Duas comissões de governança convivem hoje em boa parte das empresas que já rodam algum agente de IA em produção: uma mais antiga, focada em qualidade, acesso e linhagem do dado; outra mais nova, criada às pressas quando o primeiro piloto de IA generativa escapou do controle, focada em risco de modelo, viés e aprovação de caso de uso. As duas têm mandato parecido — decidir o que pode rodar, sob que controle, sob responsabilidade de quem — mas raramente compartilham reunião, planilha de risco ou linguagem.
Esse desenho não nasceu de um plano. Nasceu da velocidade: o programa de dados já existia havia anos quando o agente autônomo chegou rápido demais pra esperar a reestruturação de um comitê com pauta cheia. O resultado é duas estruturas paralelas — e uma zona cinzenta no meio, onde ninguém decide quem aprova o agente que age sobre um dado que o outro comitê já supervisiona.
O sintoma: dois comitês, uma zona cinzenta no meio
O padrão aparece assim que um agente erra em produção: o comitê de IA revisa o modelo, o prompt, o log de decisão — e conclui que o modelo "se comportou como esperado" dado o que recebeu. O comitê de dados nunca chegou a ver o caso, porque na cabeça de todo mundo aquilo era "problema de IA", não "problema de dado". O incidente fica sem dono real: cada comitê investigou a metade do problema que cabia no próprio mandato.
Os números mostram a mesma fragmentação em escala. Uma pesquisa da McKinsey de 2026 encontrou que 70% das empresas da Fortune 500 já têm comitê de risco de IA, e 41% montaram um time dedicado de governança de IA — quase sempre reportando fora da linha que já cuidava de qualidade e acesso de dado. Um levantamento da Gartner com mais de 1.800 executivos, do mesmo ano, encontrou 55% das empresas com conselho ou comitê formal de supervisão de IA. A estrutura nova cresceu rápido; a pergunta de como ela se encaixa na antiga ficou pra depois.
Governança de IA que nasce ao lado da governança de dados resolve o problema errado duas vezes — uma vez em cada comitê.
A lacuna de responsabilidade não fica só entre comitês — sobe até o topo. A mesma pesquisa da McKinsey encontrou que apenas 28% das empresas dizem que o CEO assume responsabilidade direta pela governança de IA, e só 17% atribuem isso ao board. Mesmo com 62% dos boards discutindo IA com regularidade, só 27% formalizaram o tema no estatuto de algum comitê. Existe debate sobre IA em quase toda diretoria — mas raramente existe um dono único, formal, de quem responde quando o programa falha.
Por que virou debate aberto em 2026
O gasto confirma que a dúvida não é acadêmica. A Gartner projeta que o mercado de plataformas de governança de IA vai movimentar US$ 492 milhões em 2026 — mais que o dobro de 2024 — e passar de US$ 1 bilhão até 2030, empurrado por regulação que deve cobrir 75% das economias do mundo até lá. Empresa que adota uma dessas plataformas tem 3,4 vezes mais chance de reportar alta efetividade na própria governança de IA, segundo pesquisa da Gartner com 360 organizações no segundo trimestre de 2025 — mas comprar ferramenta não resolve a pergunta de estrutura por trás dela.
No Gartner Data & Analytics Summit 2026 — em Orlando, Londres e Sydney —, analistas como Sarah Turkaly e Anurag Raj apresentaram a mesma tese em sessões dedicadas: a empresa chegou a um ponto de virada em que a governança de dado e analytics pode virar o único ponto de falha da estratégia de IA. A formulação repetida nas três edições — "governança de IA, por IA e para IA" — não trata os dois programas como mundos separados; trata governança de dado como a fundação sobre a qual qualquer governança de IA precisa ser construída, não como disciplina irmã que evolui em paralelo.
A maioria dos incidentes de agente nasce no lado errado da linha
Já mostramos que um agente exige um padrão de dado mais rígido do que um dashboard em quatro eixos específicos: frescor, contexto de negócio, controle de acesso por identidade e rastreabilidade de ponta a ponta. Quando um comitê de IA investiga um agente que decidiu errado e não enxerga esses quatro eixos como parte do próprio escopo, ele está avaliando o sintoma sem examinar a causa mais provável.
A maioria dos incidentes que parecem falha de modelo são, na raiz, falha de dado que ninguém catalogou como tal.
O mesmo vale pro lado da automação. Governança de dados como código já resolve, de forma automática, o atributo de rastreabilidade que toda investigação de incidente de agente precisa consultar primeiro — de onde veio o dado, quando foi atualizado, que regra foi aplicada. Empresa que trata isso como propriedade exclusiva do programa de dados, sem ponte com o comitê de IA, reconstrói de memória uma trilha que já existia automatizada em outro lugar da própria casa.
Isso não significa que governança de IA seja só governança de dados com nome novo. Viés de classificação, prompt injection, alucinação factual e a decisão de quando um agente age sem revisão humana são problemas que a instrumentação tradicional de dado não cobre sozinha. A pergunta certa não é "um programa elimina o outro" — é onde a fronteira fica, e quem cruza ela quando um incidente não respeita a divisão do organograma.
Um programa, duas camadas: o desenho que fecha o buraco no meio
O desenho que evita a zona cinzenta não é fundir os dois comitês numa reunião só, nem manter dois programas que nunca se falam. É tratar governança de IA como uma segunda camada que herda, obrigatoriamente, a primeira:
- Camada de fundação — governança de dado como pré-requisito de onboarding. Nenhum agente entra em produção sem passar pelos quatro atributos de dado pronto pra IA já auditados pelo programa existente. Isso elimina o cenário em que o comitê de IA aprova um caso de uso sem saber que o dado por trás nunca foi avaliado pra esse padrão.
- Camada específica — risco que só existe porque o consumidor decide sozinho. Viés, explicabilidade, teste adversarial, política de quando exigir revisão humana antes da ação. Isso fica com o comitê de IA porque exige competência que o time de dado tradicionalmente não tem — não porque o assunto seja menos importante.
- Escalonamento único, não duplo. Quando um agente erra, existe um só caminho de investigação que passa pelas duas camadas na ordem certa — dado primeiro, modelo depois — em vez de duas investigações paralelas que nunca se encontram.
- Um responsável nomeado por caso de uso, não só por comitê. O papel de dono do agente já responde por isso no nível operacional — a mesma lógica de responsabilidade nomeada precisa existir um nível acima, na decisão de qual comitê aprova o quê antes do agente ir ao ar.
- Trilha de auditoria compartilhada, não duplicada. A rastreabilidade que a governança de dado como código já produz automaticamente vira insumo direto de qualquer investigação de IA — sem que o comitê de IA precise reconstruir a mesma informação com ferramenta própria.
A pressão regulatória empurra na mesma direção. A ANPD já elegeu IA como eixo de fiscalização mesmo com o marco legal travado no Congresso, e a própria Gartner projeta que, até 2030, metade das empresas vai usar agente autônomo pra traduzir política de governança em contrato de dado verificável por máquina — o tipo de automação que só funciona se as duas camadas já falam a mesma linguagem hoje.
A pergunta não é qual comitê vence — é onde a fronteira fica
Programa único ou dois programas nunca foi disputa de organograma por si — é disputa por quem examina o quê primeiro quando algo dá errado. Empresa que trata governança de IA como extensão da governança de dado, com fronteira explícita e escalonamento único, entra em cada incidente sabendo por onde começar a investigação. Empresa que deixa os dois comitês crescerem em paralelo sem ponte formal só descobre a fronteira depois que um incidente cai exatamente no meio dela.
Perguntas que sempre voltam
Fechando, as dúvidas mais comuns sobre estruturar governança de IA e governança de dados.
Governança de IA e governança de dados são a mesma coisa?
Não. Governança de dados rege qualidade, acesso e linhagem do dado; governança de IA rege como um modelo ou agente é aprovado, monitorado e desligado — incluindo risco que o dado sozinho não cobre, como viés de classificação, prompt injection e a decisão de exigir revisão humana antes de uma ação. São disciplinas distintas, mas a maioria dos incidentes atribuídos à IA nasce de um problema de dado que o programa de dado já tinha — ou deveria ter — coberto.
Preciso de um comitê de IA separado do comitê de dados?
Depende da maturidade e da exposição regulatória da empresa, mas o risco maior não é ter dois comitês — é ter dois comitês sem ponte formal entre eles. O desenho mais robusto trata governança de IA como uma segunda camada que herda obrigatoriamente a primeira: nenhum agente entra em produção sem passar pelos atributos de dado pronto pra IA já auditados pelo programa existente, com um único caminho de escalonamento quando algo falha.
Quem deve responder quando um agente erra por causa de dado ruim?
O dono nomeado daquele agente específico é o primeiro ponto de contato operacional, mas a investigação precisa seguir a fronteira certa: dado primeiro, modelo depois. Se o programa de dado e o programa de IA nunca compartilharam trilha de auditoria, essa investigação reconstrói de memória uma informação que já existia automatizada em outro lugar da própria empresa — o motivo mais comum pra incidente levar semanas pra ser explicado em vez de minutos.