Na semana passada aconteceu o “IAPP Privacy. Security. Risk. + AI Governance Global 2026” em Seattle, com mais de 60 sessões de conteúdo, forte presença de reguladores (especialmente americanos) e representantes das maiores empresas globais, como Microsoft, Google, Amazon, IBM, Oracle e Adobe, para ficar em apenas alguns nomes.
Estes eventos costumam ser muito úteis para captarmos as principais tendências do momento e tentarmos prever quais serão as discussões mais relevantes em um futuro próximo.
Nesta linha, trago abaixo três tendências atuais e quatro previsões de futuro, já adaptadas ao mercado brasileiro, do ponto de vista de governança e enforcement regulatório em tecnologia.
Tendências atuais:
Tendência 1: Governança de IA precisa focar na efetividade, mais do que na formalidade
Foi a ideia que mais se repetiu entre os painéis, catalisada pela pressão que as empresas enfrentam na rápida adoção desta tecnologia. Joe Jones (IAPP), antecipando os resultados do próximo “Governance Report”, trouxe que o risco de “ficar para trás” está no topo das preocupações das empresas.
O que significa esta mudança em relação à governança de IA?
- Política sem controle técnico não tem valor. “Policies are suggestions without technical implementation” (Elissa McKinley). Ou seja, as políticas precisam ser tecnicamente implementadas no nível dos sistemas.
- A governança precisa ser dinâmica. Os requisitos de governança continuam fixos, mas os controles técnicos precisam se adaptar a “cada execução” de uma tarefa. Um dos exemplos práticos mencionados foi o controle de quais ferramentas um agente pode ‘invocar’ para executar uma tarefa, lista que muda de acordo com o cenário posto.
- Os agentes de IA exigem critérios de revisão diferentes. O case da D&B trouxe uma classificação de risco que é ativada não pelo risco prévio mensurado, mas sim pelo grau de autonomia que o agente deverá ter dentro dos sistemas da organização. Na General Motors, a avaliação de risco é disparada pelo caso de uso; na Workday, há categorias de supervisão humana para agentes: aprovação, revisão ou recomendação.
- A IA passa a ser usada para governar a própria IA. As políticas escritas continuam tendo muito valor, desde que sejam também utilizadas como instrução para que seus agentes executem o controle.
Tendência 2: O risco migra para a cadeia de terceiros, integrações e funcionalidades que “já estavam lá”
- Shadow AI continua sendo um grande desafio. IAs gratuitas, sistemas que ativam ‘recursos de IA’ sem avisar e sem avaliação interna de risco, e a contratação de ferramentas de IA fora do fluxo correto de aprovação são os principais exemplos.
- Concentração de risco. A Costco apresentou dados internos indicando que 9 em cada 10 produtos avaliados rodam sobre um único modelo fundacional, expondo a empresa a um risco significativo de continuidade de negócios.
- Contratos viraram o maior ponto de atrito. As empresas começam a enfrentar uma avalanche de contratos com cláusulas de IA que ainda precisam de maior maturação. A mudança dos modelos de cobrança tem sido desafiadora para as negociações, por falta de previsibilidade e amarras claras.
Tendência 3: Capacidade de prestação de contas começa a ser avaliada pela Justiça e pelos reguladores
O eixo do enforcement está mudando de educação para auditoria e grandes litígios (especialmente nos EUA). Com isso:
- A documentação comprobatória passa a ser exigida, incluindo a capacidade de auditoria destas evidências. A CPPA (autoridade de privacidade da Califórnia) disse expressamente que está buscando estabelecer o vínculo entre a política escrita, o controle empregado e o resultado prático, com amostras que evidenciem esse vínculo.
- Os tribunais começaram a endurecer suas posições. As decisões judiciais, especialmente nos EUA, passaram a aplicar sanções mais duras e de valores maiores em casos como o de apresentação de jurisprudência fruto de alucinação de IA.
Movimentos futuros:
- Identidade de agentes deve ser tema quente para regulação (e talvez contratos) muito em breve
As identidades não humanas deverão ser tema central no próximo ano, com a criação de padrões abertos de identificação destes sistemas. A D&B já testa vincular o agente à identidade da empresa (D-U-N-S). Nesta linha, devemos ver surgir cláusulas de “identificação do agente” em contratos B2B e algum padrão no estilo know-your-agent.
- Renegociação contratual em massa
Três forças pressionam por um movimento de renegociação de contratos, especialmente com provedores de tecnologia e serviços profissionais: questões sobre IA entrando nos contratos padrão (como foi a proteção de dados no passado), a obrigação de se ter um ‘aviso prévio’ antes de implementar novas funcionalidades de IA nos sistemas existentes e a mudança para a cobrança por consumo de tokens/processamento.
- Concentração em modelos fundacionais
Considerando a alta concentração de soluções de mercado em poucos modelos fundacionais, qualquer mudança nestes provedores pode impactar vários fornecedores de uma vez só. Os reguladores, especialmente em setores críticos como financeiro, seguros e saúde, devem começar a trazer regras mais rígidas sobre como lidar com este risco.
- Supervisão humana será redefinida, caminhando para o conceito de “supervisão significativa”
A ‘fadiga’ da aprovação por humanos já é uma realidade. Um regulador chegou a comparar a aprovação a cada 10 segundos ao banner de cookies que ninguém lê antes de clicar no aceite. O conceito de supervisão humana deverá caminhar para a “supervisão significativa”, inclusive nas regulações e projetos de lei.