Governança de dados versus governança de IA, por que ambas são necessárias e como elas interagem

A governança de dados e a governança de IA são disciplinas relacionadas, mas distintas, que endereçam riscos diferentes e exigem estruturas de responsabilização diferentes. Confundi-las, ou tratar a governança de IA como um subconjunto da governança de dados, deixa lacunas significativas que reguladores e auditores irão identificar.

A governança de dados trata da gestão dos ativos de dados ao longo de todo o seu ciclo de vida: como os dados são coletados, classificados, armazenados, acessados, usados, retidos e descartados. Um programa maduro de governança de dados inclui um dicionário de dados, responsabilidades de propriedade e curadoria dos dados, padrões de qualidade de dados, controles de acesso e cronogramas de retenção e descarte alinhados às obrigações legais. A governança de dados se aplica a todos os dados, não apenas aos dados usados em sistemas de IA.

A governança de IA trata dos riscos específicos que surgem quando sistemas de IA usam dados para tomar ou fundamentar decisões. Ela abrange os dados de entrada dos sistemas de IA (dados de treinamento, dados de inferência), os próprios modelos (concepção, treinamento, validação, avaliação de viés, monitoramento pós-comercialização), as decisões que os sistemas de IA produzem (acurácia, equidade, explicabilidade, supervisão humana) e a responsabilização organizacional por essas decisões (quem responde quando um sistema de IA causa dano). A governança de IA aplica um conjunto de controles e estruturas de responsabilização que não têm equivalente na governança de dados: gestão de risco de modelos, auditoria algorítmica, resposta a incidentes específicos de IA e conformidade regulatória com legislação específica de IA.

A relação entre as duas: uma boa governança de dados é pré-requisito para uma boa governança de IA, porque a qualidade dos resultados da IA depende diretamente da qualidade dos dados de entrada. Mas a governança de dados não substitui a governança de IA. Uma organização com governança de dados madura que não tenha endereçado os riscos específicos da IA, como viés de modelo, alucinação, tomada de decisão autônoma e responsabilização de fornecedores de IA, possui uma exposição significativa e não gerenciada.

O que a governança de IA exige da governança de dados

Os sistemas de IA impõem exigências específicas à infraestrutura de governança de dados que as organizações precisam endereçar à medida que a adoção de IA aumenta:

Qualidade e linhagem dos dados de treinamento. A acurácia e a equidade de um modelo de IA dependem da qualidade dos dados com os quais ele foi treinado. A governança de dados precisa se estender aos conjuntos de dados de treinamento: documentar de onde vieram os dados de treinamento, quais grupos demográficos estão representados (e sub-representados), como os dados foram limpos e preparados e quais controles de qualidade foram aplicados. Os requisitos de governança de dados da Lei de IA da UE (EU AI Act) para sistemas de IA de alto risco (Artigo 10) exigem que os conjuntos de dados de treinamento, validação e teste sejam relevantes, suficientemente representativos e tão isentos de erros quanto possível em relação à finalidade pretendida. Esses requisitos não podem ser cumpridos sem uma infraestrutura de governança de dados subjacente.

Dados de inferência e privacidade. Os dados enviados a um sistema de IA durante a inferência, ou seja, as entradas que geram os resultados do sistema, estão sujeitos às mesmas obrigações de privacidade que quaisquer outros dados pessoais. Se informações pessoais forem incluídas em prompts enviados a um modelo de IA (implantado internamente ou acessado via API de um fornecedor), elas devem ser tratadas em conformidade com o Privacy Act 1988 (Austrália), o GDPR (UE) ou outra legislação de privacidade aplicável. Isso inclui garantir consentimento apropriado ou base legítima para o tratamento, implementar a minimização de dados e assegurar que as práticas de tratamento de dados do fornecedor atendam às obrigações contratuais e regulatórias da organização.

Transparência na tomada de decisão automatizada. O Privacy and Other Legislation Amendment Act 2024, da Austrália, introduziu obrigações de transparência sobre tomada de decisão automatizada (ADM), com vigência a partir de 10 de dezembro de 2026. As entidades sujeitas aos Australian Privacy Principles (APP) serão obrigadas a incluir em suas Políticas de Privacidade informações sobre os tipos de dados pessoais utilizados em decisões substancialmente automatizadas que tenham efeito jurídico ou efeito similarmente significativo sobre indivíduos. Cumprir essa obrigação exige uma infraestrutura de governança de dados que rastreie quais dados pessoais são utilizados em quais processos decisórios assistidos por IA.

Acesso a dados e privilégio mínimo para sistemas de IA. Os sistemas de IA, especialmente a IA agêntica capaz de acessar dados e agir sobre eles de forma autônoma, devem estar sujeitos aos mesmos controles de acesso aplicados a usuários humanos. A carta de abril de 2026 da APRA (Australian Prudential Regulation Authority, a autoridade australiana de regulação prudencial) observou que a gestão de identidade e acesso ainda não se adaptou a atores não humanos, como agentes de IA. Os frameworks de governança de dados precisam ser ampliados para cobrir as identidades dos sistemas de IA: limitar o acesso apenas aos dados necessários para a função específica, registrar em log os acessos a dados feitos pela IA e implementar capacidades de revogação.

Construindo uma governança integrada de dados e de IA

A abordagem mais eficaz trata a governança de dados e a governança de IA como programas integrados, porém distintos, com infraestrutura compartilhada e responsabilização coordenada:

Na camada de dados, a infraestrutura de governança de dados já existente, isto é, catálogo de dados, controles de qualidade de dados, gestão de acessos e cronogramas de retenção, deve ser ampliada para endereçar explicitamente os casos de uso de IA. Isso significa marcar os ativos de dados conforme seu uso em IA (usado em treinamento, usado em inferência), acrescentar requisitos de qualidade de dados específicos para IA e estender a gestão de acessos às identidades dos sistemas de IA.

Na camada de IA, a governança de IA acrescenta a responsabilização específica de modelos que a governança de dados não é capaz de oferecer: gestão de risco de modelos (validação de modelos, avaliação de viés, monitoramento de desempenho), resposta a incidentes de IA, due diligence de fornecedores de IA e conformidade regulatória com obrigações específicas de IA. Isso exige estruturas de responsabilização, normalmente um comitê de risco de modelos ou um comitê de governança de IA, com representação das áreas jurídica, de risco, de tecnologia e de negócios.

O principal ponto de integração é o inventário de IA: um registro de todos os sistemas de IA em uso, dos dados que cada sistema utiliza, das decisões que cada sistema influencia e do responsável por cada um deles. Esse inventário atende tanto à governança de dados (entender quais dados são usados em quais sistemas de IA) quanto à governança de IA (entender quais sistemas de IA exigem supervisão). A APRA espera que as entidades reguladas mantenham um inventário desse tipo, e sua ausência foi um dos achados no processo de supervisão de abril de 2026.

Do ponto de vista de conformidade regulatória, os frameworks que exigem capacidades de governança de dados como parte da conformidade em IA incluem: a Lei de IA da UE (requisitos de governança de dados do Artigo 10 para IA de alto risco); a obrigação de transparência sobre ADM do Privacy Act da Austrália (dezembro de 2026); os requisitos de gestão de risco operacional do CPS 230 relativos à qualidade dos dados em operações críticas; e o NIST AI Risk Management Framework (que trata a qualidade dos dados como uma dimensão central da confiabilidade da IA nas funções Map e Measure).

Leitura relacionada

Leitura adicional: ISO/IEC 42001