A IA não erra sozinha. Ela erra também porque alguém entregou dados ruins para ela processar. Essa distinção é o ponto de partida para entender por que governança de dados não é uma iniciativa paralela à adoção de inteligência artificial nas organizações: é a sua precondição. Na minha atuação como Conselheira de Governança de IA do DAMA Brasil, encontro com regularidade um padrão específico: a organização investiu no modelo, mas não na fundação que o sustenta. Sistemas de IA aprendem com os dados que recebem. Se esses dados estão desorganizados, incompletos ou contaminados por vieses, a IA não vai detectar isso por conta própria. Ela vai reproduzir o erro em escala, nas decisões de crédito, de contratação, de atendimento, de risco. A fragilidade não aparece na implementação. Aparece quando a decisão gerada pela máquina precisa ser explicada para um cliente, um regulador ou um juiz. Identifico ao longo do trabalho com organizações ao menos três pontos de ruptura específicos nesse processo. Nenhum deles está onde a maioria dos gestores procura.

A fundação que a maioria das organizações esquece de construir

Há um equívoco de enquadramento que está no centro desse problema. A maioria das organizações trata a adoção de IA como uma decisão tecnológica: escolhe-se a ferramenta, configura-se o modelo, treina-se a equipe. O que raramente aparece nesse plano é a pergunta anterior, a mais importante: de que dados essa IA vai se alimentar, e esses dados são confiáveis o suficiente para sustentar o peso das decisões que serão tomadas com base neles?

Dados de organizações com maturidade baixa em governança tendem a ser fragmentados entre sistemas que não se conversam, duplicados com versões contraditórias em diferentes áreas, incompletos por ausência de processos de coleta sistemática, e enviesados porque refletem os padrões históricos de quem os gerou, não necessariamente a realidade que pretendem representar. Quando esses dados entram em um modelo de IA, o modelo não faz triagem de qualidade. Ele aprende com o que recebe. E o que ele aprende, ele aplica em larga escala, de forma automatizada e muitas vezes opaca para quem decide com base nos seus outputs.

Um levantamento da Experian registrou que 57% das empresas brasileiras já reconhecem sofrer com vieses em suas decisões automatizadas. Esse número não é um alerta futuro: é o diagnóstico de um problema presente, que já está operando nos processos de crédito, contratação, atendimento e risco de mais da metade das organizações que adotaram IA no país.

O primeiro risco: a decisão errada reproduzida em escala

O risco mais imediato de implementar IA sobre dados sem governança é o da decisão errada. Dado desorganizado produz recomendação inconsistente. Quando essa recomendação alimenta uma decisão humana, o custo é localizado: um caso, uma operação, um cliente afetado. Quando essa recomendação é gerada por um sistema automatizado que opera sobre milhares de casos simultaneamente, o custo escala na mesma proporção que a eficiência prometida pela tecnologia.

O que torna esse risco particularmente crítico é a velocidade e o volume. Uma decisão de concessão de crédito errada, tomada por um analista humano, afeta um solicitante. Um modelo de crédito treinado com dados enviesados pode negar sistematicamente crédito a grupos inteiros de pessoas com base em padrões históricos que nada têm a ver com o risco real de inadimplência. O mesmo vale para decisões de contratação, de precificação, de triagem de atendimento e de avaliação de risco.

O problema é que a escala da automação mascara a dimensão do erro. A organização passa a tomar mais decisões em menos tempo, o que é interpretado como ganho de eficiência, enquanto a taxa de erro permanece constante ou piora, agora distribuída por um volume muito maior de casos. Sem governança sobre os dados que alimentam o modelo, não há como detectar esse padrão antes que ele cause danos mensuráveis.

O segundo risco: o regulatório que a LGPD já cobra

A LGPD, Lei Geral de Proteção de Dados Pessoais, não trata o uso de IA como uma questão exclusivamente tecnológica. O artigo 20 da lei garante ao titular o direito de solicitar a revisão de decisões tomadas exclusivamente com base em tratamento automatizado de dados pessoais, incluindo aquelas que afetem seus interesses nos âmbitos profissional, consumidor e de crédito. Esse direito só pode ser exercido se a empresa conseguir explicar, de forma clara, como a decisão foi gerada: quais dados alimentaram o modelo, com qual peso e segundo qual lógica.

Essa é a condição que a ausência de governança de dados torna sistematicamente impossível de cumprir. Quando a empresa não sabe de onde veio o dado que alimentou o modelo, não sabe qual era a qualidade desse dado no momento do treinamento e não tem documentação do ciclo de vida desse dado dentro da organização, ela não tem como responder às perguntas que a regulação já faz.

A ANPD, Autoridade Nacional de Proteção de Dados, tem avançado nessa direção. Em sua agenda regulatória, a autoridade conduziu uma Tomada de Subsídios sobre inteligência artificial e revisão de decisões automatizadas e tem alertado para o risco de discriminação algorítmica. A ANPD exige que empresas realizem o RIPD, Relatório de Impacto à Proteção de Dados, para mapear e mitigar riscos, inclusive vieses, antes que causem danos aos titulares. Organizações que implementam IA sem governança de dados chegam a essa exigência sem a infraestrutura documental mínima para respondê-la.

O terceiro risco: a segurança que ninguém monitorou

O terceiro risco é o que menos aparece nos planos de adoção de IA, e o que mais tende a ser subestimado até que se materialize: o risco de segurança decorrente da falta de controle sobre quais dados a IA acessa e compartilha.

Modelos de IA, especialmente os que operam sobre bases de dados corporativas, acessam informações que atravessam diversas categorias de sensibilidade: dados de clientes, dados financeiros, dados de saúde em alguns setores, dados de colaboradores, informações estratégicas. Sem governança que defina explicitamente quais dados o modelo pode acessar, com qual finalidade, sob quais condições e com quais controles de auditoria, a superfície de exposição cresce na mesma proporção que o uso da tecnologia.

A condição de risco não é a possibilidade teórica de um acesso indevido. É a ausência dos controles que permitiriam detectá-lo. Quando não há governança sobre o ciclo de vida do dado, não há rastreabilidade de quem acessou o quê, quando e para qual finalidade. Não há alerta quando um modelo começa a usar dados para os quais não foi autorizado. Não há mecanismo para identificar que informações sensíveis foram expostas em um output gerado pela IA. A exposição de informações sensíveis, nesse cenário, deixa de ser hipótese e vira questão de tempo.

O que governança de dados realmente é

Governança de dados não é infraestrutura de TI. Esse equívoco é responsável por boa parte do problema, porque faz com que a conversa sobre governança aconteça na esfera técnica, entre equipes de tecnologia, sem chegar à mesa onde as decisões de negócio são tomadas.

Governança de dados é o programa de negócios que define quem responde pelo dado, qual é a qualidade exigida, como ele pode ser usado e por quem. É a estrutura que determina quais dados existem na organização, onde estão, qual é o seu ciclo de vida, quem tem autoridade para alterá-los, quem pode consumi-los e para quais fins. É o alicerce que torna possível responder a três perguntas que qualquer regulador ou cliente pode fazer: de onde veio esse dado? Quão confiável ele era quando foi usado? Quem autorizou esse uso?

Sem esse alicerce, qualquer iniciativa de IA está construída sobre a areia. A metáfora é precisa porque descreve o comportamento da fragilidade: ela não aparece enquanto as condições são favoráveis. Aparece sob pressão, quando a decisão gerada pela máquina precisa ser explicada, auditada ou contestada. É exatamente nesse momento que a ausência de governança, que parecia um detalhe operacional, se revela como um risco de negócio, regulatório e reputacional de primeira ordem.

Perguntas frequentes sobre governança de dados e IA

P: Por que a governança de dados é um pré-requisito para a adoção de IA?

A governança de dados é um pré-requisito para a adoção de IA porque sistemas de inteligência artificial aprendem com os dados que recebem. Se esses dados estão desorganizados, incompletos ou contaminados por vieses, a IA reproduz esses problemas em larga escala, de forma automatizada. Sem governança que defina a qualidade, a origem, o ciclo de vida e as responsabilidades sobre os dados, a organização não tem como garantir que os modelos estão sendo alimentados com informações confiáveis, nem como explicar as decisões geradas por eles quando exigido por reguladores ou titulares.

P: O que o artigo 20 da LGPD exige das empresas que usam IA?

O artigo 20 da LGPD, Lei Geral de Proteção de Dados Pessoais, garante ao titular o direito de solicitar a revisão de decisões tomadas exclusivamente com base em tratamento automatizado de dados pessoais, incluindo decisões que afetem seus interesses profissional, de consumidor e de crédito. Para cumprir essa exigência, a empresa precisa ser capaz de explicar como a decisão foi gerada: quais dados alimentaram o modelo, com qual lógica e com qual qualidade. Organizações sem governança de dados não conseguem atender a esse requisito porque não têm documentação sobre a origem e o ciclo de vida dos dados que alimentam seus modelos.

P: O que é o RIPD e por que a ANPD o exige para sistemas de IA?

O RIPD, Relatório de Impacto à Proteção de Dados, é o documento que mapeia os riscos de uma operação de tratamento de dados pessoais e as medidas adotadas para mitigá-los. A ANPD, Autoridade Nacional de Proteção de Dados, exige o RIPD para operações de alto risco, categoria que inclui decisões tomadas exclusivamente com base em tratamento automatizado de dados pessoais. Para sistemas de IA, o RIPD deve identificar os vieses presentes nos dados de treinamento, as medidas de mitigação adotadas e os mecanismos de revisão disponíveis para os titulares afetados pelas decisões automatizadas.

P: Quais são os três riscos concretos de implementar IA sem governança de dados?

Os três riscos concretos de implementar IA sem governança de dados são: o risco de decisão errada, em que dado desorganizado ou enviesado produz recomendações inconsistentes que escalam em volume com a automação; o risco regulatório, em que a ausência de rastreabilidade dos dados impede o cumprimento do artigo 20 da LGPD, que garante ao titular o direito de revisão de decisões automatizadas; e o risco de segurança, em que a falta de controle sobre quais dados a IA acessa e compartilha cria uma superfície de exposição de informações sensíveis que cresce na mesma proporção que o uso da tecnologia.

P: Qual é a diferença entre governança de dados e infraestrutura de TI?

A diferença entre governança de dados e infraestrutura de TI é que a infraestrutura cuida do ambiente técnico onde os dados estão armazenados e processados, enquanto a governança define as regras de negócio que determinam quem responde pelo dado, qual qualidade é exigida, como ele pode ser usado e por quem. Governança de dados é um programa de negócio, não uma iniciativa técnica. Ela envolve liderança, responsabilidades organizacionais, políticas de uso, critérios de qualidade e mecanismos de auditoria. Sem essa camada de negócio, a infraestrutura tecnológica existe, mas sem os controles que tornam os dados confiáveis para sustentar decisões automatizadas.

P: Como a discriminação algorítmica se origina na ausência de governança de dados?

A discriminação algorítmica se origina na ausência de governança de dados quando modelos de IA são treinados com dados históricos que refletem padrões de desigualdade ou preconceito presentes na sociedade. Sem governança que identifique, documente e mitigue esses vieses nos dados de treinamento, o modelo aprende e reproduz essas distorções de forma automatizada e em larga escala. O resultado são decisões sistematicamente desfavoráveis para grupos específicos, em processos de crédito, contratação, atendimento e risco, sem que a organização tenha mecanismos para detectar o padrão ou corrigi-lo.

A confiança numa decisão de IA vale exatamente o que vale o dado que a gerou. Enquanto as organizações correram para adotar modelos de inteligência artificial, poucas fizeram a pergunta anterior: os dados que alimentam esses modelos são confiáveis o suficiente para sustentar o peso das decisões que serão tomadas com base neles? Construir governança de dados não é desacelerar a adoção de IA. É garantir que a IA cumpra a promessa que justifica o investimento: decisões mais precisas, mais justas e mais defensáveis quando precisarem ser explicadas. Sem esse alicerce, o que a organização constrói não é inteligência artificial. É automação de erro em escala.