A incorporação acelerada da Inteligência Artificial está mudando o papel da governança. Em vez de barrar ferramentas já presentes na rotina dos colaboradores, a Segurança precisa criar condições para um uso controlado e responsável, acompanhando a inovação sem perder de vista os riscos para os dados e para o negócio.
“É muito complexo falarmos de inteligência artificial e governança sem antes governar, conhecer e classificar os nossos dados, ou sem entender o risco que cada informação carrega”, afirmou Wellington Capitani, Head de Segurança da Informação da ZAMP. A fala resume um fundamento da discussão: não há governança de IA sem conhecer as informações acessadas por modelos e agentes.
O movimento de adoção, como discutido no programa da TV Security em parceria com a Delphix, avançou de fora para dentro das organizações, impulsionado pelas áreas de negócio e pelos ganhos de produtividade. Nesse cenário, proibir não elimina o uso: pode apenas empurrá-lo para ferramentas pessoais, fora do ambiente corporativo e dos mecanismos de supervisão. Ao restringir sem oferecer alternativas seguras, a empresa corre o risco de abdicar justamente do controle que pretende preservar.
Emerson Cardoso, CISO da CPFL Energia, contou que também chegou a considerar o bloqueio, até experimentar na prática o potencial da tecnologia. “Em um feriado, diante da ausência de uma pessoa responsável por apresentações, utilizei a IA e produzi oito materiais em um dia. Essa experiência mudou a pergunta: em vez de impedir o uso, como liberar a tecnologia de forma segura?”, disse o executivo. A resposta passou por uma jornada de conscientização, envolvimento de Compliance e Privacidade e disponibilização de ferramentas corporativas aprovadas.
Controles que acompanham o uso
Na CPFL, a governança inclui mecanismos para interromper operações em situações de risco, gestão de credenciais dos agentes e envio de registros ao SOC. A companhia também avalia os diferentes níveis de capacidade das ferramentas, reconhecendo que modelos e agentes mais avançados podem exigir controles proporcionais aos riscos que representam.
Na ZAMP, a experiência reforçou que essa agenda não pode ficar restrita à Segurança ou à TI. A governança é uma transformação empresarial e precisa envolver áreas de negócio, arquitetura, dados e segurança, com decisões alinhadas às necessidades reais da operação. Capitani relatou que a companhia optou por habilitar ferramentas como Copilot e outras soluções conforme os usos de cada equipe, em vez de impor uma única opção para toda a organização.
A ZAMP adota diretrizes comuns, adaptadas às particularidades de suas marcas e áreas. Construída de forma multidisciplinar, a política precisa se traduzir em orientações práticas para os colaboradores. A conscientização, nesse contexto, é parte do próprio processo de governança: as pessoas precisam compreender o que podem fazer, quais dados podem compartilhar e quais riscos devem evitar.
Dados, custos e autonomia sob avaliação
O controle também envolve acompanhar o consumo de recursos. Cardoso trouxe que, na CPFL, o uso de tokens considera limites, justificativa de negócio, avaliação em comitê e monitoramento financeiro. A intenção é evitar que modelos mais caros sejam utilizados em tarefas simples e garantir que o investimento esteja relacionado a uma necessidade concreta.
Com a expansão dos agentes de IA, outro desafio é definir até onde vai sua autonomia. Capitani avalia que tarefas reversíveis podem ser delegadas, desde que exista a possibilidade de retornar a um estado anterior. Já decisões irreversíveis exigem revisão humana, pois o nível de autonomia precisa considerar o risco e o impacto da ação.
A discussão evidencia que governar a IA não significa apenas autorizar ou bloquear ferramentas, exige conhecer os dados, definir responsabilidades, adequar controles aos diferentes usos, acompanhar custos e estabelecer limites para a autonomia dos agentes. Em um ambiente no qual a adoção já acontece, a Segurança depende menos da proibição e mais da capacidade de orientar, monitorar e manter o controle.
