Estratégia de IA: governar é decidir o que entra, o que fica e o que sai

Um ano depois do primeiro inventário, a lista da rede varejista tinha trinta e uma linhas. A organização sabia o que tinha, media qualidade e custo, e conseguia responder ao diretor financeiro. Faltava uma pergunta, e ela apareceu na revisão anual do plano de negócios: qual dessas trinta e uma iniciativas serve a qual objetivo da empresa?

A resposta revelou três coisas que o inventário sozinho não mostrava. Três das seis iniciativas originais tinham sido abandonadas na prática, mas ninguém as desligou; continuavam rodando, consumindo licença e tokens, sem usuário. Duas iniciativas novas tinham entrado sem passar por nenhuma avaliação, porque não existia porta por onde passar. E, para onze das trinta e uma, ninguém conseguia nomear o objetivo de negócio que justificava sua existência.

Governar não é aprovar na entrada. É decidir, ao longo do tempo, o que entra, o que fica e o que sai. Esta peça é sobre esse ciclo.

A porta que ninguém constrói

Quando uma organização diz que tem governança de IA, quase sempre está descrevendo a porta de entrada: um comitê, um formulário, uma aprovação. É necessário e insuficiente. Ciclo de vida tem quatro portas, e a maioria das organizações constrói apenas a primeira.

A ausência mais cara é a última, a porta de saída. Iniciativas que ninguém usa, que perderam o dono ou que foram substituídas continuam em produção porque desativar exige um processo que não existe. Elas custam licença, consomem tokens, mantêm credenciais ativas e acesso a dados, e figuram no inventário como se estivessem vivas. É IA zumbi, e ela é mais comum do que parece.

A Gartner previu em 2025 que mais de 40% dos projetos de IA agêntica serão cancelados até o fim de 2027, apontando três causas: custo crescente, valor de negócio pouco claro e controles de risco inadequados. Lidas em conjunto, as três descrevem exatamente a ausência de ciclo de vida. Custo sem revisão, valor sem métrica, risco sem avaliação proporcional.

A norma que organiza o ciclo

Existe uma referência pública para estruturar isso, e ela é recente o bastante para ainda ser pouco conhecida fora dos círculos de conformidade.

A ISO/IEC 42001, publicada em dezembro de 2023, é a primeira norma internacional de sistema de gestão de inteligência artificial. O ponto central é que ela não é uma norma técnica: não diz como construir modelos nem que algoritmos usar. Governa a organização em torno da IA, com políticas, papéis, processos e mecanismos de supervisão que determinam se a IA é usada de forma responsável e sustentável. Usa a mesma estrutura de alto nível das normas de gestão que muitas organizações já conhecem, como a de segurança da informação: contexto, liderança, planejamento, suporte, operação, avaliação de desempenho e melhoria. E cobre o ciclo de vida inteiro, do desenho à desativação, com um anexo de 38 controles organizados em nove áreas, incluindo política de IA, avaliação de impacto, ciclo de vida e governança de dados.

O valor prático para uma organização que não pretende se certificar é o mesmo de qualquer norma bem construída: uma lista de verificação testada por muitos, que evita inventar o processo do zero. E, para quem vende para grandes empresas, há um sinal comercial: compradores corporativos passaram a solicitar alinhamento à norma como critério de fornecimento, movimento que a legislação europeia de IA reforça, porque as duas compartilham estrutura.

A norma se combina com o arcabouço de gestão de risco de IA do NIST, citado na peça sobre segurança desta série: o arcabouço é voluntário e não certificável, a norma é certificável, e o trabalho feito em um alimenta diretamente o outro.

As quatro portas do ciclo de vida

Entrada. Toda iniciativa nasce de uma solicitação com quatro campos obrigatórios: o objetivo de negócio que ela serve, a métrica com valor atual que vai mover, o dono com mandato para responder por ela, e uma avaliação de impacto proporcional ao risco. A aprovação é registrada, com data e responsável. Sem esses quatro campos, a iniciativa não entra, e é a ausência dessa porta que explica as duas iniciativas que entraram sem avaliação na rede do exemplo.

Operação. É a soma das três peças anteriores desta série: identidade e limites da segurança, rastros e avaliação da observabilidade, cadeia de métricas da medição. A governança não faz esse trabalho; garante que ele esteja sendo feito, com dono nomeado para cada parte.

Revisão. Com cadência declarada, trimestral costuma ser o ponto de partida, cada iniciativa passa por uma decisão explícita entre três desfechos: manter como está, redirecionar com ajuste de escopo ou recurso, ou encerrar. A revisão que termina sem nenhum encerramento ou redirecionamento em várias rodadas seguidas não está revisando; está homologando.

Saída. Desativar é um procedimento, não um esquecimento. Tem etapas: comunicar aos usuários e ao dono do processo, revogar identidades e credenciais, remover acessos a dados, arquivar registros pelo prazo que a política de retenção exige, encerrar custos de licença e consumo, e atualizar o inventário. As três iniciativas zumbis do exemplo existiam porque nenhuma dessas etapas tinha dono.

Alinhar à estratégia é uma pergunta por iniciativa

A expressão alinhamento estratégico costuma ser tratada como abstração de apresentação executiva. Ela é, na verdade, uma pergunta concreta feita a cada iniciativa: qual objetivo do plano de negócios você serve, e como saberemos?

O Impulso já tem o instrumento para respondê-la. O Radar de Iniciativas posiciona cada oportunidade por impacto no desafio central e viabilidade com o que existe, e o Canvas obriga a nomear problema, dado, impacto esperado e risco antes de construir. A diferença que a torre de controle introduz é de frequência: no diagnóstico, o Radar é uma fotografia tirada uma vez; na governança de ciclo de vida, ele é refeito a cada revisão, com as iniciativas em produção plotadas ao lado das candidatas. Uma iniciativa que caiu de impacto porque o problema mudou, ou de viabilidade porque a equipe que a sustentava saiu, migra de quadrante, e a migração é o gatilho da decisão.

A composição do portfólio, tratada na peça sobre métricas, entra aqui como critério de entrada: a organização decide deliberadamente quanto do portfólio é ganho de eficiência e quanto é aposta em valor novo, e usa essa proporção para aceitar ou postergar candidatas. O relatório da Gartner com diretores de tecnologia de 2026 encontrou que 71% deles têm dificuldade de priorizar casos de uso com resultado mensurável. O Radar com revisão periódica é a resposta operacional a essa dificuldade.

Proporcionalidade, ou como não produzir IA paralela

Há um risco simétrico em governança de ciclo de vida, e ele merece ser dito com clareza. Governança pesada demais empurra as pessoas para fora do processo. Se aprovar um assistente de redação de e-mail exige o mesmo comitê que aprovar um agente que autoriza crédito, ninguém vai submeter o assistente de redação. Ele será adotado por fora, e a organização terá fabricado a IA paralela que o estudo de caso desta série descreve: iniciativa sem canal.

A solução é proporcionalidade: o peso do processo acompanha o risco da iniciativa. A avaliação de impacto da norma internacional e a lógica de classificação por risco da legislação europeia apontam na mesma direção. Uma iniciativa de baixo risco, sem dado pessoal e sem ação autônoma, entra por uma porta leve, com registro e dono, em dias. Uma iniciativa que decide sobre pessoas, toca dado sensível ou age sem supervisão entra por uma porta completa, com avaliação, revisão de segurança e aprovação executiva. As duas portas existem, e a diferença entre elas é declarada por escrito.

Governança que só sabe dizer não é barreira. Governança que sabe dizer sim rápido para o simples e com cuidado para o crítico é o que faz a organização adotar IA sem perder o controle dela.

O que o Impulso já dizia sobre isso

O ciclo de vida governado é o Diagnóstico Estratégico transformado em rotina. A etapa de Iniciativas fornece o Radar e o Canvas, que aqui deixam de ser exercício único e viram instrumento de revisão. A etapa de Prontidão fornece o filtro de ambição, que na porta de entrada calibra o tamanho de cada aposta. E o Plano de Ação já dizia que o ciclo se fecha e recomeça, com o resultado do primeiro alimentando o próximo.

A camada de Governança do Aprofundamento Técnico traz os quatro mecanismos que a porta de operação exige, rastreabilidade, supervisão humana em casos sensíveis, versionamento e revisão periódica, e a frase que organiza tudo: governança decide quem pode e quem responde. O que a capacidade Governar da torre de controle acrescenta é o tempo. Decidir uma vez é aprovação. Decidir de novo, a cada ciclo, com a possibilidade real de encerrar, é governança.

Como começar em um trimestre

O primeiro passo não é escrever a política. É dar objetivo e dono a tudo que já está rodando, porque governar o que existe vem antes de governar o que vai entrar.

Mês 1, órfãos. Percorrer o inventário e, para cada linha, preencher dois campos: objetivo de negócio e dono com mandato. As linhas que ficarem vazias em qualquer um dos dois são a lista de órfãos. Para cada órfão, uma decisão até o fim do mês: adotar, com objetivo e dono novos, ou encerrar.

Mês 2, portas. Escrever o ciclo de vida em uma página: os quatro campos da entrada, os dois níveis de proporcionalidade com seus critérios, a cadência de revisão e as etapas da saída. Realizar a primeira revisão de portfólio com o Radar refeito e as três decisões possíveis na mesa.

Mês 3, saída. Executar a primeira desativação planejada, de ponta a ponta, com uma das iniciativas que a revisão encerrou. Comunicar, revogar, arquivar, encerrar custo, atualizar inventário. Medir quanto tempo levou e quem participou. A primeira saída bem executada é a prova de que o ciclo de vida existe; até ela acontecer, é intenção.

A série completa

Com esta peça, as cinco capacidades da torre de controle de IA estão descritas, cada uma com sua base pública e seu encaixe no Impulso.

Descobrir está em Inventário de IA: descobrir modelos, agentes e dados antes de qualquer controle. Proteger está em Segurança de IA: quando o ataque chega em linguagem natural. Observar está em Observabilidade de IA: quando responder rápido não significa responder bem. Medir está em Métricas de valor em IA: contar atividade não é medir resultado. E Governar é esta peça. O estudo de caso que reúne as cinco na mesma operação, Torre de controle de IA: governar o que já entrou na operação, fecha a série.

As cinco se apoiam nas camadas transversais do Impulso Framework e nas quatro etapas do seu diagnóstico. A visão geral está em As três camadas do Impulso Framework.

Aprovar é decidir uma vez. Governar é decidir de novo, a cada ciclo, com a coragem de encerrar.

Começar o diagnóstico · Gratuito, sem cadastro, 15 a 30 minutos.

Foundation | Frente: Consulting | Série: torre de controle de IA, capacidade Governar, última das cinco | Proposições ancoradas: jornada progressiva, diagnóstico que produz ação, conexão inteligente do que já existe | Fontes públicas: ISO/IEC 42001:2023; NIST AI RMF; Gartner, previsão sobre cancelamento de projetos de IA agêntica (2025); Gartner, CIO Report 1S 2026; EU AI Act | 1.900 palavras | Leitura: 10 minutos