Inteligência Artificial Archives - Protiviti
Logo Protiviti Logo Protiviti
Fale conosco
Conteúdos » Inteligência Artificial

A inteligência artificial já é utilizada em atendimento, análise de dados, desenvolvimento de software, segurança cibernética e automação de processos. Sua adoção, contudo, muitas vezes ocorre antes da definição de políticas, responsabilidades e controles adequados.

Para os profissionais de Tecnologia da Informação | Segurança da Informação, o desafio é viabilizar inovação sem comprometer a segurança, a qualidade dos dados, a conformidade regulatória e a capacidade de explicar como os sistemas funcionam. Nesse contexto, a Governança de IA deve envolver TI, Segurança da Informação, Jurídico, Compliance, Privacidade, Auditoria e as áreas de negócio.

O que mudou com as diretrizes do DOJ

A atualização de setembro de 2024 do Evaluation of Corporate Compliance Programs — ECCP, do Departamento de Justiça dos Estados Unidos (DOJ), passou a tratar expressamente dos riscos relacionados ao uso de novas tecnologias, incluindo a inteligência artificial. Serve como balizador de pontos que merecem a atenção dentro das organizações, principalmente para empresas que atuem sob alcance do DOJ.

Entre os aspectos que podem ser examinados pelas autoridades estão:

O ECCP também destaca a importância de que as funções de Compliance tenham acesso tempestivo a dados e recursos analíticos. Para as áreas de TI/SegInfo, a mensagem é clara: não basta disponibilizar uma ferramenta; é necessário demonstrar que ela foi avaliada, aprovada, monitorada e utilizada conforme sua finalidade.

Principais prioridades para a Governança de IA

1. Mapear e avaliar os sistemas

A empresa deve manter um inventário das soluções de IA desenvolvidas internamente, contratadas de terceiros ou utilizadas informalmente pelos empregados — o chamado shadow AI. O inventário, porém, não basta: é preciso monitorar e, quando necessário, bloquear o uso de ferramentas não aprovadas, oferecendo em contrapartida um canal de avaliação e aprovação rápido, capaz de evitar que a restrição empurre o uso para a clandestinidade.

A avaliação deve considerar:

Nem todos os sistemas exigem os mesmos controles. Uma ferramenta de resumo de reuniões apresenta riscos menores do que uma solução que influencia decisões de crédito ou relacionamento com clientes, por exemplo.

2. Proteger dados e controlar fornecedores

Dados incompletos, desatualizados ou enviesados podem comprometer o desempenho da IA. As equipes devem avaliar a origem, a qualidade, o acesso, a retenção, o descarte e a segurança das informações.

No caso de ferramentas generativas, é essencial verificar se os dados inseridos são armazenados ou utilizados para treinamento. O envio de dados pessoais, segredos comerciais ou propriedade intelectual a plataformas externas sem análise prévia pode gerar riscos relevantes.

Além da qualidade e da origem das informações, a proteção deve alcançar ameaças próprias da tecnologia. Entre elas estão a injeção de comandos — direta, pelo usuário, ou indireta, por meio de conteúdo malicioso embutido em documentos, páginas e e-mails processados pelo sistema —, o envenenamento de dados de treinamento e de bases de recuperação, o vazamento de informações por memória e contexto compartilhados entre usuários, a extração de modelos e de prompts proprietários e o uso indevido de credenciais por agentes com autonomia para executar ações.

A contratação de fornecedores também deve abranger tratamento e localização dos dados, subcontratados, atualizações do modelo, comunicação de incidentes, preservação de registros, direitos de auditoria e possibilidade de encerramento ou migração do serviço.

3. Testar, monitorar e manter supervisão humana

A aprovação de uma ferramenta não deve se basear apenas em demonstrações comerciais. Conforme o risco, devem ser avaliados:

O monitoramento deve continuar após a implantação, pois alterações nos dados, nas integrações ou no modelo podem modificar o comportamento do sistema.

Conforme a criticidade da aplicação, os testes devem incluir exercícios adversariais — o chamado red teaming de IA —, com tentativas deliberadas de burlar as restrições do sistema, extrair dados sensíveis, induzir respostas incorretas ou provocar ações não autorizadas. Esses exercícios não são um evento único: devem ser repetidos a cada atualização de modelo, mudança de fornecedor ou nova integração, pois qualquer uma delas pode reintroduzir vulnerabilidades já tratadas.

A empresa deve definir quem revisa os resultados, quando a revisão é obrigatória, quais competências são necessárias e como decisões incorretas podem ser revertidas. A tecnologia pode apoiar decisões, mas não elimina a responsabilidade dos profissionais e gestores. A decisão final e a supervisão devem ser humanas.

4. Proteger o ciclo de vida da IA

A segurança não se resume aos dados de entrada: o próprio ambiente em que a IA opera precisa de controles técnicos proporcionais ao risco da aplicação. Entre as medidas esperadas estão:

Esses controles devem ser definidos antes da entrada em produção e revistos sempre que a finalidade, o modelo ou o grau de autonomia da solução mudarem.

5. Documentação e melhoria contínua

A organização deve documentar o ciclo de vida da solução, incluindo finalidade, área responsável, avaliação de riscos, dados utilizados, versão do modelo, testes, limitações, aprovações, alterações, incidentes e medidas corretivas.

Essa documentação é essencial para auditorias, investigações internas e eventuais questionamentos de reguladores. Também permite demonstrar que a empresa monitora seus sistemas e incorpora lições aprendidas.

Do ponto de vista de segurança, a documentação deve ser acompanhada de registros técnicos preservados de forma íntegra e protegida contra alteração (prompts, respostas, acessos, integrações acionadas e decisões automatizadas), em prazo compatível com as obrigações legais e regulatórias aplicáveis. Esses registros sustentam a investigação de incidentes envolvendo IA. Esses incidentes devem estar previstos no plano corporativo de resposta: quem aciona, como isolar ou suspender o sistema comprometido, como avaliar o impacto sobre dados pessoais e informações confidenciais e como comunicar clientes, reguladores e demais partes interessadas.

O ECCP enfatiza que programas de Compliance devem ser continuamente avaliados e atualizados. A mesma lógica se aplica à Governança de IA: controles precisam ser testados, revisados e ajustados conforme surgem novos riscos, incidentes ou mudanças tecnológicas.

Conclusão

À luz das diretrizes do DOJ, a Governança de IA não se resume à publicação de uma política de uso aceitável. Ela exige inventário, avaliação baseada em risco, proteção de dados, segurança dos próprios sistemas de IA, gestão de fornecedores, testes, monitoramento, supervisão humana e documentação.

Para os profissionais de TI/SegInfo, a pergunta central é: a empresa consegue identificar quais sistemas de IA estão em uso, compreender seus riscos, definir responsáveis, detectar uso indevido ou ataques dirigidos a esses sistemas e corrigir rapidamente resultados inadequados?

A adoção responsável da inteligência artificial não impede a inovação. Ela cria as condições para que a tecnologia seja utilizada com segurança, previsibilidade e confiança.

Conteúdos » Inteligência Artificial

A inteligência artificial (IA) está rapidamente remodelando o cenário corporativo, prometendo um salto em produtividade e eficiência. No entanto, à medida que as organizações correm para implantar esses agentes digitais, correm o risco de liberar forças que não compreendem ou controlam totalmente. A promessa de produtividade da IA é real, mas também o risco de privacidade, e as apostas nunca foram tão altas.

Observamos hoje uma ansiedade crescente entre os líderes empresariais, visto que reguladores não se contentam mais em permitir que equipes de tecnologia experimentem isoladamente; eles exigem respostas sobre como a IA é governada, protegida e, mais importante, como sua identidade e acesso são gerenciados. Os antigos paradigmas de cibersegurança, construídos em torno dos usuários humanos e suas identidades digitais, estão desmoronando diante dos agentes autônomos de IA que operam com cada vez mais independência.

O desafio não é teórico. Por décadas, gerenciamento de identidade significava autenticar pessoas e conceder acesso a sistemas e dados. Agora, as organizações precisam lidar com a questão: o que significa identidade para um agente não humano? Onde essas identidades devem ser definidas e armazenadas?

Agentes de IA: complexidade em múltiplos canais

A complexidade se multiplica quando agentes de IA interagem, potencialmente contornando os controles de acesso estabelecidos e expondo informações sensíveis de maneiras que nunca se esperavam. Considere o cenário em que um agente de IA solicita dados de outro, que por sua vez consulta um terceiro agente. Cada etapa dessa cadeia envolve o risco de escalada de privilégios, quando informações que deveriam ser confidenciais são inadvertidamente divulgadas.

O problema não é a segurança dos canais de comunicação, mas a herança de direitos entre agentes. Essa é uma mudança sutil, mas profunda, na forma como o acesso é gerenciado. Mesmo os gigantes da tecnologia que constroem esses sistemas admitem que ainda não resolveram o problema da identidade agente em larga escala.

Vamos analisar uma situação hipotética, na qual um gerente de projeto peça à recém-lançada assistente de IA de sua empresa que prepare uma leitura prévia perspicaz para uma reunião com o notoriamente exigente vice-presidente. Esta assistente mergulha em todos os e-mails, documentos e até registros de RH e finanças, reunindo estouros orçamentários e notas confidenciais de desempenho.

O gerente, impressionado com a minúcia, envia o relatório para o vice-presidente e a equipe sem olhar duas vezes. As consequências são imediatas: violações de privacidade, colegas envergonhados e um vice-presidente furioso. A IA do gerente se torna a fofoca definitiva do escritório.

Mapeamento de usos, agentes e riscos

Mapear o cenário das ferramentas de IA e seu acesso a dados é uma tarefa assustadora. Muitas empresas não possuem um inventário abrangente de seus sistemas de IA, quanto mais uma compreensão clara de quais dados esses sistemas podem alcançar. Enquanto isso, as expectativas regulatórias estão evoluindo em ritmo vertiginoso. Os reguladores financeiros esperam que os maiores bancos definam o padrão, mas a realidade é que até essas instituições ainda buscam as melhores práticas.

Os riscos não se limitam à conformidade. Um único relatório gerado por IA que vaza dados confidenciais pode desencadear uma crise interna e causar danos duradouros à reputação. O uso incorreto do acesso pode violar leis de privacidade e regulamentos do setor, expondo as organizações a consequências legais e financeiras. O gênio, uma vez fora da garrafa, não é facilmente contido.

Então, o que deve ser feito? A resposta está em tratar os agentes de IA com o mesmo rigor que os funcionários humanos. Suas identidades devem ser definidas, seus papéis definidos e seu acesso estritamente limitado ao que for necessário. O princípio do menor privilégio, há muito tempo pilar da cibersegurança, deve agora ser aplicado tanto às máquinas quanto às pessoas. A herança de permissão deve ser rigidamente controlada, garantindo que agentes de IA espelhem os direitos de acesso de seus equivalentes humanos e não escalem inadvertidamente privilégios por meio da comunicação entre agentes.

A classificação de dados torna-se fundamental. Rótulos e políticas legíveis por máquina devem guiar o comportamento da IA garantindo que informações sensíveis estejam protegidas e acessíveis apenas a agentes autorizados. Auditoria e monitoramento contínuos são essenciais, não apenas para rastrear quais agentes de IA acessam e compartilham, mas também para detectar comportamentos anômalos e desvios de modelos que possam sinalizar uma violação ou uso indevido.

Construir uma cultura consciente da segurança não é mais opcional. Os funcionários devem ser treinados para entender os riscos e responsabilidades associados à IA promovendo um clima de vigilância e responsabilidade. Padrões emergentes, como o SPIFFE, oferecem frameworks promissores para gerenciar identidades de máquinas e suportar arquiteturas zero-trust para IA agente.

No fim das contas, é necessária liderança. Executivos de empresas devem enfrentar proativamente os riscos da identidade e do acesso à IA colaborando com especialistas em cibersegurança e especialistas em ética para definir estratégias de governança. A avaliação contínua é essencial, à medida que tanto as capacidades de IA quanto os requisitos regulatórios evoluem. Antes de implantar soluções de IA, as organizações devem garantir que a classificação robusta de dados, controles de segurança e planos de resposta a incidentes estejam em vigor.

A jornada rumo a uma IA resiliente e segura está em andamento. Aqueles que domam o gênio digital hoje estarão mais bem posicionados para aproveitar as oportunidades de amanhã sem cair vítimas de suas consequências não intencionais.

—

Artigo adaptado por André Cilurzo, com base no material original redigido por Kim Bozzella, ndy Retrum e Ryan McCarthy, managing directors na Protiviti USA. Originalmente publicado na Forbes Technology Council.

Conteúdos » Inteligência Artificial

A vulnerabilidade mais perigosa nunca foi o código. Foi a Confiança.

Por Erick Santos, Gerente Sr. de Digital Risk Consulting.

Uma pesquisa recente da Permiso Security revelou o ChatGPhish, uma técnica que transforma o próprio ChatGPT em vetor de phishing. O mecanismo é elegante e perturbador ao mesmo tempo.

Quando um usuário pede ao ChatGPT para resumir uma página web, a plataforma renderiza os links e imagens daquele conteúdo dentro da interface do assistente, como se fossem parte da resposta. Se a página contiver instruções maliciosas ocultas, o modelo as segue. E o usuário vê, dentro de um ambiente que ele considera seguro, um formulário de login falso, um alerta de segurança convincente ou um QR code de um atacante.

O ataque não explora uma falha no firewall, explora uma falha na percepção, esse é o ponto que mais me chama atenção neste caso recente.

Não é sobre ChatGPT, é sobre o que acontece quando transferimos confiança para ferramentas que ainda não governamos adequadamente.

O usuário corporativo que usa IA no dia a dia, para resumir contratos, pesquisar fornecedores, analisar documentos, criou uma nova superfície de ataque que a maioria das empresas ainda não mapeou, não porque faltou tecnologia, mas sim porque faltou governança.

O comportamento humano mudou mais rápido do que os controles.

Phishing sempre foi um problema de engenharia social antes de ser um problema técnico, segundo o IBM X-Force Threat Intelligence Index, phishing é responsável por 16% dos vetores de ataque mais comuns, mas os ataques via credenciais roubadas, que frequentemente começam com phishing, representam 31%, ou seja, quase metade dos incidentes tem origem em alguma forma de manipulação humana e o que o ChatGPhish muda é o intermediário, antes, o atacante precisava convencer a vítima diretamente e agora, ele usa a credibilidade da ferramenta para fazer isso e a ferramenta não sabe que está sendo usada assim.

Quando o ambiente confiável se torna o veículo, o usuário não tem como usar o critério de sempre: “isso parece suspeito.”, parece legítimo porque está dentro de algo legítimo.

Do ponto de vista de risco, a questão que coloco para os líderes é, sua empresa tem uma política de uso de IA? Tem visibilidade sobre quais ferramentas os colaboradores estão usando no dia a dia? Tem treinamento profundo sobre phishing, que vai além de “não clique em links suspeitos”?

Se a resposta for “não”, o risco já existe, só ainda não foi contabilizado.

A adoção de IA nas empresas avançou, a maturidade de segurança em torno dela, não.

E essa assimetria é onde os atacantes vivem, tecnologia evolui, engenharia social também.

O que precisa evoluir junto é a capacidade das organizações de governar comportamento, humano e artificial.

Conteúdos » Inteligência Artificial

Por Bruno Galvão Ferola, Diretor de Forensics & Integrity

A inteligência artificial já deixou de ser promessa para virar prática. Está nas decisões de crédito, nos processos de contratação, na forma como empresas se comunicam e até na maneira como riscos são identificados e tratados. O ganho de eficiência é inegável. Mas há um ponto que precisa ser dito de forma direta: IA nenhuma substitui ética. Afinal, há temas que somente as pessoas podem decidir.

Existe hoje um movimento silencioso — e perigoso — em algumas organizações: o de começar a tratar a IA como um “novo decisor”. Quando o algoritmo recomenda, muitos simplesmente aceitam. Quando o sistema aponta, poucos questionam. E, quando algo dá errado, surge a justificativa mais confortável possível: “foi a ferramenta”.

Não foi.

A responsabilidade continua sendo — e sempre será — humana. E, mais do que isso, institucional.

Não existe terceirização de responsabilidade. Nem para a tecnologia, nem para fornecedores, nem para sistemas. A decisão é da empresa. E, em última instância, dos seus dirigentes. São eles que definem cultura, direcionam prioridades e respondem — jurídica e eticamente — pelas consequências.

A IA vem para apoiar, acelerar, organizar, sugerir. Ela ajuda a ganhar escala, a reduzir tempo, a melhorar análises. Mas ela não tem senso moral. Não entende contexto como um ser humano entende. Não carrega valores. E, principalmente, não responde por consequências.

Por isso, um dos maiores riscos que vejo hoje não está na tecnologia em si, mas na forma como as instituições estão se reorganizando ao redor dela. Em alguns casos, há uma sobreposição — ou até um esvaziamento — dos códigos de ética e de conduta, substituídos na prática por “regras de sistema”.

Isso é um erro estratégico e ético.

Código de ética não é decorativo. Não é documento para ficar no site. Ele existe justamente para orientar decisões difíceis, aquelas em que o caminho mais eficiente não necessariamente é o mais correto. Se a recomendação de um algoritmo entra em conflito com esses princípios, não deveria haver dúvida: prevalece o código, não a máquina.

O problema é que, na prática, nem sempre é isso que acontece.

Vou trazer alguns exemplos simples, mas reais no mundo corporativo.

Empresas que implementaram IA em recrutamento começaram a perceber, depois de algum tempo, que seus processos estavam ficando menos diversos. O sistema aprendia com históricos passados — e, sem perceber, reproduzia vieses antigos. Tecnicamente, tudo “funcionava”. Eticamente, estava errado.

No setor financeiro, modelos de crédito altamente eficientes passaram a excluir determinados perfis de clientes com base em padrões estatísticos. O resultado? Decisões rápidas, bem fundamentadas em dados, mas socialmente questionáveis.

Na comunicação, ferramentas de IA passaram a responder clientes, gerar conteúdos e interagir em escala. Em alguns casos, com erros básicos de contexto, sensibilidade ou até respeito. Não por malícia, mas por limitação.

Em todos esses cenários, a pergunta é a mesma: onde estava o humano?

E aqui entra um ponto que considero central — e que precisa ser dito com todas as letras: há coisas que só o humano é capaz de entender e raciocinar.

Discussões éticas — e muitas vezes morais — passam, necessariamente, por um julgamento humano. Não apenas técnico, mas construído a partir de contexto, repertório, vivência, valores e princípios básicos. É o ser humano que consegue ponderar nuances, interpretar situações complexas, perceber impactos indiretos e, principalmente, assumir a responsabilidade por uma decisão.

Máquinas não têm história. Não têm experiência de vida. Não têm consciência.

E isso faz toda a diferença.

Agora, é importante reconhecer também o outro lado: humanos erram. Interpretam mal. Se deixam levar por pressão, metas, contexto. E é justamente por isso que precisam de apoio. Precisam de estrutura, de cultura, de espaço para questionar decisões — inclusive aquelas “validadas” por sistemas.

A IA pode (e deve) ser esse apoio técnico. Mas existem apoios que só pessoas conseguem oferecer.

Empatia não é programável de verdade. Julgamento moral não é replicável em código. Coragem para dizer “isso não está certo” não vem de algoritmo.

É na conversa difícil, na dúvida compartilhada, na decisão colegiada, no desconforto ético — que muitas vezes nasce a decisão correta. E há momentos que somente a empatia é necessária, pois, como dizia Anne Frank, “Os abraços foram feitos para expressar o que as palavras deixam a desejar.”

Organizações que entendem isso constroem ambientes mais seguros e saudáveis. Criam mecanismos de revisão, incentivam o questionamento, não punem quem levanta a mão. E, principalmente, deixam claro que a tecnologia é meio, não fim.

Por outro lado, empresas que começam a se esconder atrás da IA entram em um terreno perigoso. Porque, além de fragilizarem sua governança, criam uma cultura de afastamento da responsabilidade.

E responsabilidade não é delegável.

Não importa o quão sofisticado seja o modelo, o CNPJ continua sendo de alguém. A decisão continua sendo institucional. O impacto continua sendo real. E os dirigentes continuam sendo responsáveis por garantir que eficiência não ultrapasse princípios.

Por isso, integrar o uso de IA aos códigos de ética e de conduta não é uma boa prática. É uma necessidade. Não pode haver um “manual da IA” que funcione em paralelo ao que a organização diz acreditar. Tem que ser a mesma lógica, os mesmos princípios, a mesma linha de decisão.

E mais: é preciso preparar as pessoas para esse novo cenário.

Não basta treinar para usar ferramenta. É preciso treinar para decidir melhor com ferramenta. Para questionar. Para entender limites. Para saber quando seguir e quando parar.

No fim do dia, a discussão sobre IA não é tecnológica. É humana.

Estamos falando sobre como tomamos decisões, como assumimos erros, como tratamos pessoas e como sustentamos nossos próprios valores quando o caminho mais fácil aparece.

A IA pode ajudar — e muito. Mas não pode ser desculpa. Nem atalho moral. Nem escudo.

Porque, no fim, não são os algoritmos que respondem.

São as instituições. E, principalmente, as pessoas que estão à frente delas.

Conteúdos » Inteligência Artificial

IA e seu contexto no Brasil

O uso amplo e abrangente de ferramentas e assistentes de Inteligência Artificial (IA) Generativa, em especial na forma de chats, pode ser considerado uma das maiores revoluções tecnológicas da história. Existe grande potencial para mudanças nas atividades diárias dos usuários e nas relações com o trabalho.

Enquanto discussões sobre regulamentação de IA avançam no Brasil e no mundo, o uso massivo de ferramentas baseadas em IA já é realidade nas empresas. Acreditar que os riscos só surgirão quando houver uma lei em vigor é um erro perigoso. Os impactos — como vazamentos, decisões enviesadas ou violações de privacidade — estão acontecendo agora.

A adoção de IA deixou de ser uma escolha para as empresas, se tornando uma mudança de paradigma em diversos mercados e indústrias, já que permite a automatização de processos manuais, traz aprimoramento para resultados de análises e aumenta a capacidade de performance das equipes.

Implementação Invisível com Riscos Estrondosos

A implementação destas ferramentas poderosas não se dá sem riscos associados. Um importante aspecto da adoção de IA é a figura do Shadow AI. Como seu análogo já mais conhecido Shadow IT, consiste na implementação de aplicações e ferramentas tecnológicas (no caso específico, que utilizem IA) sem o conhecimento ou aprovação das áreas responsáveis pela governança de tecnologia.

Os usuários de cada ambiente empresarial, percebendo as vantagens que pode obter rapidamente ao utilizar um assistente de IA, buscam naturalmente os caminhos mais fáceis para poder usufruir destas aplicações. Com a mesma rapidez e facilidade, poderão instalar ou acessar tais ferramentas em seus ambientes corporativos, sem passar por nenhum processo de homologação ou verificação.

Devido a esta falta de visibilidade dos times de segurança, riscos já conhecidos do uso de GenIA são agravados. Os impactos referentes à exposição de dados sensíveis da companhia, à geração de conteúdo prejudicial e à exfiltração de informações críticas, são amplificados por não contarem com o monitoramento necessário, planos de resposta específicos para os incidentes ou proteção dos dados compartilhados.

Neste contexto, entendendo a vantagem competitiva obtida na adoção de IA, apesar de todos os riscos inerentes a sua implementação, a utilização de ferramentais próprios desenvolvidos para segurança de IA, combinado com estratégia e processos de governança com foco específico para este tipo de aplicação, se tornam imprescindíveis para o desenvolvimento seguro e sustentável das empresas.

Desta forma, quando existir a tentativa de adotar a Shadow AI, burlando a política de segurança estabelecida, o monitoramento ativo irá detectar esta atividade, acionando os times responsáveis de segurança, permitindo a adoção da resposta adequada ao ocorrido, evitando ou mitigando os possíveis impactos.

Estratégia, Prevenção e Respostas – a Governança de IA

Por isso, a atuação preventiva, baseada em governança, políticas claras e monitoramento contínuo, deve começar imediatamente, independentemente da existência ou não de regulação formal. Tendo em vista os movimentos recentes de legislação acerca de tecnologia, tal como a LGPD, fica clara a necessidade de buscar adequação aos novos riscos inerentes a utilização das ferramentas já no princípio de sua adoção. Os custos diretos e indiretos de aguardar a legislação podem inviabilizar o cumprimento da mesma

Empresas de setores como saúde, finanças, seguros, energia e varejo digital — classificadas como organizações de Alta Prioridade: Risco Elevado, Ação Imediata — estão especialmente expostas aos riscos do Shadow AI. Nesses ambientes, o uso não autorizado de ferramentas de IA pode não apenas comprometer a integridade de dados críticos, mas também violar regulações já existentes específicas como LGPD, ANS, Bacen, Susep ou mesmo normas internacionais de compliance e ética em tecnologia.

O impacto do Shadow AI nessas organizações vai além de falhas operacionais: ele atinge diretamente pilares como confiança institucional, reputação de marca e continuidade dos negócios. Por isso, para essas empresas, a governança de IA além de ser uma ação obrigatória, obtém a necessidade de se tornar um componente prioritário da estratégia de risco corporativo.

Além do monitoramento ativo, é fundamental estruturar um modelo robusto de Governança de IA que contemple:

Para todas as organizações, a pergunta-chave não é se a IA será usada — mas quem está usando, como, e com quais controles. Ignorar essa resposta é abrir espaço para riscos invisíveis, porém devastadores.

Por Lucas Peixoto, Cientista de Dados, especialista e líder na prática de Governança de Inteligência Artificial na área de Tech Governance da Protiviti e Erick Santos, Gerente Sênior de Tech Governance da Protiviti, especialista em Segurança da Informação e Governança de Identidade, Acessos e Inteligência Artificial.