Compliance de IA começa por uma pergunta simples que poucas áreas conseguem responder: quais ferramentas de inteligência artificial a empresa usa hoje, com quais dados e para tomar quais decisões. Sem esse inventário, não há o que controlar.
A pressão regulatória já existe. A Autoridade Nacional de Proteção de Dados (ANPD) incluiu “inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais” entre os quatro temas prioritários de 2026 e 2027. Para quem quer aplicar IA no próprio compliance com controle, a solução de inteligência artificial do Ouvidor Digital mostra como manter a decisão final com pessoas.
Resposta direta: governança de IA é o conjunto de regras, responsáveis e registros que define como a empresa usa inteligência artificial. O compliance precisa controlar, no mínimo, o inventário de usos, os dados pessoais envolvidos, as decisões automatizadas sobre pessoas (LGPD, art. 20), os fornecedores de IA, a segurança, o treinamento das equipes e um canal para relatar uso indevido.
Esse controle faz parte do programa de integridade, que deve ser atualizado conforme os riscos atuais da empresa, como pede o parágrafo único do art. 56 do Decreto nº 11.129/2022.
O que é governança de IA?
Governança de IA é a forma como a empresa decide, documenta e supervisiona o uso de sistemas de inteligência artificial. Ela responde quem pode usar, para quê, com quais dados, com que revisão humana e como os erros são corrigidos.
Na prática, ela junta compliance, jurídico, segurança da informação, RH e as áreas que usam IA. O compliance costuma ser o ponto de coordenação porque já cuida de políticas, riscos, treinamento e canal de denúncias.
Por que o compliance de IA virou prioridade?
O compliance de IA virou prioridade porque a IA já trata dados pessoais e influencia decisões sobre pessoas, dois temas que a fiscalização acompanha de perto. O Mapa de Temas Prioritários da ANPD para 2026-2027 (Resolução nº 30, de dezembro de 2025) coloca a IA ao lado de direitos dos titulares, proteção de crianças e adolescentes e tratamento de dados pelo Poder Público.
Uma lei geral de IA segue em discussão. Segundo o portal do Congresso Nacional, o PL 2338/2023 concluiu a fase no Senado e foi remetido à Câmara dos Deputados. Enquanto isso, a LGPD já se aplica a qualquer sistema de IA que trate dados pessoais.
Quais controles mínimos o compliance precisa ter sobre IA?
O compliance precisa de controles que cubram dados, decisões, fornecedores e pessoas. A tabela resume o mínimo e a base de cada um.
| Controle | O que verificar | Base |
|---|---|---|
| Inventário de usos | Ferramentas em uso, área responsável, finalidade e dados envolvidos | LGPD, art. 37 (registro das operações de tratamento) |
| Dados pessoais | Base legal, minimização e se dados sensíveis entram na ferramenta | LGPD, art. 6º |
| Decisões automatizadas | Quais decisões sobre pessoas a IA toma ou influencia e onde há revisão humana | LGPD, art. 20 |
| Transparência | Capacidade de explicar critérios e procedimentos quando o titular pedir | LGPD, art. 20, § 1º, e art. 6º, VI |
| Avaliação de impacto | Relatório de impacto à proteção de dados para usos de maior risco | LGPD, art. 38 |
| Segurança e acesso | Controle de acesso, registros de uso e proteção contra vazamento | LGPD, art. 46 |
| Fornecedores de IA | Uso dos dados para treinar modelos, localização, subcontratação e cláusulas | Decreto 11.129/2022, art. 57, XIII |
| Política e treinamento | Regras de uso aceitável e capacitação das equipes | Decreto 11.129/2022, art. 57, IV |
| Canal para relatar uso indevido | Categoria no canal de denúncias para mau uso de IA ou de dados | Decreto 11.129/2022, art. 57, X |
| Prestação de contas | Evidências de que as medidas existem e funcionam | LGPD, art. 6º, X |
A diligência sobre fornecedores de IA segue a mesma lógica da avaliação de qualquer terceiro, tema do conteúdo sobre due diligence de terceiros.
Como tratar decisões automatizadas sobre pessoas?
Decisões tomadas unicamente por tratamento automatizado de dados pessoais dão ao titular o direito de pedir revisão, pelo art. 20 da Lei Geral de Proteção de Dados (LGPD). Isso inclui decisões que definem perfil pessoal, profissional, de consumo ou de crédito.
O controlador deve fornecer, quando solicitado, informações claras sobre os critérios e procedimentos usados, respeitados os segredos comercial e industrial (§ 1º). Se não fornecer, a ANPD pode fazer auditoria para verificar aspectos discriminatórios (§ 2º).
Para o compliance, o recado prático é mapear onde a IA decide sobre pessoas (triagem de currículos, avaliação de desempenho, concessão de crédito) e garantir revisão humana documentada nesses pontos.
Como aplicar governança na IA usada pelo próprio compliance?
A IA do próprio compliance precisa seguir as mesmas regras que o compliance cobra das outras áreas. Isso vale em especial para o canal de denúncias, que trata relatos sensíveis.
No canal, a IA pode conduzir o registro, resumir, anonimizar e sugerir enquadramento, mas a decisão sobre procedência e medidas fica com pessoas. O passo a passo está no conteúdo sobre triagem de denúncias com IA. Para os critérios de escolha de fornecedor, veja o guia de IA no compliance em 2026, e para um exemplo de divisão entre IA e equipe, o case de agentes de IA no compliance.
Como o Ouvidor Digital aplica IA com governança?
O Ouvidor Digital aplica IA dentro da plataforma, com regras de uso de dados e responsabilidade final humana. Segundo o próprio Ouvidor Digital:
- Modelos: a solução combina modelo proprietário com modelos generativos e não generativos de provedores como Google e OpenAI, acessados por API, reunidos no primeiro assistente de compliance com IA.
- Uso de dados: os provedores usados via API não utilizam os dados enviados para melhorar seus produtos, e a plataforma não compartilha informações sensíveis fornecidas pelos usuários.
- Responsabilidade humana: a responsabilidade final recai sobre as pessoas, que avaliam, certificam e ponderam as informações geradas pela IA.
- Segurança: certificações ISO 27001, 27017 e 27018, autenticação em dois fatores e controle de acesso restrito aos dados.
- Canal para relatar mau uso: o canal de denúncias recebe relatos 24h por web, 0800 e WhatsApp, inclusive sobre uso indevido de IA e de dados.
A plataforma apoia o processo; a política de IA, as decisões e a prestação de contas continuam sendo da empresa.
Perguntas frequentes
O que é compliance de IA?
Compliance de IA é o conjunto de controles que garante que o uso de inteligência artificial pela empresa respeite leis, políticas internas e padrões éticos. Inclui inventário de usos, proteção de dados pessoais, revisão humana de decisões automatizadas, avaliação de fornecedores e treinamento das equipes.
Existe lei de IA em vigor no Brasil?
O PL 2338/2023, que propõe regras gerais para IA, concluiu a fase no Senado e foi remetido à Câmara dos Deputados, segundo o portal do Congresso Nacional. Independentemente dele, a LGPD já se aplica a sistemas de IA que tratem dados pessoais.
O que diz o art. 20 da LGPD sobre decisões automatizadas?
O art. 20 garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. O controlador deve informar, quando solicitado, os critérios e procedimentos usados, e a ANPD pode auditar aspectos discriminatórios.
A ANPD fiscaliza o uso de IA?
A ANPD incluiu “inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais” entre os temas prioritários de 2026 e 2027, definidos na Resolução nº 30/2025. O foco é o tratamento de dados pessoais em sistemas de IA.
Por onde começar a governança de IA na empresa?
Comece pelo inventário: quais ferramentas de IA estão em uso, por quais áreas, com quais dados e para quais decisões. Depois defina política de uso, responsáveis, revisão humana, critérios para fornecedores, treinamento e uma categoria no canal de denúncias para relatar uso indevido.
Para usar IA no compliance com decisão final humana, conheça a Inteligência Artificial do Ouvidor Digital.
