Existe um padrão que se repete nas empresas brasileiras em 2026: a política de uso de inteligência artificial existe, foi aprovada pela direção, está no portal do RH — e ninguém consegue provar que ela está sendo seguida. O documento descreve um comportamento; o ambiente não obriga nenhum.
Governança de IA é exatamente a distância entre esses dois pontos. Não é o texto da política: é o conjunto de mecanismos que faz o texto valer, deixa rastro do que aconteceu e avisa quando algo saiu da regra.
As quatro perguntas que definem se existe governança
Antes de discutir ferramenta, vale responder quatro perguntas. Elas medem maturidade melhor do que qualquer checklist:
- Quem está usando IA na sua empresa hoje? Se a resposta depende de perguntar de mesa em mesa, não há inventário.
- Que dado já saiu da empresa dentro de um prompt? Se não há registro, a resposta honesta é "não sabemos".
- Quando alguém viola a política, o que acontece? Se a resposta é "descobrimos depois, se descobrirmos", o controle é retroativo.
- Se um cliente ou auditor pedir evidência amanhã, o que você entrega? Se a resposta é uma política em PDF, você tem documentação, não evidência.
Empresas que respondem bem às quatro raramente chegaram lá por acaso. Chegaram porque trataram governança como camadas, e não como um documento.
Camada 1 — Inventário: enxergar o que já acontece
Toda implantação séria começa mapeando o uso que já existe, inclusive o não aprovado. É a etapa que produz a maior surpresa: assinaturas individuais no cartão de crédito, chaves de API na conta pessoal de um desenvolvedor, extensões de navegador instaladas por conta própria, ferramentas contratadas por uma área sem passar pelo TI.
Definir política antes de enxergar o uso real produz um documento que não descreve a empresa — e que por isso será ignorado. O inventário também revela algo útil: a necessidade que levou cada pessoa a buscar a ferramenta por fora. Essa necessidade costuma ser o melhor candidato a primeiro caso de uso oficial.
Camada 2 — Política: decidir antes, não durante
A política responde a perguntas que ninguém deveria ter que decidir sozinho no meio de um prompt. Quais dados nunca saem da empresa. Quais casos exigem revisão humana obrigatória antes de a resposta virar ação. Quem aprova exceção. O que acontece com o que o modelo devolve.
Um detalhe importa mais do que parece: a política precisa ser diferente por equipe e por projeto. Um time que lida com dado de saúde ou com informação financeira de cliente opera sob restrição mais dura que um time de protótipo interno. Política única e genérica é sempre calibrada pelo caso mais restritivo — e aí ela vira obstáculo, as pessoas contornam, e você volta ao ponto de partida com uma camada de burocracia a mais.
Camada 3 — Aplicação: a regra roda antes do envio
É aqui que a maioria das empresas para. Escrever a regra é barato; aplicá-la exige que algo se coloque entre a pessoa e o modelo.
Na prática, isso significa validar a solicitação antes que ela chegue ao provedor de IA: combinar palavra-chave, contexto e a política daquela equipe para bloquear o envio na origem, avisar o time de segurança e registrar o evento. A diferença em relação a treinar e torcer é grande — o controle deixa de depender de a pessoa lembrar da regra no momento em que está com pressa.
A validação também vale para o caminho de volta. O que o modelo devolve pode precisar seguir um formato corporativo, passar por checagem de conformidade ou ser marcado como conteúdo gerado por IA antes de virar documento.
Camada 4 — Evidência: o registro nasce do fluxo
Auditoria não aceita "confiamos no time". Ela pede registro: qual prompt foi enviado, o que voltou, quem enviou, quando, sob qual regra, e o que aconteceu quando a regra bloqueou.
O ponto crítico é que esse registro precisa nascer do fluxo, não de um processo paralelo que alguém precisa lembrar de alimentar. Trilha que depende de disciplina humana falha exatamente no dia em que é necessária.
Camada 5 — Adoção: medir uso, não acesso
Governança que só restringe morre por abandono. A camada final é acompanhar se as pessoas realmente incorporaram a ferramenta ao trabalho — e distinguir quem adotou de quem apenas recebeu acesso.
Esse número também é um sinal de governança. Quando o uso oficial cai e o shadow AI cresce, quase sempre a política ficou restritiva demais para o trabalho real. É informação para ajustar a regra, não para punir a pessoa.
O erro mais comum: começar pela ferramenta
Muita empresa compra a plataforma antes de saber o que quer controlar. O resultado é uma ferramenta cara aplicando regras genéricas que ninguém discutiu — e que, na primeira fricção, é desligada "temporariamente".
A ordem que funciona é a inversa: inventário, política, aplicação, evidência, adoção. A ferramenta entra na terceira camada, quando já existe uma regra concreta para aplicar.
O que a NOBUG faz nessa frente
A área de IA da NOBUG cobre o ciclo: implantação conduz do inventário ao rollout com auditoria ligada; o NOBUG STUDIO é a camada que aplica a política no pré-envio, produz a trilha e dispara os alertas, governando Claude, ChatGPT, Gemini e Copilot no mesmo lugar; treinamentos fazem a regra chegar a quem usa; e o licenciamento coloca as licenças em contrato brasileiro com controle de acesso.
A postura da própria NOBUG sobre tratamento de dados está documentada no Trust Center — a mesma exigência de evidência que recomendamos aos clientes.
