A discussão sobre risco em inteligência artificial costuma começar pelas grandes ameaças: vazamento de dados, vieses, alucinações ou decisões automatizadas inadequadas. Mas existe uma diferença importante entre conhecer os riscos possíveis e observar o que efetivamente acontece quando a IA passa a fazer parte da rotina de uma organização.
Foi essa distância que buscamos investigar. O estudo técnico-científico Governança de Inteligência Artificial nas Médias Empresas Brasileiras combinou diagnóstico de governança com auditoria contínua de interações reais. A análise operacional considerou 22.954 interações, realizadas entre novembro de 2025 e maio de 2026, com cobertura de 100% das transações da amostra analisada.
O primeiro resultado chama atenção pela dimensão: 11,1% das interações foram classificadas em níveis de risco médio, alto ou crítico. Em outras palavras, aproximadamente uma em cada nove interações saiu da faixa considerada normal e exigiria algum grau de observação, revisão ou intervenção.
O RISCO NÃO APARECE DE UMA ÚNICA FORMA
Um dos pontos centrais do estudo foi compreender a natureza desses desvios.
Não se tratava apenas de identificar se uma interação era ou não arriscada. Era necessário observar que tipo de risco surgia no ponto de uso, quando pessoas e sistemas de IA interagiam em situações reais de negócio. A análise foi organizada em quatro grandes camadas comportamentais.
NEGÓCIO, 87,8%
A maior parte dos desvios identificados estava relacionada ao próprio funcionamento do negócio. Foram observadas situações envolvendo condições comerciais indevidas, prazos inexistentes, descontos ou preços incorretos, promessas sem autorização, alterações de regras comerciais e respostas sem lastro suficiente para sustentar aquilo que estava sendo comunicado ao cliente.
Esse tipo de ocorrência mostra que o risco de IA não está restrito à tecnologia. Ele pode aparecer diretamente na relação com clientes, fornecedores e parceiros, com impacto financeiro, jurídico e reputacional. Uma resposta incorreta pode deixar de ser apenas um erro de sistema quando passa a produzir uma obrigação comercial, alterar uma condição de negociação ou criar uma expectativa que a empresa terá de administrar depois.
SEGURANÇA DA INFORMAÇÃO, 11,3%
Outra camada relevante foi a exposição, o vazamento ou a utilização inadequada de informações confidenciais, dados pessoais e informações corporativas sensíveis.
Os riscos aparecem quando dados trafegam além da finalidade autorizada, quando informações sensíveis são compartilhadas em ambientes inadequados ou quando não existem controles suficientes para limitar aquilo que pessoas ou sistemas podem acessar.
Nesse contexto, a governança deixa de ser apenas uma política de segurança da informação e passa a exigir visibilidade sobre o conteúdo efetivamente utilizado e produzido pelas interações com IA.
ÉTICA E RESPONSABILIDADE, 0,7%
O estudo também identificou desvios relacionados a respostas enviesadas, instruções mal formuladas, ausência de parâmetros claros de supervisão e decisões automatizadas incompatíveis com critérios de equidade, transparência e responsabilidade. Embora proporcionalmente menor, essa camada merece atenção especial porque envolve situações em que a IA recomenda, classifica, orienta ou conduz interações de forma incompatível com princípios que a organização afirma seguir.
Nesse ponto, a questão deixa de ser apenas se a resposta está tecnicamente correta. Passa a envolver também a forma como aquela resposta foi construída, os critérios utilizados e quem responde por suas consequências.
VALOR PARA A SOCIEDADE E INTEGRIDADE À VIDA, 0,2%
A quarta camada analisada envolve situações de maior sensibilidade humana. São interações em que aparecem sinais de vulnerabilidade, risco à saúde, à segurança, à integridade física ou emocional, ou situações que exigiriam escalonamento para uma pessoa.
Mesmo representando uma parcela pequena das ocorrências, são situações nas quais o impacto potencial é particularmente alto. A ausência de um protocolo de revisão humana, de contenção ou de interrupção pode transformar uma falha de resposta em um dano relevante.
Por isso, governança de IA também precisa considerar o momento em que a tecnologia deve parar e uma pessoa precisa assumir.
O QUE OS 11,1% REVELAM
O dado mais importante talvez não esteja apenas no percentual.
Ele está no que esse percentual representa. Os desvios observados mostram que os riscos de inteligência artificial não aparecem exclusivamente em falhas técnicas. Eles emergem no encontro entre tecnologia, contexto, regras de negócio e comportamento humano.
É a IA concedendo algo que não poderia conceder. É um dado trafegando onde não deveria. É uma resposta eticamente inadequada. É uma situação crítica que precisava de intervenção humana e não recebeu. Isso significa que governar IA exige olhar para muito mais do que desempenho do modelo.
É preciso observar contexto, decisão, comportamento e consequência.
UMA TECNOLOGIA PROBABILÍSTICA EXIGE OUTRA FORMA DE CONTROLE
Sistemas tradicionais operam, em grande medida, com regras previsíveis. A inteligência artificial, ao contrário, trabalha de forma probabilística, o que significa que pode produzir respostas diferentes diante de contextos semelhantes e apresentar comportamentos que não estavam explicitamente previstos.
Por isso, controles estáticos não são suficientes. Uma política pode estar formalizada. Um procedimento pode existir. Um sistema pode ter sido homologado. Ainda assim, a interação concreta pode produzir um resultado inadequado.
É justamente por isso que a auditoria contínua se torna relevante. Ela permite observar aquilo que acontece no ponto de uso, e não apenas aquilo que foi previsto no momento da implantação.
GOVERNAR É OBSERVAR O QUE ACONTECE NA OPERAÇÃO
O estudo parte de uma premissa simples: maturidade em inteligência artificial não pode ser avaliada apenas pela existência de políticas, documentos ou comitês. Ela precisa ser observada também na prática.
O trabalho analisou interações reais e buscou transformar comportamento em evidência mensurável, permitindo identificar padrões, desvios e situações de risco que não aparecem em uma auditoria tradicional de infraestrutura.
Essa abordagem permite deslocar a discussão de uma pergunta genérica, como “a empresa possui governança de IA?”, para uma pergunta mais concreta: o que realmente acontece quando a inteligência artificial encontra o mundo real? Esse talvez seja o principal aprendizado do estudo. Governança não acontece apenas no documento, na política ou na reunião do comitê. Ela acontece em cada interação. Porque é ali que a tecnologia deixa de ser uma promessa e passa a produzir efeitos.
