Como montar um comitê de governança de IA no board: estrutura, papéis e cadência

“Precisamos de governança de IA” virou frase de reunião de board. O problema é que quase ninguém sai dessa reunião com resposta para as perguntas que realmente importam: quem senta na mesa, quem decide o quê, e com que frequência isso acontece.

Sem essas respostas, “governança de IA” vira slide de intenção, não estrutura de decisão. Este guia é o passo estrutural: como montar o comitê, não apenas declarar que ele deveria existir.

Por que “o CISO cuida disso” não é a mesma coisa que ter um comitê

Em muitas empresas, o CISO já assumiu parte informal da responsabilidade sobre risco de IA. Isso é bom, mas não substitui um comitê formal. O CISO executa a governança técnica — mas quem decide orçamento, escopo entre áreas e autoridade de contenção em crise precisa ser uma instância acima disso, com representação de negócio, não só de segurança.

Sem esse comitê, a responsabilidade fica fragmentada entre times técnicos, áreas de produto e donos de aplicações — exatamente o padrão que discutimos em Segurança digital para executivos: o que o board precisa saber, onde apenas cerca de 16% das empresas brasileiras têm um CISO dedicado — e menos ainda têm uma instância formal acima dele para decisões de IA.

Quem senta na mesa: composição mínima

Empresas maiores podem incluir um representante de RH (para casos de uso envolvendo decisões sobre pessoas) e um de auditoria interna. O ponto não é o tamanho do comitê — é que nenhuma cadeira essencial fique de fora, porque cada uma cobre um tipo de risco que as outras não enxergam sozinhas.

O que o comitê decide — e o que ele delega

Comitê que revisa todo agente de IA individualmente não escala e vira gargalo. A estrutura que funciona separa por categoria de risco:

• Revisão direta do comitê: sistemas que acessam dados sensíveis, tomam decisões financeiras ou afetam clientes diretamente sem revisão humana.
• Aprovação delegada a processo padronizado: automações internas de baixo risco, sem acesso a dados sensíveis, com checklist pré-aprovado pelo comitê.
• Escalada obrigatória: qualquer incidente ou comportamento inesperado de agente de IA em produção volta imediatamente ao comitê, independente da categoria original.

Governança e Escala em IA: Para evitar gargalos, comitês eficientes categorizam agentes por risco. Projetos críticos (alto risco) exigem aprovação direta, automações internas (baixo risco) seguem checklists padronizados e qualquer desvio em produção aciona uma escalada imediata ao comitê.

Esse desenho evita o extremo oposto do problema descrito em Como escolher uma consultoria de tecnologia: burocracia que trava inovação porque tudo precisa de aprovação de comitê, mesmo o que é claramente de baixo risco.

Cadência: mensal, com gatilho para reunião extraordinária

Reunião trimestral é tarde demais para o ritmo de adoção de IA atual. A cadência que funciona é mensal para revisão de novos casos de uso, riscos emergentes e métricas de uso — mais uma reunião extraordinária imediata sempre que:

• Um novo sistema de IA crítico for proposto para produção;
• Um incidente de segurança ou comportamento inesperado for identificado;
• Uma mudança regulatória relevante (LGPD, setorial) afetar o uso de IA já em produção.

O documento que sustenta o comitê: o charter de governança

Sem um documento formal, o comitê vira reunião informal que qualquer área pode ignorar. O charter mínimo deve responder: quais categorias de sistemas exigem revisão antes do deploy, quais dados não podem ser expostos a agentes autônomos sem aprovação explícita, quais são os critérios de escalada para incidentes, e quem tem autoridade real para desligar um agente em cenário de crise.

Como isso se conecta à maturidade digital da empresa

Empresas com governança fragmentada de IA tendem a ser as mesmas que aparecem nos dados de maturidade digital estagnada que já discutimos: o quesito de governança e cultura organizacional do ITDBr recuou de 55% para 49% entre 2023 e 2024, exatamente enquanto a adoção de IA generativa saltava de 20% para 51%. Comitê formal é uma das poucas ações estruturais que endereça diretamente esse descompasso.

Perguntas frequentes

Quem deve participar do comitê de governança de IA no board?

No mínimo: um representante do C-level com autoridade orçamentária (CEO, CDO ou CTO), o CISO ou responsável por segurança, jurídico/compliance, e um representante técnico que entenda os sistemas de IA em produção.

Com que frequência o comitê de governança de IA deve se reunir?

Cadência mensal para revisão de novos casos de uso e riscos emergentes, com reunião extraordinária imediata sempre que um novo sistema de IA crítico for proposto para produção ou um incidente for identificado.

Qual a diferença entre esse comitê e a responsabilidade do CISO sobre IA?

O CISO frequentemente já responde por parte do risco de IA, mas isso não substitui um comitê formal: o comitê define escopo, orçamento e autoridade de decisão entre áreas, enquanto o CISO executa a governança técnica dentro desse escopo definido.

O comitê precisa aprovar cada agente de IA individualmente?

Não é prático nem necessário para todo caso de baixo risco. O comitê deve definir categorias de risco e delegar aprovação de casos rotineiros a um processo padronizado, reservando revisão direta para sistemas que acessam dados sensíveis ou tomam decisões críticas.

O que acontece se a empresa não tiver esse comitê formalizado?

A responsabilidade sobre risco de IA fica fragmentada entre times técnicos, produto e áreas de negócio, sem visão integrada — o cenário que mais favorece incidentes de shadow AI e agentes sem dono declarado.

Governança que existe só no discurso não é governança

É risco não gerenciado com um nome mais bonito. A diferença entre as duas coisas é composição definida, cadência real e um documento que sobrevive à próxima reunião de board.

Se isso faz sentido para o momento que você está vivendo, a nossa Strategy Session é o próximo passo.