A lacuna crescente entre as políticas de IA e sua aplicação efetiva no mundo real

A IA não tem um código único de regras

A IA está sendo implementada em diversos setores e aplicações mais rapidamente do que as políticas e estruturas de governança necessárias para supervisioná-la conseguem amadurecer. Historicamente, as aplicações de IA eram regidas, em grande parte, pelas normas já existentes de proteção ao consumidor, privacidade e setores específicos, além das políticas internas das próprias empresas. Agora, os governos estão introduzindo requisitos específicos para a IA, mas eles continuam fragmentados e, muitas vezes, oferecem poucas orientações sobre como os sistemas devem funcionar na prática. Por isso, cabe às empresas conciliar os requisitos externos com sua própria tolerância a riscos, seus objetivos para os produtos e suas realidades operacionais.

A UE já está aplicando ativamente partes do Regulamento da IA, enquanto a política federal dos EUA favorece explicitamente uma estrutura nacional menos onerosa, e a Ordem Executiva 14365 busca limitar requisitos estaduais conflitantes, mesmo com os estados tendo apresentado mais de 1.000 medidas relacionadas à IA em 2025. Cada uma dessas autoridades aponta para um destino diferente, e cabe às empresas que desenvolvem e implementam esses sistemas conciliá-las.

Mas estabelecer requisitos regulatórios é apenas parte do desafio. À medida que a IA é implementada em mais aplicações e contextos, as empresas precisam traduzir requisitos amplos e políticas internas em controles operacionais e decisões individuais da IA. Nenhuma estrutura regulatória consegue prever todas as aplicações, os contextos ou as concessões envolvidas. Por isso, as organizações precisam traçar um caminho que leve dos requisitos regulatórios e das políticas internas ao comportamento do sistema, a resultados mensuráveis e a auditorias ou análises. O NIST AI Risk Management Framework adota uma perspectiva semelhante ao enfatizar a medição e a gestão contínuas, em vez de tratar a governança como um exercício de conformidade isolado. Os requisitos descem pela hierarquia, e as evidências sobem: reguladores e executivos podem definir os resultados desejados, mas as organizações precisam demonstrar se seus sistemas estão de fato produzindo esses resultados.

Isso atribui grande parte da responsabilidade prática pela governança da IA às organizações que implementam esses sistemas.

A governança se torna difícil na etapa de implementação

Em geral, as regulamentações e as estruturas de governança definem princípios, obrigações e resultados desejados. Os sistemas em produção, porém, precisam traduzir tudo isso em decisões individuais, e é nessa tradução que a governança se torna difícil. Uma política pode determinar que se previna a discriminação, se proteja os usuários, se ofereça transparência ou se permita uma análise humana significativa; ainda assim, um sistema operacional precisa responder a perguntas muito mais específicas: em que limite deve agir, com base em quais evidências e com que grau de confiança, quando é necessária uma análise humana, o que deve ser registrado e o que acontece quando o sistema não tem certeza?

Os reguladores já esperam respostas para essas perguntas. A FTC, o DOJ, o CFPB e a EEOC afirmaram em conjunto que aplicarão suas competências já existentes aos sistemas automatizados, o que significa que, em algum momento, alguém pedirá a uma empresa que explique como seu sistema toma decisões.

Considere uma plataforma com uma política clara contra o assédio. Uma mensagem com palavrões pode ser uma brincadeira inofensiva entre amigos, enquanto uma mensagem aparentemente inócua pode fazer parte de uma campanha prolongada contra outro usuário. O sistema precisa determinar qual contexto pode usar de forma confiável, que quantidade de evidências basta para intervir e qual intervenção é apropriada: bloquear a mensagem, advertir o remetente, encaminhar o caso para análise humana ou não tomar nenhuma medida. Reduzir os limites de detecção pode ajudar a identificar mais comportamentos nocivos, mas também pode suprimir conversas legítimas. Exigir análise humana pode melhorar o julgamento, mas atrasar a intervenção. Nenhuma dessas decisões está especificada em uma política geral que proíba o assédio, mas, em conjunto, elas determinam como essa política é efetivamente aplicada.

Nenhum documento de política resolve essas concessões de antemão. Portanto, alguém dentro da empresa precisa tomar essas decisões, documentá-las e reavaliá-las. Na prática, essa pessoa está elaborando políticas, independentemente do que diga o organograma.

O que a IA responsável exige na prática

Se, na prática, as pessoas que implementam um sistema são as mesmas que elaboram as políticas, então a IA responsável não pode ser tratada como uma declaração de intenções: ela precisa se refletir no comportamento cotidiano do sistema. Isso significa gerenciar como a IA é usada, avaliada e corrigida ao longo do tempo, não apenas aprovar uma política ou passar por uma avaliação inicial. Na prática, três ideias são fundamentais, e cada uma decorre das concessões mencionadas acima:

• A governança deve ser proporcional às consequências. Um sistema de IA que recomenda textos, aprova um empréstimo, sinaliza uma ameaça à segurança ou auxilia em uma decisão médica envolve riscos muito diferentes. As organizações precisam determinar em que situações se justificam controles, análises e supervisão mais rigorosos, com base nas possíveis consequências.
• A precisão, por si só, não basta. Erros diferentes têm custos diferentes. Um falso positivo na moderação pode suprimir uma manifestação legítima, enquanto um erro em empréstimos, saúde ou segurança pode ter consequências muito mais graves. A governança precisa refletir o impacto de uma decisão no mundo real, e não apenas o desempenho do modelo.
• A avaliação e o feedback contínuos são essenciais. Contestações, recursos, incidentes, casos extremos e resultados posteriores devem alimentar a avaliação contínua.

Um framework prático para a governança interna de IA

Colocar esses princípios em prática exige incorporar a governança à forma como os sistemas de IA são projetados, implementados e gerenciados. Quatro práticas são especialmente importantes:

• Trate os requisitos de governança como requisitos de produto e de sistema desde o início. Os controles de conformidade adicionados após a implementação tendem a ser caros e frágeis. É muito mais fácil incorporar privacidade, transparência, auditabilidade e mecanismos de revisão ao projeto de um sistema do que adaptá-lo posteriormente.
• Crie uma cadeia auditável entre a política e a decisão. As organizações devem conseguir vincular o requisito regulatório ou a política interna que rege o sistema ao controle aplicado e à decisão resultante. Também precisam das evidências necessárias para avaliá-la.
• Defina claramente a titularidade e a responsabilização. Determine quem é responsável pela política, quem define o nível de risco aceitável e quem monitora o desempenho. Alguém também deve ter autoridade para intervir quando o sistema se comportar fora desses limites.
• Crie uma infraestrutura de governança compartilhada e adaptável. Os controles de dados, as trilhas de auditoria, as políticas configuráveis, os fluxos de trabalho de revisão e as métricas devem atender a vários requisitos regulatórios e casos de uso. Os controles e limites devem ser adaptáveis à jurisdição, à aplicação e ao risco, permitindo que as organizações respondam a requisitos em constante mudança sem reconstruir seus sistemas.

A governança precisa funcionar na prática

A regulamentação pode definir obrigações e princípios, mas as empresas ainda precisam traduzi-los em sistemas que tomem decisões reais em grande escala. Isso torna a governança interna uma responsabilidade operacional, não apenas um exercício de conformidade. Toda empresa que implementa IA em grande escala já está definindo políticas por meio de seus limites, regras de revisão e processos de escalonamento; a única questão em aberto é se faz isso de forma intencional.

Os órgãos reguladores continuarão definindo os resultados desejados, e nem sempre estarão de acordo entre si. Por isso, cabe à empresa decidir como transformar essas expectativas em controles e, em seguida, demonstrar com evidências que eles funcionam. As empresas que estabelecerem desde já responsabilidades claras, controles mensuráveis, auditabilidade e uma infraestrutura adaptável estarão mais bem preparadas à medida que a regulamentação continuar evoluindo.

Já vi esse problema de vários ângulos: em ambientes de cibersegurança, na criação de modelos de risco e, agora, na operação de sistemas de IA em grande escala. Em todos esses contextos, a lição é semelhante: um framework só funciona se puder ser traduzido em decisões claras, mensurado na prática e aprimorado quando a realidade expõe suas lacunas.