As empresas correram para adotar inteligência artificial antes de definir quem responde por ela. A conta dessa pressa começa a aparecer e envolve dados pessoais, decisões automatizadas, segurança da informação e responsabilidade corporativa
A adoção de inteligência artificial pelas empresas brasileiras seguiu um roteiro conhecido de toda grande transformação tecnológica: primeiro veio o entusiasmo, depois a corrida pela implementação e, só agora, começa a ganhar força uma pergunta que deveria ter surgido antes: quem responde quando a IA erra?
Na visão da RZ3, é justamente no intervalo entre a adoção acelerada da tecnologia e a criação de mecanismos adequados de governança que pode estar se formando um dos maiores passivos corporativos da próxima década.
O problema não está na inteligência artificial em si. Está na ausência de governança em torno dela.
Ferramentas de IA foram incorporadas a áreas sensíveis (por exemplo, recursos humanos, jurídico, fiscal, financeiro, atendimento e comercial) sem que muitas organizações tenham definido claramente quem pode utilizá-las, quais informações podem ser processadas, quem aprova seu uso, quem audita seus resultados e como eventuais erros devem ser identificados e corrigidos.
A velocidade dessa incorporação aparece nos números. Segundo a PINTEC Semestral, do IBGE (Instituto Brasileiro de Geografia e Estatística), a parcela de indústrias com 100 ou mais empregados que utilizam inteligência artificial saltou de 16,9% em 2022 para 41,9% em 2024, e as áreas de administração (87,9%) e comercialização (75,2%) lideram o uso. Considerando empresas de todos os portes, a pesquisa TIC Empresas 2025, do Cetic.br (Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação), aponta que 17% das companhias brasileiras utilizaram aplicações de IA, ante 13% na edição anterior.
A inteligência entrou na operação mais rápido do que a estrutura capaz de governá-la.
IA, dados pessoais e LGPD
O encontro entre inteligência artificial e proteção de dados é um dos pontos mais sensíveis dessa discussão.
Sistemas de IA podem processar grandes volumes de informações, inclusive dados pessoais e, dependendo da aplicação, dados pessoais sensíveis. Quando esse tratamento ocorre sem adequada definição de finalidade, hipótese legal, transparência, segurança e controles de acesso, a organização pode aumentar significativamente sua exposição regulatória.
A LGPD (Lei Geral de Proteção de Dados) já estabelece direitos relacionados às decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem os interesses dos titulares, além de impor princípios e obrigações aos agentes de tratamento.
Portanto, mesmo antes da conclusão de um marco legal brasileiro específico para inteligência artificial, IA não significa território sem regulação.
A fiscalização também já tem o tema no radar. Em dezembro de 2025, a ANPD (Agência Nacional de Proteção de Dados) aprovou o Mapa de Temas Prioritários para o biênio 2026-2027, por meio da Resolução CD/ANPD nº 30/2025, com previsão de 75 ações de fiscalização e, pela primeira vez, um eixo dedicado à inteligência artificial e às tecnologias emergentes no tratamento de dados pessoais. Em paralelo, a agência trabalha na regulamentação do direito à revisão de decisões automatizadas, previsto no artigo 20 da LGPD, tema que integra sua Agenda Regulatória 2025-2026.
Dependendo de como a tecnologia é utilizada, normas de proteção de dados, relações de consumo, relações trabalhistas, responsabilidade civil, propriedade intelectual, segurança da informação e regras setoriais podem continuar plenamente aplicáveis.
O risco humano nos recursos humanos
Em recursos humanos, o risco ganha contornos ainda mais delicados.
Modelos utilizados para triar currículos, avaliar desempenho, recomendar candidatos ou apoiar decisões relacionadas a pessoas podem reproduzir vieses existentes nos dados utilizados em sua construção ou operação.
E existe um agravante: muitas vezes esses vieses são difíceis de identificar e explicar posteriormente.
Quando uma decisão capaz de afetar a carreira de uma pessoa recebe influência relevante de um sistema cujo funcionamento a própria organização não consegue compreender, documentar ou auditar adequadamente, surge um problema simultaneamente ético, jurídico e de governança.
Automatizar uma decisão não elimina a necessidade de governá-la.
Na área fiscal, o erro também ganha escala
Na frente fiscal e tributária, a IA aplicada à classificação, apuração, análise e cruzamento de informações pode proporcionar enormes ganhos de produtividade.
Mas existe o outro lado da equação.
Um erro humano normalmente acontece individualmente. Um erro incorporado a um processo automatizado pode ser reproduzido centenas ou milhares de vezes antes de ser percebido.
O ganho de escala da tecnologia também pode se transformar em ganho de escala do erro.
Por isso, utilizar inteligência artificial em processos fiscais não elimina a necessidade de controles, validação, rastreabilidade e revisão compatíveis com a relevância da operação.
No jurídico, o perigo pode estar na confiança
No jurídico, ferramentas capazes de redigir documentos, revisar contratos, pesquisar informações e analisar processos introduzem outro risco: a confiança excessiva.
Quanto melhor a tecnologia parece funcionar, maior pode ser a tentação de reduzir a revisão humana.
É justamente aí que nasce parte do risco.
A IA pode ser uma extraordinária ferramenta de apoio ao profissional. Mas sua utilização exige critérios de validação, confidencialidade, segurança e responsabilização compatíveis com a informação processada e com a relevância da decisão.
IA deve ampliar a capacidade humana, não eliminar o controle humano onde ele é necessário.
O risco invisível: Shadow AI
Existe ainda um risco que muitas empresas nem sequer sabem que possuem: o shadow AI.
O termo descreve o uso de ferramentas de inteligência artificial por colaboradores ou áreas da organização sem conhecimento, aprovação, homologação ou controle adequado da empresa.
Um colaborador insere uma planilha de clientes em uma ferramenta pública.
Outro utiliza documentos internos para produzir uma apresentação.
Uma área envia contratos para uma IA não homologada.
Outra passa a tomar decisões apoiada por um modelo que nem sequer consta no inventário tecnológico da organização.
Individualmente, essas ações podem parecer pequenas. Em conjunto, criam uma superfície de risco que a empresa não consegue administrar simplesmente porque não sabe que ela existe.
É a nova geração do chamado shadow IT, agora potencializada pela capacidade da IA de receber, processar, armazenar e inferir informações em enorme escala.
Pesquisas recentes mostram que o comportamento está longe de ser pontual. Um levantamento internacional da PagerDuty, divulgado em junho de 2026 com 1.250 profissionais, revelou que 66% já haviam usado ferramentas de IA que acreditavam ser proibidas pela empresa, e 88% disseram ter compartilhado informações de trabalho em ferramentas públicas, como mensagens, anotações de reuniões e dados de clientes.
Quando um descuido desse tipo envolve dados pessoais, a conta também passa pelo regulador. Pela Resolução CD/ANPD nº 15/2024, incidentes de segurança que possam acarretar risco ou dano relevante aos titulares devem ser comunicados à ANPD em até três dias úteis. Entre julho de 2023 e junho de 2025, a agência registrou 723 comunicações de incidentes de segurança e recebeu 9.629 denúncias e petições de titulares de dados, volume 1.840,9% maior que o do ciclo anterior, segundo seu Relatório de Ciclo de Monitoramento.
Governar não significa impedir
A resposta para esse cenário não é frear a inteligência artificial.
É exatamente o contrário.
Empresas que criarem uma estrutura adequada de governança poderão utilizar IA de maneira mais intensa, mais segura e potencialmente mais competitiva.
Isso passa por identificar onde a IA já está sendo utilizada; classificar os riscos de cada aplicação; definir ferramentas autorizadas; estabelecer políticas de uso; controlar o tratamento de dados pessoais e informações confidenciais; definir responsáveis; manter registros e evidências; estabelecer mecanismos de revisão; treinar colaboradores; e determinar em quais situações a decisão humana deve permanecer obrigatória.
A supervisão sobre IA também já saiu do papel. No mesmo período, a ANPD fiscalizou o uso de dados pessoais no treinamento de modelos de inteligência artificial generativa e, por medida preventiva, determinou a interrupção do uso de dados de crianças e adolescentes nesse treinamento. Fiscalizações desse tipo exigem que a empresa demonstre, com registros e evidências, como a tecnologia é usada, o que depende de governança operacional estruturada.
O Brasil ainda discute a construção de um marco legal mais abrangente para inteligência artificial. Mas esperar a legislação ficar pronta para começar a governar a tecnologia pode ser um erro.
O PL 2338/2023, que institui o marco legal da inteligência artificial, foi aprovado pelo Senado em dezembro de 2024 e, desde abril de 2025, aguarda parecer em comissão especial da Câmara dos Deputados, sem votação concluída até outubro de 2026.
A exposição já existe.
A tecnologia já está dentro das empresas.
Os dados já estão sendo processados.
E as decisões já estão sendo tomadas.
A inteligência artificial bem governada pode ser uma extraordinária vantagem competitiva. Mal governada, pode se transformar em um passivo que ninguém percebeu que estava construindo, até o momento em que a conta chega.
Por isso, a pergunta que todo conselho de administração, CEO, CFO, diretor jurídico e responsável por tecnologia deveria fazer hoje não é mais: “Nossa empresa vai usar inteligência artificial?”
A pergunta é: “Quem, dentro da nossa organização, governa a inteligência artificial que já estamos usando?”
