Governança de IA no conselho de administração: o que fazer

Sim, o conselho de administração precisa se preocupar com governança de IA, e não por moda de comitê de inovação. A mesma inteligência artificial que hoje ajuda a analisar dado para a reunião também decide sozinha coisas que o colegiado nunca aprovou por escrito: crédito, triagem de currículo, alerta de risco. Governança de IA no conselho quer dizer saber, com nome e critério, quem responde quando um desses sistemas decide errado.

A maioria dos colegiados brasileiros ainda trata isso como item esporádico de pauta, não como rotina de supervisão. Antes de formalizar qualquer política, eu levantaria primeiro o retrato real: quantos sistemas de IA já decidem algo dentro da empresa, em qual processo, com que risco. O Gap Analysis gratuito devolve esse raio-x cláusula por cláusula em menos de uma hora, e é o documento que eu levaria para a próxima reunião antes de propor qualquer estrutura de supervisão de IA nova.

Por que isso virou pauta de conselho, não só de comitê técnico

Durante anos, decisão sobre ferramenta de tecnologia ficava inteira no comitê de TI ou no CIO. A IA generativa quebrou essa divisão porque ela não só processa, ela decide, e decisão que afeta cliente, crédito ou funcionário é exatamente o tipo de risco que a lei já atribui ao colegiado, não ao departamento que comprou a licença.

Pesquisa do IBGC com conselheiros brasileiros mostra o tamanho do problema: entre 30% e 35% dos conselhos de empresas familiares ainda não colocaram IA na própria pauta, e só 20% discutem o tema com regularidade⁴. Atraso técnico explica pouco disso. O que domina ali é um vácuo de responsabilidade: enquanto o colegiado não decide quem responde pelo assunto, a IA continua entrando pela porta dos fundos, uma ferramenta de produtividade por vez, sem que ninguém tenha formalmente aceitado o risco.

Uma objeção que eu escuto com frequência: o conselho não é operacional, então por que a responsabilidade recairia sobre ele e não sobre a diretoria executiva que escolhe e opera as ferramentas? A resposta está no mecanismo da Lei das S.A.: o conselho não precisa operar a ferramenta para responder por ela. Ele precisa ter cobrado, com evidência, que a diretoria soubesse o que estava decidindo sozinha. Delegar a operação é saudável. Delegar a pergunta “quem responde se isso der errado” sem nunca voltar a cobrar a resposta é o que transforma delegação em omissão.

O que é, na prática, a responsabilidade do conselho pela IA

A responsabilidade do conselho pela IA está em garantir que exista critério escrito para decidir quando uma ferramenta vira risco que merece supervisão formal, e em cobrar prova de que esse critério está sendo seguido. Aprovar cada ferramenta usada na empresa, uma por uma, não cabe ao colegiado. O artigo da Capital Aberto sobre o tema resume bem a tarefa: cabe ao conselheiro perguntar com que premissa o modelo decide, não aceitar a resposta de que “a IA cuida disso”⁴.

Isso exige um instrumento concreto, que a maioria dos colegiados que eu converso ainda não tem: uma matriz de decisão algorítmica, documento simples que define, por processo, se a decisão pode ser totalmente automática, se precisa de revisão humana antes de valer, e quem é o responsável nomeado se o resultado for contestado⁴.

O que a pesquisa IBGC/FGVethics de 2026 revela sobre o descompasso

A pesquisa “Inteligência Artificial, Governança e Ética nos Conselhos de Administração das Empresas Brasileiras”, do IBGC com a FGVethics e divulgada em outubro de 2026, ouviu 141 conselheiros; 55 deles relataram uso de IA em 58 colegiados diferentes³. O achado central é o descompasso: o uso individual de IA pelo conselheiro avança mais rápido do que a regra que a própria organização escreve para esse uso³.

Eu leio esse conjunto de números assim: a tecnologia já entrega valor, 70,6% dos respondentes notam melhora na qualidade da decisão estratégica, mas a estrutura que deveria conter o risco não acompanhou³. Só 20,7% têm diretriz documentada, e só 27,6% têm alguma estrutura formal de supervisão de IA. Isso significa que, na maioria dos colegiados que já usam a tecnologia, a decisão de confiar ou não num resultado de IA depende do bom senso individual do conselheiro, não de uma regra que a empresa pode mostrar depois.

O letramento em IA para conselheiros aparece como o ponto mais frágil de todos: 93% dos respondentes acham o letramento necessário, mas só 31% receberam algum treinamento específico³. Conselheiro que aprova ou questiona decisão de IA sem entender o mecanismo básico do modelo está, na prática, confiando de olhos fechados, mesmo que a ata da reunião registre que o assunto foi “discutido”.

Transformar esse vácuo de 20,7% de diretrizes documentadas em política escrita e em matriz de decisão é trabalho de redação específico, que a maioria dos colegiados posterga justamente por não ter modelo de onde partir. Os modelos de política e matriz de decisão algorítmica existem para encurtar essa etapa, sem substituir a decisão de quais processos o conselho classifica como risco alto na própria operação.

Dever de diligência e inteligência artificial: o que a Lei das S.A. já cobra

O dever de diligência e inteligência artificial não é uma combinação nova no papel. O artigo 153 da Lei nº 6.404/1976 já exige que o administrador empregue “o cuidado e diligência que todo homem ativo e probo costuma empregar na administração dos seus próprios negócios”². Esse dever se desdobra em quatro partes: informar-se, investigar, vigiar e intervir. Um conselho que nunca perguntou quantos sistemas de IA decidem algo na empresa falha exatamente no primeiro desdobramento, antes mesmo de chegar ao mérito de qualquer decisão específica.

O artigo 159 completa o quadro: compete à companhia, por deliberação da assembleia-geral, mover ação de responsabilidade civil contra o administrador pelos prejuízos causados ao patrimônio social². Prejuízo causado por um sistema de crédito automatizado que discriminou cliente de forma ilegal, ou por um modelo de triagem de currículo que reproduziu viés, entra na mesma lógica de qualquer outro prejuízo: alguém decidiu usar aquilo, ou aceitou que fosse usado sem supervisão, e a lei já tem instrumento para perguntar quem foi.

Esse cenário não é hipótese isolada. Na auditoria de SOX que eu conduzi numa mineradora, aprovada pela Ernst & Young sem ressalvas, o que sustentou a aprovação foi o registro: quem decidiu, quando, com que teste, e o que mudou depois, nunca a tecnologia usada em si. A redução de 90% no tempo de troubleshooting veio dessa mesma rastreabilidade. É o oposto exato do cenário acima: a diferença entre os dois está em se o conselho revisita a decisão ou a trata como resolvida para sempre, não no tamanho da empresa.

ISO 42001 para o conselho de administração: o que a cláusula de liderança exige

A ISO 42001 para o conselho de administração não substitui o dever de diligência da Lei das S.A., ela organiza a evidência que sustenta esse dever quando o assunto é IA. A cláusula 5 da norma, sobre liderança, exige que a alta direção garanta que a política de IA seja compatível com a direção estratégica da empresa, que os requisitos do sistema de gestão de IA entrem nos processos de negócio, e que exista recurso suficiente para sustentar isso, não só no papel¹. Os detalhes de cada cláusula, incluindo essa, estão descritos nas cláusulas da ISO 42001.

Eu recomendo tratar a cláusula de liderança como a pergunta que o conselho faz ao comitê executivo, não como documento que o comitê entrega sem revisão: existe política de IA aprovada formalmente, ela foi revisada nos últimos doze meses, e o recurso orçado para sustentá-la é real ou só uma linha simbólica no orçamento.

Por onde o conselho deveria começar

Eu começaria pela estrutura de supervisão de IA, antes de qualquer treinamento ou política longa, porque sem ela não existe quem cobre as outras duas peças. Depois, eu exigiria o inventário completo de sistemas de IA em uso, cruzado com o processo que cada um toca; o artigo sobre risco de IA para o CFO detalha como esse levantamento entra na pauta financeira especificamente, e vale a leitura cruzada porque boa parte do risco que chega ao conselho nasce primeiro no financeiro. Só depois desses dois passos eu discutiria letramento em IA para conselheiros, porque treinar quem decide sobre um parque de sistemas que ninguém mapeou ainda é treinar no vazio.

A rotina de auditoria interna também entra aqui: o guia de auditoria interna mostra com que frequência esse inventário deveria ser revisto, e é essa cadência, não a reunião anual isolada, que transforma supervisão em rotina.

Premissa minha, sem fonte de mercado para sustentar o número: montar a matriz de decisão algorítmica e a diretriz de supervisão para os três ou quatro processos de maior risco costuma consumir de 15 a 25 horas de trabalho qualificado, bem menos do que o tempo que o próprio colegiado já perde discutindo o assunto em reunião, ano após ano, sem nenhum documento para mostrar depois.

Se o seu conselho fosse perguntado hoje, numa auditoria externa, quantos sistemas de IA já decidem algo dentro da empresa e quem responde por cada um, a resposta sairia de um documento vivo ou da memória de quem estava na sala quando o assunto foi aprovado?

Veja também