Segundo a pesquisa State of AI, da McKinsey, apenas 28% das empresas afirmam que o presidente executivo assume responsabilidade direta pela supervisão de IA — e só 17% atribuem essa responsabilidade ao conselho. É uma lacuna de mais de duas em cada três empresas sem um dono claro para a pergunta mais básica de governança: quem responde por isso aqui dentro?
Uma pesquisa da Deloitte com 700 conselheiros e executivos de alto escalão em 56 países, realizada entre janeiro e fevereiro de 2025, mostra os dois lados dessa lacuna. Dois terços dos conselheiros (66%) dizem ter conhecimento limitado ou nenhum sobre IA. E quase um terço (31%) afirma que o tema simplesmente não está na pauta do conselho — uma melhora frente aos 45% do levantamento anterior da mesma pesquisa, mas ainda um número alto para uma tecnologia já presente em quase toda empresa.
Para quem decide, a pergunta interessante não é mais "existe uma política de IA aqui". É outra: quando o comitê se reúne, o que ele tem, de fato, para revisar? Um relatório escrito por quem executou o trabalho é opinião. Um registro que qualquer pessoa de fora consegue conferir é evidência. A diferença entre as duas coisas decide se a supervisão de IA é real ou é teatro.
Um comitê sem material para revisar
Os números de estrutura de governança estão subindo. O AI Index 2026, do instituto de IA centrada no ser humano da Universidade Stanford, mediu que as funções dedicadas a governança de IA cresceram 17% em 2025, e que a fatia de empresas sem nenhuma política de IA caiu de cerca de um quarto para 11% das organizações pesquisadas. O mesmo levantamento identificou que 36% das empresas já citam a norma ISO/IEC 42001 como referência para a própria prática de IA responsável, e 33% citam o padrão de gestão de risco da NIST, a agência de tecnologia dos Estados Unidos.
Esses números descrevem papel escrito, não verificação. O padrão da NIST para gestão de risco de IA tem uma função inteira dedicada a isso, chamada de GOVERN, e ela não pede só uma política assinada. Pede que os papéis e as linhas de comunicação estejam documentados e claros para cada time, que existam mecanismos de separação entre quem desenvolve um sistema de IA e quem o testa, e que as pessoas responsáveis tenham autoridade e recurso de verdade para agir — não só o cargo no organograma.
É aí que a maioria das empresas para. Escrever a política satisfaz a pergunta "existe uma política" — e o índice de Stanford mostra isso subindo rápido. Documentar a separação de funções, montar o registro que permite checar depois, e dar autoridade real para quem senta no comitê: isso não aparece em nenhuma pesquisa como número crescente, porque a maioria das empresas ainda não chegou lá.
No Brasil e na América Latina, o padrão se repete em escala menor. Comitês de IA nasceram nos últimos dois anos dentro de áreas de compliance, segurança da informação ou jurídico — geralmente sem orçamento próprio e sem autoridade para exigir mais do que um relato verbal de quem usou a ferramenta. A diferença aparece quando alguém de fora, um auditor, um regulador ou um cliente grande, pergunta como aquela política foi verificada. Aí o comitê descobre que não tem resposta, porque nunca teve o que consultar.
Por que a política sozinha não basta
Duas normas internacionais chegam à mesma conclusão por caminhos diferentes. A estrutura da NIST separa quem constrói e usa um sistema de IA de quem audita e testa, para que a revisão não dependa da palavra de quem fez o trabalho. A norma ISO/IEC 42001, publicada em 2023 como o primeiro padrão internacional específico para gestão de sistemas de IA, exige que a alta liderança assine uma política de IA e, além disso, registre formalmente quem é responsável por cada papel de governança — não como formalidade, mas como documento que qualquer auditoria pode conferir.
O problema não é a ausência dessas exigências. É que boa parte das empresas trata a política como o produto final, quando ela é só o ponto de partida. O comitê se reúne, lê um resumo preparado pela própria área que executou o trabalho, aprova, e segue em frente. Ninguém pergunta se aquele resumo reflete o que realmente aconteceu, porque não existe outra fonte para comparar.
Esse é o ponto cego que a McKinsey e a Deloitte descrevem de dois ângulos: uma diz que ninguém assumiu a responsabilidade formal; a outra, que quem deveria supervisionar não tem conhecimento nem tempo dedicado ao tema. As duas coisas pioram quando o único material disponível para revisão é um relatório escrito por quem tem interesse em que ele pareça bem.
O que precisa existir na prática
Um comitê de IA que revisa evidência, e não relato, se apoia em mecanismos verificáveis — não em um documento assinado uma vez por ano.
Identidade corporativa para pessoas e agentes. O acesso à IA nasce do mesmo diretório que controla o resto da empresa — quem é desligado perde o acesso no mesmo instante, sem depender de alguém lembrar de revogar uma conta avulsa.
Acesso conforme o papel de cada pessoa. Cada pessoa e cada agente enxergam só o que a função autoriza, inclusive dentro de uma ferramenta conectada com dezenas de funções — não a ferramenta inteira porque separar dava mais trabalho.
Aprovação humana em pontos definidos, conforme o risco. Documentos que vão virar conhecimento oficial da IA podem exigir revisão e aprovação em duas etapas, com quem escreve separado de quem aprova — a mesma separação de funções que o padrão da NIST recomenda para todo o ciclo de um sistema de IA.
Trilha de auditoria por área do sistema. Criar um agente, aprovar um documento, mudar uma permissão, executar uma ação sensível: tudo fica registrado. O comitê consulta o registro; não precisa pedir para alguém reconstruir de memória o que aconteceu.
Conhecimento aprovado com fontes. O que a IA usa como referência tem dono, versão vigente e data de revisão — não um arquivo solto que alguém subiu uma vez e ninguém mais revisitou.
É assim que a Skyller foi desenhada: identidade vinda do diretório da empresa, aprovação em duas etapas para documentos críticos e trilha de auditoria por área, para que o comitê tenha o que revisar — não apenas o que aprovar.
O que o comitê ganha com isso
O ganho mais imediato é velocidade em auditoria e investigação de incidente. Quando cada aprovação, cada mudança de permissão e cada ação sensível fica registrada por área do sistema, reconstruir o que aconteceu deixa de ser um projeto de dias e vira uma consulta de minutos — a diferença que separa uma investigação de um levantamento de boa-fé.
Há também um ganho de credibilidade externa. Com 36% das empresas já citando a ISO/IEC 42001 e 33% citando o padrão da NIST como referência, segundo o índice de Stanford, o mercado caminha para tratar esses padrões como expectativa mínima, não diferencial. Um comitê que consegue mostrar identidade por diretório, aprovação em duas etapas e trilha de auditoria por área já responde à maior parte do que essas normas pedem, sem precisar montar o mecanismo do zero quando um auditor perguntar.
E há o ganho que fecha o círculo com o problema do início: um comitê com essas evidências deixa de depender do bom relato de quem executou o trabalho. A pergunta "quem responde por isso aqui dentro" — a mesma que só 28% das empresas conseguem responder para o presidente executivo e 17% para o conselho, segundo a McKinsey — passa a ter uma resposta verificável, não uma resposta de organograma.
Perguntas para a próxima reunião do comitê
Antes de escrever mais uma política, vale levar estas perguntas para quem senta na mesa:
- Quem no comitê consegue pedir a trilha de auditoria de um agente específico agora, sem esperar um relatório? Se a resposta for "teríamos que pedir para a TI levantar", o comitê revisa relato, não evidência.
- Existe separação entre quem escreve um documento e quem o aprova como conhecimento oficial da IA? Sem essa separação, um erro de digitação pode virar resposta oficial antes que alguém perceba.
- Se uma pessoa for desligada hoje, o acesso dela à IA cai junto, ou depende de alguém lembrar de revogar uma conta? A resposta define se o controle é de identidade ou de boa vontade.
- O comitê já testou pedir evidência de uma decisão específica, em vez de receber só um resumo preparado por quem executou? A diferença entre as duas coisas é a diferença entre supervisão e teatro.
- A empresa cita algum padrão de referência, como a NIST ou a ISO/IEC 42001, para o próprio comitê seguir, ou cada reunião reinventa o que checar? Um padrão externo dá ao comitê um roteiro pronto, em vez de um critério que muda a cada reunião.
