Por que o comitê de IA da sua rede não impede nenhum incidente

A maioria dos programas de governança de IA começa por um documento e um comitê mensal. Seis meses depois existe política aprovada, ata de três reuniões, e nenhuma evidência de que a regra é cumprida na operação. No varejo alimentar, onde o sistema decide preço, pedido e oferta para milhões de clientes por dia, essa distância entre o papel e a execução é o risco em si.

Política não é controle

Um documento descreve intenção. Controle é o que acontece quando alguém, ou algum sistema, tenta violar a intenção. Num sistema de IA, isso precisa ser código, não reunião.

A diferença fica clara num exemplo comum. A política diz que nenhum reajuste automático de preço pode passar de 15% sem aprovação humana. Se essa regra existe apenas no documento e na instrução que o sistema recebe, ela é uma sugestão que funciona na maior parte das vezes. Se ela existe como validação no serviço que aplica o preço, recusando a operação acima do limite e registrando a tentativa, ela é um controle. A primeira versão gera reunião de crise. A segunda gera um registro.

Os controles que sustentam um programa de governança no varejo costumam ser quatro:

• Limite de custo e de alçada por execução, aplicado por quem processa a operação e não pedido ao sistema
• Registro de qual tarefa o sistema executou, com quais dados e sob qual contexto
• Prova prática com casos reais da operação, guardada e repetida a cada mudança de tecnologia, de regra ou de fornecedor
• Trilha de auditoria que permita reconstruir uma decisão específica meses depois

O que a LGPD cobra de quem automatiza decisão

O varejo alimentar acumula uma das bases de dados pessoais mais ricas do país: programa de fidelidade, histórico de compra item a item, frequência, ticket, meio de pagamento. Quando IA entra nesse dado para personalizar oferta ou preço, o regime jurídico muda de patamar.

O artigo 20 da LGPD dá ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo as que definem perfil de consumo. O parágrafo primeiro do mesmo artigo obriga o controlador a fornecer informações claras e adequadas sobre os critérios e procedimentos usados na decisão, quando solicitado.

Na prática, isso cria três exigências técnicas que nenhum comitê entrega sozinho. É preciso saber quais dados entraram na decisão de oferecer aquele desconto àquele cliente. É preciso reconstruir a decisão a ponto de explicá-la em linguagem comum. E é preciso ter um caminho de revisão que não seja apenas protocolar.

Um sistema que recomenda oferta personalizada sem trilha de decisão coloca a rede numa posição desconfortável: a empresa sabe que o desconto saiu, mas não consegue dizer por quê. Essa é uma resposta ruim para o cliente e pior ainda para o regulador.

Onde a regulação está, em agosto de 2026

Vale separar o que já vale do que ainda está sendo escrito, porque a diferença muda o que faz sentido fazer agora.

O artigo 20 já está em vigor. O que ainda não existe é a regulamentação específica dele. A ANPD colocou o tema na Agenda Regulatória 2025-2026 e consolidou, em nota técnica de maio de 2025, as 124 contribuições recebidas numa tomada de subsídios sobre IA e revisão de decisões automatizadas. Houve consenso em torno de transparência, explicabilidade e revisão humana para decisões de alto risco. Houve dissenso em pontos centrais, como a base legal aplicável ao treinamento de sistemas. Prever como isso vai terminar é chute. O que dá para afirmar é que a exigência de explicar uma decisão automatizada não depende dessa regulamentação para existir.

O que mudou de tom em 2026 foi a postura de fiscalização. Em julho, a ANPD abriu fiscalização coordenada sobre o uso de reconhecimento facial por 23 clubes de futebol, apontando transparência inadequada e proteção insuficiente de dados. Foi medida preventiva, sem multa, com prazo para os fiscalizados apresentarem relatórios de impacto. Para o varejo, o recado é direto: câmera que identifica pessoa dentro da loja entra na mesma categoria de escrutínio, e a defesa é documental antes de ser jurídica.

Em paralelo, o marco legal de IA segue em tramitação na Câmara, aprovado pelo Senado no fim de 2024 e sem votação final até aqui. O texto do Senado prevê avaliação de impacto prévia, registro operacional e supervisão humana para sistemas classificados como de alto risco. Nenhuma rede precisa esperar o desfecho para começar: os controles listados neste texto são os mesmos que qualquer versão do marco vai exigir.

O que medir desde o primeiro dia

Sem linha de base, qualquer discussão sobre risco vira opinião na sala. Três métricas sustentam o resto do programa:

1. Taxa de acerto por tipo de tarefa, medida sobre casos que o sistema não viu antes. Agregar categorias diferentes numa média única esconde exatamente o caso que dói, e no varejo o caso que dói costuma ser perecível.
2. Custo por resultado útil, que é o custo por execução dividido pela taxa de acerto. É a métrica que traduz qualidade em orçamento, e a que sobrevive à conversa com o financeiro.
3. Proporção de execuções que precisaram de intervenção humana, aberta por motivo. Se ela cai ao longo do tempo, a automação está amadurecendo. Se sobe, algo mudou no dado ou no processo e ninguém percebeu.

Vale acrescentar uma quarta no varejo: tempo até descobrir que o sistema piorou. Numa operação com sazonalidade forte, a qualidade pode cair em silêncio por semanas. A pergunta que a diretoria deveria fazer não é "o sistema está funcionando", é "quanto tempo levaria para descobrirmos que parou".

Quem responde pelo quê

Governança sem dono nomeado vira responsabilidade difusa, que no incidente vira responsabilidade de ninguém. O desenho mínimo que funciona atribui três papéis distintos. A área de negócio dona do processo define o critério de qualidade e o limite de alçada, porque é ela que conhece o custo do erro. A engenharia implementa os controles e a instrumentação, e responde por eles estarem ativos. A área de privacidade e compliance define o que pode ser tratado e por qual base legal, e audita a trilha em vez de aprovar slides.

O comitê continua existindo, com uma função diferente: ler número, não aprovar intenção. Uma reunião de governança que abre com o painel de taxa de acerto, custo por resultado e incidentes do período é útil. Uma que abre com a apresentação da política é cerimônia.

A consequência prática

Governança que não produz número não sobrevive ao primeiro corte de orçamento, porque não consegue provar o que evitou. E governança que só produz documento não impede o incidente que ela deveria prevenir.

O caminho mais curto é o mesmo que separa um piloto de IA de um sistema em produção: definir o contrato antes de conceder autonomia. Qual entrada o sistema aceita, qual alçada tem, quanto pode custar por execução, como se mede se está certo e o que acontece quando falha. Quanto mais autonomia o sistema tem sobre a operação, mais esse contrato precisa estar em código, e menos ele pode depender de alguém lembrar da política na hora certa.