Governança de IA: 41,9% das empresas brasileiras operam sem política escrita
Por Nadelson Costa Nogueira Júnior ·
“O Brasil lidera o uso corporativo de inteligência artificial no mundo e, ao mesmo tempo, mantém quatro em cada dez empresas sem qualquer política formal de governança para a tecnologia. Os dois fatos convivem sem contradição — e é essa convivência, não a lacuna legislativa, que define o risco real.”
Em 2024, 76,5% das organizações brasileiras operavam sem política formal de governança de inteligência artificial. Em 2025, 51,6%. Em 2026, 41,9%.
A série é da terceira edição do Panorama da IA no Brasil, levantamento da Zappts realizado no primeiro semestre de 2026 com 167 executivos de tecnologia, inovação e negócios em cargos de liderança. O avanço é real: a fatia sem regra escrita caiu 34,6 pontos percentuais em dois anos. E ainda assim quatro em cada dez empresas seguem sem nada.
Outros 29,3% declaram ter iniciativas em desenvolvimento. Apenas 26,9% se dizem totalmente estruturadas. E 55% operam sem uma camada centralizada de controle sobre o uso da tecnologia.
O enquadramento que costuma ser usado está errado
A discussão sobre governança de IA quase sempre chega ao mesmo formato: a tecnologia pode ser ativo ou passivo, e o que separa os dois é a governança. É uma formulação confortável, porque trata o risco como possibilidade futura condicionada a uma decisão que a empresa ainda vai tomar.
Os números desfazem esse conforto. O risco não está no horizonte: é o estado atual de 41,9% das empresas, num mercado que já colocou agentes em produção.
Quem opera IA sem política escrita não está diante de um perigo que depende de escolha futura. Está acumulando hoje duas exposições verificáveis — e nenhuma delas depende da aprovação de qualquer projeto de lei.
A primeira exposição já é exigível desde 2020
O art. 20 da Lei Geral de Proteção de Dados assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. O dispositivo está em vigor desde setembro de 2020.
Não é uma faculdade do controlador. É direito do titular, com pedido que precisa ser respondido.
E há um agravante temporal. O Mapa de Temas Prioritários da ANPD para o biênio 2026-2027, publicado em dezembro de 2025, define quatro eixos de fiscalização — entre eles, expressamente, "inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais". Não é mais debate sobre regulação futura: é agenda de fiscalização em curso, com o órgão que aplica a LGPD.
As sanções da LGPD vão até 2% do faturamento da pessoa jurídica no último exercício, limitadas a R$ 50.000.000 por infração, além de advertência, publicização da infração e bloqueio dos dados. A combinação de multa com publicização é o que costuma pesar mais na decisão de estrutura — o dano reputacional de uma infração publicizada tende a exceder o valor da multa.
A segunda exposição é a ausência de registro
O direito à revisão só funciona se alguém conseguir explicar a decisão. E é aqui que a maior parte das empresas descobre o problema: o modelo decidiu, mas ninguém documentou por quê.
Um sistema treinado com dado desbalanceado produz resultado preciso na média e errado em grupos específicos. Sem registro de teste por grupo, a empresa não sabe quais grupos são esses. Sem trilha de decisão, não consegue responder a contestação. Sem documentação do modelo, não sustenta a defesa de que agiu com diligência.
Não por coincidência, governança centralizada e combate ao "shadow AI" aparecem como prioridade declarada de 2026 para 21,1% das organizações no mesmo levantamento. Shadow AI é o uso não autorizado de ferramentas de IA por colaboradores — e ele aparece justamente onde não existe política escrita, porque sem política não há definição de ferramenta autorizada.
O PL 2338 não é lei, e isso muda a conclusão prática
Sobre o marco legal, convém ser preciso, porque a imprecisão nesse ponto é generalizada.
O PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024 e remetido à Câmara em março de 2025. Está em comissão especial, com situação registrada como "aguardando parecer do relator", e a ficha de tramitação acumula propostas apensadas. Nenhum dos seus dispositivos tem eficácia jurídica hoje.
O que isso significa em termos de decisão? Que a pergunta correta não é "quando a lei entra em vigor", mas "o que já é exigível agora". A resposta está na LGPD e na agenda da ANPD, e ambas operam no presente.
Quando o PL for sancionado, as obrigações que ele trará para sistemas de alto risco — avaliação de impacto algorítmico, documentação técnica, supervisão humana, direito à explicação — vão recair sobre uma base documental que a maior parte das empresas não tem. E a construção dessa base leva mais tempo que a tramitação já consumiu: são dezenove meses de espera na Câmara, tempo que teria sido suficiente para montar o inventário que a lei vai exigir.
Esse é o custo real da espera. Não é multa futura; é reconstrução sob prazo.
Quem já estruturou, e o que isso mostra
Os 26,9% que se dizem totalmente estruturados não chegaram lá por antecipar a lei. Chegaram porque tiveram um problema concreto — uma contestação que não sabiam responder, um incidente, uma auditoria de cliente, um contrato que exigiu documentação de fornecedor.
Esse padrão se repete em toda a séria sobre regulação: a estrutura nasce da demanda operacional, não da antecipação normativa. Empresas que esperam a lei para começar produzem documentação de fachada; empresas que resolveram um problema real produzem documentação que funciona.
Há uma diferença verificável entre as duas. A documentação de fachada descreve o sistema. A documentação real aponta para evidência: qual base treinou o modelo, qual teste foi rodado, qual resultado apareceu, quem revisou e o que concluiu. A primeira se produz em uma semana; a segunda exige que alguém tenha feito o trabalho.
Conclusão
O Brasil não tem uma lacuna de lei de IA — tem uma lacuna de documentação. A LGPD vigora desde 2020, a ANPD já definiu IA como tema prioritário de fiscalização para 2026-2027, e o PL 2338, quando chegar, encontrará a maior parte das organizações sem a base de evidência que ele pressupõe.
Os 41,9% sem política escrita não estão esperando o momento certo. Estão postergando um trabalho que fica mais caro a cada mês, porque a dívida documental cresce com o número de decisões automatizadas que a empresa toma sem registro.
A pergunta que a diretoria deveria responder nesta semana não é regulatória. É operacional, e cabe numa linha: quantos sistemas de IA na sua empresa tomam ou recomendam decisões sobre pessoas, e quem revisa cada uma delas?
Quem não consegue responder a essa pergunta já tem o inventário incompleto — e é o inventário que sustenta tudo o mais.
Referências
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. Mapa de Temas Prioritários para o biênio 2026-2027 e atualização da Agenda Regulatória 2025-2026. Brasília: ANPD, 24 dez. 2025. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-publica-mapa-de-temas-prioritarios-para-o-bienio-2026-2027-e-atualiza-agenda-regulatoria-2025-2026. Acesso em: 28 out. 2026.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. Plano de Gestão Anual 2026. Brasília: ANPD, out. 2026. Disponível em: https://www.gov.br/anpd/pt-br/acesso-a-informacao/acoes-e-programas/governanca/governanca-estrategica/plano_de_gestao_anual_2026.pdf. Acesso em: 28 out. 2026.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm. Acesso em: 28 out. 2026.
BRASIL. Câmara dos Deputados. PL 2338/2023 — Ficha de tramitação e proposições apensadas. Brasília: Câmara dos Deputados, 2026. Situação: aguardando parecer do relator na Comissão Especial. Disponível em: https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262. Acesso em: 28 out. 2026.
BRASIL. Câmara dos Deputados. PL 2338/2023 — texto final aprovado pela Comissão Temporária Interna sobre Inteligência Artificial do Senado Federal. Brasília: Câmara dos Deputados, 17 mar. 2025. Disponível em: https://www.camara.leg.br/proposicoesWeb/prop_mostrarintegra?codteor=2868197. Acesso em: 28 out. 2026.
BRASIL. Senado Federal. PL 2338/2023 — Matéria legislativa e histórico de tramitação. Brasília: Senado Federal, 2024. Disponível em: https://www25.senado.leg.br/web/atividade/materias/-/materia/157233. Acesso em: 28 out. 2026.
IT FORUM. 42% das empresas do Brasil não têm governança para IA, diz pesquisa. São Paulo, 23 out. 2026. Cobertura do Panorama da IA no Brasil 2026. Disponível em: https://itforum.com.br/42-empresas-brasil-nao-tem-governanca/. Acesso em: 28 out. 2026.
ZAPPTS. Panorama da IA no Brasil 2026. 3ª edição. Pesquisa realizada no primeiro semestre de 2026 com 167 executivos de tecnologia, inovação e negócios. Disponível em: https://campanha.zappts.com.br/wp-content/uploads/2026/08/Estudo-Panorama-da-IA-no-Brasil-3a-edicao-Zappts-2026.pdf. Acesso em: 28 out. 2026.
Nadelson Costa Nogueira Júnior