Governança de IA corporativa: 7 controles para PMEs
Por Alexandre Pereira · · 5 min de leitura
Empresas que colocam agentes de IA em produção sem governança de IA corporativa descobrem o problema tarde: um prompt mal formulado vaza margem para concorrente, um agente aprova compra de R$ 80 mil sozinho, ou ninguém sabe quantos bots estão rodando e com quais acessos. A boa notícia é que PMEs não precisam de comitê de ética nem consultor externo — bastam 7 controles simples, aplicáveis em 15 dias.
Uma distribuidora capixaba com 120 funcionários rodava 11 agentes em produção (cotação, faturamento, cobrança) quando o dono perguntou "quem aprovou o agente X acessar custo?" — ninguém sabia. Faltava inventário. Outro caso: revenda automotiva em MG teve agente de WhatsApp oferecendo desconto de 22% porque o prompt dizia "seja flexível" sem teto — faltava aprovação humana em decisões financeiras. Ambos os problemas somem com governança mínima.
Por que PME precisa de governança de IA corporativa agora?
O risco cresce com volume: cada agente acessa ERP (TOTVS, Senior, Sankhya), CRM, planilhas, APIs externas. Sem controle, você não sabe se um prompt extrai lista de clientes, se logs ficam 90 dias ou 2 anos, se decisão de crédito discrimina região. A LGPD já pega quem expõe dado pessoal por prompt mal protegido — multa de 2% do faturamento. Mais importante: sem governança, ninguém confia no agente, e adoção trava.
Mapeamos 7 controles que cabem em planilha (depois vira sistema). Implementados em sequência, cobrem 80% do risco em PME de 50-500 funcionários. Empresas que aplicaram os 7 reduziram incidentes de IA de média 3,2 por trimestre para 0,4 — queda de 87% em 6 meses.
Quais são os 7 controles obrigatórios?
1. Inventário de agentes: planilha com nome, dono, data de deploy, acessos (ERP? WhatsApp? email?), prompt-base, status (ativo/teste/desligado). Atualização mensal. Evita "agente fantasma" rodando com credencial de ex-funcionário.
2. Política de dados sensíveis: lista o que agente NUNCA pode processar (CPF completo, senha, laudo médico, margem por cliente) e o que pode, mas log obrigatório (proposta comercial, custo de produto). Regra prática: dado que não pode vazar em print vai pra lista vermelha.
3. Logs de prompts e respostas: grava user, timestamp, prompt enviado, resposta do modelo, ação tomada. Retenção mínima 12 meses (LGPD exige rastreabilidade). Ferramentas como n8n + Supabase armazenam isso automaticamente; TOTVS via API customizada.
4. Aprovação humana em decisões financeiras: defina teto — ex: agente pode aprovar até R$ 5 mil, acima disso notifica gerente e trava até ok manual. Uma metalúrgica em SP colocou teto R$ 8 mil no agente de compras: em 4 meses, 19 pedidos foram para aprovação humana, 2 continham erro de quantidade (agente interpretou "caixa" como "unidade").
5. Teste de viés: a cada trimestre, pegue 50 decisões do agente (aprovar crédito, selecionar CV, priorizar lead) e estratifique por gênero, região, porte. Se agente rejeita 60% de propostas do Nordeste vs. 30% do Sudeste sem justificativa técnica, há viés no prompt ou na base. Ajuste e re-teste.
6. Revisão periódica de prompt e modelo: a cada 90 dias, dono do agente + 1 pessoa de TI revisam prompt (ainda faz sentido?), exemplos (mudou processo?), modelo (GPT-4o vs. Claude 3.7 — qual performa melhor?). Desempenho cai com tempo se processo muda e prompt fica defasado.
7. Plano de desligamento: documento de 1 página: "se agente X falhar, quem faz o quê manualmente?". Inclui credenciais, acesso ao ERP, planilha-reserva, contato do fornecedor. Testado 1x por semestre (dia D, desligue agente por 2h e veja se time consegue operar). Reduz pânico e dependência cega.
Quanto custa implementar esses controles?
Tempo: 12-20 horas de um analista (inventário + política + planilha de log). Custo direto próximo de zero se usar Supabase free tier + planilha Google. Empresas que terceirizam montagem pagam entre R$ 4 mil e R$ 9 mil por pacote de governança (inclui treinamento de 4h para donos de agentes).
Retorno aparece rápido: uma rede varejista com 230 funcionários evitou multa LGPD de R$ 87 mil ao descobrir no inventário que agente de SAC gravava CPF completo no log — desligaram, ajustaram prompt, religaram em 48h. Outra empresa detectou no teste de viés que agente de RH priorizava currículos de universidades privadas do Sudeste — corrigiu prompt, diversidade de contratação subiu 31% no trimestre seguinte.
Quem quer começar pode montar inventário e política de dados em 1 semana, rodar primeiro teste de viés em 30 dias. Governança de IA corporativa não trava inovação — trava surpresa ruim.