IA responsável no conselho: o checklist que o board precisa responder

TL;DR — IA virou tema de dever fiduciário: conselhos que não supervisionam o uso de inteligência artificial assumem risco invisível de segurança, regulação e reputação. A supervisão eficaz não exige que conselheiros virem técnicos; exige que façam as perguntas certas e recebam evidências. Este artigo traz um checklist de 10 perguntas, organizadas em inventário, risco, governança e crise, que o board deve conseguir responder sobre o uso de IA na companhia.

Em 2026, nenhum conselho de administração aprovaria um ano sem revisar o programa de segurança da informação. A inteligência artificial está no mesmo ponto de inflexão: já está dentro da operação, já carrega risco regulatório e reputacional, e na maioria das companhias ainda não aparece em ata com a frequência que o risco exige.

O problema não é falta de interesse. É falta de estrutura de supervisão. Conselheiros não precisam entender de arquitetura de modelos; precisam de um mapa do que está em uso, dos riscos relevantes e das evidências de controle. Este artigo propõe exatamente esse mapa, em formato de checklist.

Por que IA virou tema de conselho?

Três forças empurraram IA para a agenda do board. A primeira é a materialidade: IA já afeta receita, custo e decisão sobre pessoas, o que a torna assunto de estratégia, não de TI. A segunda é a regulação: a ANPD colocou IA entre os temas prioritários para 2026-2027, e o PL 2.338/2023, em tramitação na Câmara, vai impor obrigações de governança a sistemas de alto risco. A terceira é a responsabilização: precedentes internacionais de dever fiduciário mostram conselhos cobrados por falhas de supervisão de riscos conhecidos e ignorados.

Há ainda um dado de execução que deveria estar em toda ata: pesquisas recentes mostram que uma parcela relevante dos colaboradores já usa IA por conta própria, sem homologação. Isso significa que o risco não está no plano de três anos; está no celular do time hoje.

A conclusão é direta: conselho que não pergunta sobre IA não está neutro, está assumindo risco sem saber qual.

O que o conselho precisa saber antes de aprovar qualquer iniciativa de IA?

Antes de aprovar investimento ou uso novo, o board precisa de três informações mínimas, em linguagem de negócio: qual decisão ou processo o sistema afeta, qual o pior cenário se ele falhar ou vazar dado, e quem responde por ele quando algo der errado.

Se a diretoria não consegue responder essas três perguntas em uma página, a iniciativa não está pronta para aprovação, está pronta para piloto controlado. Essa distinção, entre aprovar produção e autorizar experimento com limites, é a decisão de governança mais importante que o conselho toma em IA.

O checklist: 10 perguntas que o board precisa responder

O checklist abaixo organiza a supervisão em quatro blocos: inventário, risco, governança e crise. Cada pergunta deve ter resposta documentada, com responsável nomeado. Se a resposta for “não sabemos”, esse é o primeiro achado de auditoria.

1. Quais sistemas de IA a companhia usa hoje? Deve existir inventário atualizado, incluindo IA embutida em software contratado e uso não homologado identificado em levantamento interno.
2. Quais desses sistemas influenciam decisões sobre pessoas? Crédito, contratação, desempenho, precificação individual e atendimento regulado são candidatos a alto risco e exigem supervisão reforçada.
3. Quais dados alimentam cada sistema? O board precisa saber se dado pessoal, sigiloso ou de terceiro sob confidencialidade entra em ferramentas, e em quais condições contratuais.
4. Existe política de uso de IA escrita e comunicada? A política deve vincular ferramenta, tarefa e faixa de informação, com treinamento registrado.
5. Quem responde por cada sistema relevante? Todo sistema material precisa de dono de negócio e de fluxo de escalonamento até a diretoria.
6. Como a companhia avalia fornecedores de IA? Deve haver diligência documentada: modelo-base, subprocessadores, destino dos dados e evidências de avaliação.
7. Quais evidências de controle existem? Avaliações de impacto, registros de operação, testes de viés e revisões humanas precisam existir e ser apresentáveis.
8. Qual a exposição regulatória? Mapeamento da LGPD, das regras setoriais aplicáveis e da prontidão para o marco legal de IA em tramitação.
9. Existe plano de resposta a incidente de IA? Vazamento via prompt, decisão discriminatória, conteúdo falso publicado: cada cenário precisa de dono, prazo e comunicação definidos.
10. Como o conselho é informado? Relatório periódico com indicadores de uso, incidentes, exceções aprovadas e evolução do inventário, com periodicidade definida em ata.

Dez perguntas, nenhuma técnica. Todas fiduciárias.

Como estruturar a supervisão contínua?

Checklist respondido uma vez não é governança; é fotografia. A supervisão contínua se apoia em três mecanismos simples.

O primeiro é o relatório periódico de IA ao conselho, trimestral na maioria dos casos, com o mesmo status do relatório de segurança da informação: inventário, incidentes, indicadores e exceções. O segundo é o comitê ou fórum executivo de IA, que prepara a pauta e executa as decisões, com participação de jurídico, tecnologia, segurança e as áreas de negócio. O terceiro é a revisão anual da política e do apetite a risco, momento em que o board decide o que muda no perímetro permitido.

Companhias com estruturas menores podem concentrar tudo em um ponto de pauta recorrente. O que não funciona é o modelo “apresentação anual de inovação”, em que IA aparece uma vez por ano como vitrine e nunca como risco.

O papel do conselho nos incidentes de IA

Incidente de IA raramente chega ao conselho como “incidente de IA”. Chega como vazamento de dado, decisão discriminatória questionada, cliente que descobriu conteúdo gerado por máquina ou autoridade pedindo explicação. O board precisa garantir, antes do incidente, que esses cenários têm protocolo.

Três perguntas definem a prontidão: quem declara o incidente e interrompe o sistema, quem comunica autoridade e afetados nos prazos legais, e quem reconstrói o que aconteceu a partir dos registros. Se a companhia não guarda registro de operação dos sistemas de IA, a terceira pergunta não tem resposta, e a defesa vira memória.

O dever do conselho não é operar a crise; é verificar, periodicamente, que o plano existe, foi testado e tem dono.

Perguntas frequentes sobre IA no conselho

Conselheiro precisa entender a tecnologia de IA?

Não em profundidade técnica. Precisa de literacia suficiente para fazer as perguntas certas e avaliar as respostas: o que o sistema decide, com quais dados, com quais evidências de controle. Sessões de capacitação para o board, com casos reais do setor, resolvem essa lacuna em poucas horas.

De quem é a responsabilidade quando a IA erra?

Da companhia, e dentro dela de quem foi nomeado responsável pelo sistema e pelo processo. A ferramenta não responde juridicamente. Por isso a nomeação de donos e o registro de decisões são centrais: sem eles, a responsabilidade sobe difusa até a diretoria e o conselho.

Com que frequência o conselho deve tratar de IA?

No mínimo trimestralmente em relatório, e sempre que houver incidente material, nova iniciativa de alto risco ou mudança regulatória relevante. IA em pauta anual é supervisão insuficiente para a velocidade do risco.

Empresa média precisa de comitê de IA?

Não necessariamente de um comitê formal. Precisa de um fórum com dono, pauta e registro. Em estruturas enxutas, um ponto recorrente na reunião de diretoria, com relatório ao conselho, cumpre a função. O que não pode faltar é periodicidade e evidência.

Por onde começar se o conselho nunca tratou do tema?

Pelo inventário. Peça à diretoria um levantamento dos sistemas de IA em uso, incluindo uso não homologado, e uma primeira classificação de quais afetam decisões sobre pessoas. Esse documento, em duas ou três páginas, é a base de toda a supervisão que virá depois.

O ponto que decide o resultado

Conselho não gerencia IA; supervisiona quem gerencia. A diferença entre um board exposto e um board protegido não está no conhecimento técnico dos conselheiros, e sim na existência de inventário, responsáveis nomeados, evidências de controle e um fluxo regular de informação.

As 10 perguntas deste checklist cabem em uma reunião. As respostas definem o programa do próximo ano.

Se o seu conselho precisa estruturar a supervisão de IA, converse com Clóvis Barreto Jr. pelo WhatsApp sobre capacitação de boards e governança.