, por exemplo?” Nesse caso, o que temos não é um dano causado pela IA, e sim pela falta de governança. Afinal, o pagamento de um grande valor não pode ser autorizado só porque a imagem de uma pessoa foi utilizada na solicitação da transação.

Esse tipo de situação é um “golpe de IA”, sem dúvida, mas, do ponto de vista da segurança da informação, o problema não está na inteligência artificial, e sim na (falta de) governança.

A IA é uma ferramenta e deve ser tratada como tal, por isso a dificuldade de estabelecer métricas mais precisas de risco. Com a crescente sofisticação e disseminação da ferramenta, não é delírio acreditar que alguém possa alimentar uma IA com informações sensíveis da organização, que passem a ser, então, incorporadas em buscas feitas pelos usuários dessas plataformas. Esse, sim, seria um “risco de inteligência artificial”, onde ela efetivamente é a geradora de prejuízo. Isso ainda não aconteceu – mas pode estar muito próximo de acontecer. Por isso, mapear os riscos é urgente.