Nos últimos meses, tornou-se praticamente obrigatório que empresas publiquem políticas sobre o uso responsável da IA - inteligência artificial, seja por meio de códigos internos, diretrizes éticas ou princípios de governança, que passaram a integrar apresentações institucionais, relatórios de sustentabilidade e programas de compliance. O movimento é positivo. O problema começa quando essas políticas existem apenas no papel.
Uma política que não pode ser demonstrada na prática oferece uma falsa sensação de segurança. Em um incidente envolvendo sistemas de inteligência artificial, não será suficiente afirmar que a organização possuía regras internas. A pergunta inevitável será outra: como a empresa comprova que essas regras foram efetivamente cumpridas?
É justamente nesse ponto que reside um dos maiores desafios da governança contemporânea. O verdadeiro antídoto para o chamado ethics washing não está na redação de documentos cada vez mais sofisticados, mas na capacidade de produzir evidências objetivas de que os controles declarados foram efetivamente executados.
Essa lógica não é novidade para o compliance. Programas de integridade amadureceram justamente quando deixaram de ser avaliados pela qualidade dos documentos e passaram a ser medidos pela efetividade dos controles implementados. Com a inteligência artificial, o pensamento deve ser exatamente o mesmo.
A governança deixa de ser uma promessa institucional para se tornar uma prática verificável quando cada controle relevante possui uma trilha de evidências correspondente.
Sob essa perspectiva, um programa consistente de governança em inteligência artificial pode ser compreendido a partir de três camadas complementares.
A primeira consiste no controle documentado. A organização precisa definir claramente quais sistemas podem ser utilizados, quais riscos exigem avaliação prévia, quais informações não podem ser processadas, quem aprova exceções e quais responsabilidades recaem sobre cada área envolvida. Sem regras claras, não existe governança.
A segunda camada é a execução evidenciada. Não basta que o procedimento exista; é necessário demonstrar que ele foi seguido e documentado. Todas as aprovações, registros de avaliações de risco, treinamentos realizados, validações de modelos, revisões periódicas e decisões tomadas durante o ciclo de vida da ferramenta devem produzir evidências capazes de reconstruir a atuação da empresa caso seja necessário prestar esclarecimentos. Além de contribuir com uma eventual composição de ROI sobre o que foi aplicado.
A terceira camada corresponde à capacidade de recuperação dessas informações em tempo útil. De pouco adianta armazenar registros se a organização não consegue localizá-los quando surge um incidente, uma investigação interna, uma fiscalização ou uma demanda judicial. A velocidade com que uma empresa recupera suas evidências passa a ser um indicador concreto da maturidade de sua governança.
Essa lógica conduz a uma pergunta prática que toda organização deveria fazer antes mesmo de publicar sua política de inteligência artificial: quais evidências serão produzidas para demonstrar que cada regra foi efetivamente observada?
Embora cada negócio possua particularidades, existe um conjunto mínimo de informações cuja preservação tende a fortalecer qualquer programa de governança.
É recomendável que a empresa mantenha registros sobre quais soluções de inteligência artificial estão autorizadas, quem as utilizou, em quais atividades foram empregadas, quais avaliações de risco foram realizadas antes de sua adoção, quais aprovações ocorreram, quais treinamentos foram ministrados e quais revisões periódicas foram conduzidas. Também é importante estabelecer critérios objetivos para armazenamento, retenção e preservação dessas informações, garantindo sua integridade e disponibilidade sempre que necessário.
Não se trata de acumular documentos, mas de estruturar um sistema capaz de demonstrar diligência.Esse aspecto ganha ainda mais relevância diante do cenário regulatório em construção. Independentemente da redação final das futuras normas brasileiras sobre inteligência artificial, uma tendência já parece consolidada internacionalmente: organizações serão cada vez mais chamadas a explicar como tomaram determinadas decisões, quais controles aplicaram e quais mecanismos utilizaram para reduzir riscos. E por analogia, podemos aplicar o EU AI Act, já que o nosso cenário regulatório tem como base o que a União Europeia já discutiu e hoje revisa periodicamente.
Quem aposta exclusivamente na elaboração de políticas poderá descobrir, tarde demais, que produziu apenas uma boa peça institucional sem função prática no cotidiano empresarial.
Quem estrutura mecanismos capazes de registrar, preservar e recuperar evidências estará preparado para responder não apenas às futuras exigências regulatórias, mas também às expectativas de investidores, clientes, parceiros comerciais e autoridades.
No fim, o verdadeiro diferencial competitivo da governança em inteligência artificial não será possuir a política mais extensa ou a declaração ética mais sofisticada. Será ter a oportunidade de conseguir demonstrar, de forma objetiva e verificável, que aquilo que foi prometido realmente aconteceu, sendo palpável, auditável.