DCODER

Tag: governança

  • AI Act depois do Digital Omnibus: o que já vale e o que foi adiado

    O Digital Omnibus adiou as obrigações de alto risco do AI Act europeu — Anexo III para 2 de dezembro de 2027 e Anexo I para 2 de agosto de 2028 — mas não adiou as regras de transparência do artigo 50, que passaram a valer em 2 de agosto de 2026. Quem tem chatbot, gera conteúdo com IA ou usa reconhecimento de emoção já está dentro do prazo, agora.

    A notícia que circulou foi “adiaram o AI Act”. A leitura correta é mais estreita: adiaram uma parte, mantiveram outra, e a parte mantida é justamente a que atinge o maior número de empresas.

    O que mudou, em ordem

    A Comissão Europeia publicou a proposta de simplificação em 19 de novembro de 2025. Depois de negociação entre as instituições, o acordo político saiu em maio de 2026, o Conselho aprovou em 29 de junho de 2026, e o texto entrou em vigor em 27 de julho de 2026.

    ObrigaçãoPrazo originalPrazo atual
    Alto risco, Anexo III (sistemas autônomos)2 de agosto de 20262 de dezembro de 2027
    Alto risco, Anexo I (IA embarcada em produto regulado)2 de agosto de 20272 de agosto de 2028
    Transparência, artigo 502 de agosto de 2026sem alteração

    O artigo 50, que é o que vale agora

    São quatro regras, e elas atingem empresa de qualquer porte que tenha contato com o público europeu:

    1. Avisar que é uma IA. Quem oferece um sistema que conversa com pessoas precisa deixar claro que não é humano, a menos que seja óbvio pelo contexto.
    2. Marcar conteúdo sintético. Áudio, imagem, vídeo e texto gerados por IA precisam de marcação legível por máquina, com exceções definidas.
    3. Identificar deepfake. Quem publica conteúdo que imita pessoa real precisa declarar que é gerado ou manipulado — inclusive sem intenção de enganar.
    4. Avisar sobre reconhecimento de emoção e categorização biométrica. Quem é submetido a esses sistemas precisa saber.

    Há uma janela para um caso específico: sistemas generativos que já estavam no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para implementar a marcação legível por máquina.

    As multas do artigo 50 seguem a faixa do artigo 99(4): até 15 milhões de euros ou 3% do faturamento mundial, o que for maior. As práticas proibidas ficam na faixa mais alta, de 35 milhões ou 7%.

    Por que isso interessa a uma empresa no Brasil

    Por três motivos, e nenhum deles depende de a empresa ter escritório na Europa.

    Alcance. A lei se aplica a quem coloca sistema no mercado europeu ou cuja saída é usada lá. Um atendimento automatizado que responde a cliente europeu entra na conta.

    Cadeia de fornecimento. Se você é fornecedor de uma empresa que precisa cumprir, a exigência desce por contrato. Isso costuma chegar antes da lei, na forma de um questionário de compliance do cliente.

    O texto brasileiro segue o mesmo desenho. O PL 2338/2023 foi aprovado pelo Senado em 10 de dezembro de 2024 e tramita na Câmara, em comissão especial. Ele adota a mesma lógica de classificação por nível de risco, direitos de explicação e contestação, e prevê sanções que chegam a R$ 50 milhões por infração. Quem se organiza para o texto europeu chega pronto ao brasileiro.

    O que o adiamento não significa

    O adiamento move a data de entrega, não reduz a obrigação. Documentação técnica, avaliação de conformidade, registro e supervisão humana continuam sendo exigidos — só que mais tarde.

    E aqui vale a única recomendação de gestão deste texto: a empresa que trata o adiamento como folga vai fazer o mesmo trabalho em dezembro de 2027, com menos tempo e mais caro. O que muda com a nova data é a possibilidade de fazer isso direito, distribuído em vários trimestres.

    O que fazer nos próximos noventa dias

    1. Inventário. Liste onde a empresa usa IA hoje, incluindo o que veio embutido em sistema comprado.
    2. Classifique. Para cada item, responda: fala com pessoa? gera conteúdo? decide sobre pessoa? As três perguntas resolvem a triagem inicial.
    3. Ajuste o aviso. Se existe atendimento automatizado, garanta a informação de que é um sistema e o caminho para um humano. É a correção mais barata da lista, e é a que está no prazo.
    4. Guarde evidência. Print de tela, data, versão. Conformidade que não pode ser mostrada não conta.

    A DCODER organiza uso de IA em empresa com inventário, regra escrita e registro de decisão — o material que a conformidade vai pedir. Converse com o estúdio em dcoder.io.

  • Grupo de controle: como provar que a IA deu resultado

    Um grupo de controle é uma parte da operação que segue sem a IA, de propósito, durante toda a janela de medição. No fim, comparam-se os dois lados. A diferença que sobra é o efeito real da ferramenta — e não o efeito do mês cheio, do funcionário novo ou da campanha que rodou junto.

    É a única técnica barata que separa causa de coincidência. E é a que quase ninguém usa, porque parece complicada e não é.

    O problema que ela resolve

    A cena se repete. A empresa liga um assistente de IA no atendimento em março. Em abril, o tempo de resposta caiu 20%. Todo mundo comemora e o projeto é aprovado.

    Só que em março também entraram dois atendentes novos, o carnaval acabou, e o time passou por um treinamento de produto. Qual parte dos 20% foi a IA? Ninguém sabe. E quando o diretor financeiro perguntar isso na revisão de orçamento, a resposta vai ser um silêncio caro.

    O grupo de controle responde a essa pergunta com um número em vez de uma opinião.

    Como montar, em cinco passos

    1. Escolha o que vai ser medido, antes de ligar

    Uma métrica principal, no máximo duas de apoio. Escolhida antes, escrita, e não trocada depois. Trocar a métrica no meio porque a primeira não melhorou é o erro mais comum e o mais difícil de perceber.

    Métrica boa é a que já é coletada hoje, sem trabalho extra: tempo até a primeira resposta, casos resolvidos por pessoa por dia, taxa de retrabalho, prazo de fechamento.

    2. Divida em dois grupos parecidos

    Metade com a ferramenta, metade sem. O corte precisa ser aleatório ou, no mínimo, equilibrado. Não vale dar a IA para o time que já era melhor — é o jeito mais rápido de gerar um resultado bonito e falso.

    Se a operação for pequena demais para dividir pessoas, divida por turno, por dia da semana ou por fila de atendimento.

    3. Registre a linha de base

    Quatro semanas de dado dos dois grupos antes de ligar qualquer coisa. Sem isso, não existe comparação — existe impressão.

    4. Deixe rodar sem mexer

    De seis a doze semanas, dependendo do volume. Durante a janela, não mude a ferramenta, não troque as pessoas de grupo, não ajuste a métrica. Toda alteração no meio joga fora o que já foi coletado.

    5. Compare a diferença das diferenças

    Não compare só o grupo com IA antes e depois. Compare quanto cada grupo mudou:

    AntesDepoisVariação
    Grupo com IA100130+30%
    Grupo sem IA100112+12%
    Efeito da IA+18 pontos

    Os 12% do grupo sem IA são a sazonalidade, o treinamento e tudo o mais que aconteceu no período. Sem o grupo de controle, a empresa teria anunciado 30%. Os números da tabela são ilustrativos, mas a forma da conta é essa.

    As três objeções, respondidas

    “É injusto deixar metade sem a ferramenta.” É temporário, e o ganho é que a outra metade recebe uma ferramenta que se sabe que funciona. Se não funcionar, você poupou a empresa de estender um problema para todo mundo.

    “Nossa operação é pequena demais.” Divida por dia ou por turno. Com dez pessoas ainda dá para fazer, e o resultado é menos preciso mas continua sendo mais honesto que nenhum.

    “Não temos tempo.” O tempo é gasto de qualquer jeito, mais tarde, discutindo se valeu a pena. A diferença é que sem grupo de controle essa discussão nunca termina.

    Por que isso importa mais do que parece

    A literatura sobre ganho de produtividade com IA é menos unânime do que o marketing sugere. Um estudo do MIT com atendimento ao cliente encontrou ganho médio expressivo, concentrado nos profissionais menos experientes. Um experimento da Harvard Business School com consultores da BCG mostrou ganho grande em tarefas dentro da fronteira de capacidade do modelo e perda de acerto em tarefas fora dela. E um experimento da METR, em 2025, encontrou desenvolvedores experientes ficando mais lentos com IA em bases de código que já conheciam — enquanto acreditavam estar mais rápidos.

    A conclusão não é que IA não funciona. É que o efeito depende da tarefa, da pessoa e do contexto — e que a percepção de quem usa não é medida confiável. Só o dado do seu caso responde pelo seu caso.

    O que se ganha além do número

    Um resultado medido sobrevive à troca de diretor, ao corte de orçamento e à pergunta difícil na reunião de conselho. “Melhorou” morre na primeira revisão de custos. “Melhorou 18 pontos contra o grupo de controle, entre março e maio” não.

    A DCODER implanta IA com linha de base, grupo de controle e janela de medição definidos em contrato. Converse com o estúdio em dcoder.io.

  • Inventário de IA: como descobrir o que a sua equipe já usa

    Antes de decidir qualquer coisa sobre IA, a empresa precisa da lista do que já está sendo usado. Não a lista do que foi contratado — a do que as pessoas abrem todo dia. Nas empresas onde esse levantamento é feito, a lista real costuma ser duas a três vezes maior que a lista oficial.

    É um trabalho de duas semanas, custa uma planilha, e é o único passo que não dá para pular. Política escrita sem inventário regula um uso imaginário.

    Por que a lista oficial está sempre errada

    Ferramenta de IA entra na empresa por baixo. Alguém do comercial começou a usar um assistente para escrever proposta. O time de suporte descobriu um tradutor. Um desenvolvedor assinou uma ferramenta de código no cartão pessoal e pede reembolso como “software”. Nada disso passa por compras, e nada disso aparece no inventário de TI.

    O resultado é uma empresa que acha que tem duas ferramentas e tem onze. E as nove que ninguém sabe são justamente as que ninguém configurou.

    A regra que faz o levantamento funcionar

    Uma só, e ela precisa ser dita em voz alta antes de começar: este levantamento não pune ninguém.

    Se a equipe suspeitar que responder honestamente vai gerar bronca ou proibição, o inventário volta limpo e inútil. A frase que funciona é simples: queremos saber o que ajuda, para contratar direito e liberar com segurança. E depois é preciso cumprir isso.

    As quatro fontes, em ordem de esforço

    1. O financeiro (uma hora)

    Puxe os últimos seis meses de cartão corporativo e de reembolso, e procure por assinaturas mensais em dólar de valor baixo. É a fonte mais rápida e a mais reveladora, porque pega o que foi pago sem passar por compras.

    2. Uma pergunta por escrito (três dias)

    Um formulário de quatro perguntas, para todo mundo:

    • Que ferramenta de IA você usou no último mês?
    • Para qual tarefa?
    • Quanto tempo isso economiza por semana, no seu chute?
    • É conta da empresa ou sua?

    A terceira pergunta parece ingênua e é a mais valiosa: ela mostra onde a equipe percebe ganho, que quase nunca é onde a diretoria imagina.

    3. Os sistemas que já têm IA embutida (meio dia)

    Esta é a categoria que todo mundo esquece. O CRM que sugere resposta, o ERP que classifica lançamento, a ferramenta de recrutamento que ordena currículo, o antivírus que decide o que é ameaça, a plataforma de atendimento que resume conversa. A empresa não “adotou IA” nesses casos — ela veio na atualização.

    É também a categoria com mais risco regulatório, porque triagem de currículo e análise de crédito costumam entrar nas listas de alto risco das leis que estão chegando.

    4. Os agentes e automações próprios (meio dia)

    Fluxos de automação, robôs de atendimento, scripts que alguém montou e que hoje ninguém sabe manter. Pergunte quem construiu e quem mantém. Quando as duas respostas são a mesma pessoa e ela é uma só, você achou um risco de continuidade.

    As sete colunas da planilha

    ColunaPara que serve
    FerramentaNome e endereço.
    Quem usaÁrea e número aproximado de pessoas.
    Para quêA tarefa, em uma frase.
    Que dado entraPúblico, interno, pessoal ou sensível. A coluna que decide tudo.
    ContaDa empresa ou pessoal.
    Decide sozinha?Se a saída vira ação sem revisão humana.
    Quem respondeUm nome. Não uma área.

    As duas últimas colunas são as que transformam a planilha em decisão. Onde a resposta for “decide sozinha, e ninguém revisa”, você tem uma prioridade, não um item de lista.

    Como ordenar o resultado

    Não trate tudo igual. Ordene por dois eixos: que dado entra, e se a saída vira ação automática.

    • Dado pessoal ou sensível + decisão automática: resolver primeiro, sem exceção.
    • Dado pessoal + revisão humana: segundo. Precisa de contrato e prazo de retenção.
    • Dado interno + revisão humana: terceiro. Costuma bastar conta corporativa.
    • Dado público: deixe rodar e siga em frente.

    Nas empresas que fizemos esse levantamento, a primeira faixa costuma ter dois ou três itens. É uma tarde de trabalho resolver, depois que eles têm nome.

    O que fazer no dia seguinte

    Inventário que fica na gaveta é tempo perdido. Três coisas saem dele, direto:

    1. A política de uma página, escrita com base no uso real e não no imaginado.
    2. A consolidação de contas: as pessoais viram corporativas, e o custo total aparece pela primeira vez.
    3. A data da próxima revisão. A lista envelhece em seis meses. Marque no calendário antes de fechar a planilha.

    A DCODER faz esse levantamento como primeira etapa de qualquer trabalho de IA em empresa — antes de propor ferramenta, sistema ou automação. Converse com o estúdio em dcoder.io.

  • Política de uso de IA em uma página: o que precisa estar escrito

    Uma política de uso de IA que funciona cabe em uma página e responde a quatro perguntas: o que pode ser colado numa ferramenta de IA, o que nunca pode, quem responde pelo resultado, e o que fazer quando sai errado. Documento maior que isso não é lido, e política não lida não protege ninguém.

    A maior parte das empresas está no pior dos mundos: a equipe já usa IA todos os dias, e não existe nada escrito. Não é caso de proibir — proibição empurra o uso para o celular pessoal, onde ninguém vê. É caso de escrever a regra que já deveria existir.

    Por que uma página, e não vinte

    Política longa é escrita para o auditor e ignorada pela equipe. O objetivo aqui é outro: que alguém no segundo dia de casa leia em três minutos e saiba o que fazer. Se precisar de mais de uma página, o que sobra vira anexo.

    As quatro seções

    1. O que pode entrar

    Liste o que é liberado, por nome. Ambiguidade gera consulta ao gestor, e consulta ao gestor gera atalho.

    • Texto público da empresa: material de marketing, conteúdo do site, descrição de produto.
    • Documento interno sem dado pessoal e sem número financeiro: procedimento, manual, roteiro de treinamento.
    • Código de projeto próprio, quando o contrato com o cliente permite.
    • Rascunho, resumo de reunião e tradução que a pessoa vai revisar antes de usar.

    2. O que nunca entra

    Esta é a seção que a empresa precisa acertar, e é curta de propósito:

    • Dado pessoal de cliente — nome com CPF, endereço, telefone, e-mail, histórico de compra.
    • Dado sensível — saúde, biometria, dado de criança, origem racial, convicção religiosa ou política.
    • Credencial — senha, chave de API, token, certificado, string de conexão.
    • Informação sob acordo de confidencialidade, incluindo código e documento de cliente.
    • Número financeiro não divulgado — faturamento, margem, folha, proposta em negociação.

    E uma frase que evita metade das dúvidas: na dúvida sobre um dado, ele não entra.

    3. Quem responde pelo resultado

    Este é o ponto que mais falta nas políticas que circulam por aí. A regra é uma linha, e não admite exceção:

    Quem envia responde pelo que sai. O modelo não assina, não responde a processo e não é citado em auditoria. Se um texto gerado por IA vai para um cliente, quem apertou o botão respondeu por ele.

    Do que decorre uma lista curta do que exige revisão humana antes de sair:

    • Qualquer texto enviado a cliente, fornecedor ou órgão público.
    • Qualquer número que embase uma decisão.
    • Qualquer código que vá para produção.
    • Qualquer conteúdo publicado com o nome da empresa.

    4. O que fazer quando erra

    Modelos erram, e erram com confiança. A política precisa dizer o que acontece depois, sem transformar o episódio em caça às bruxas — senão o próximo erro é escondido.

    • Quem percebeu avisa o responsável pela área no mesmo dia.
    • O erro é anotado em um registro simples: o que aconteceu, o que causou, o que mudou.
    • Se saiu dado que não podia sair, o caso vira incidente e segue o procedimento de segurança que já existe.
    • A política é revista quando o mesmo tipo de erro aparece duas vezes.

    Três linhas que vale acrescentar

    Ferramentas autorizadas. Nomeie as que a empresa contratou e diga que outras precisam de aprovação. Sem lista, cada um usa a que achou primeiro.

    Conta corporativa, não pessoal. Contas de trabalho costumam ter configuração diferente de retenção e de uso do conteúdo para treino. É a diferença mais barata que existe entre risco alto e risco baixo.

    Avisar quando o cliente fala com um sistema. Se a empresa atende por agente automatizado, a pessoa precisa saber disso e ter um caminho para falar com um humano. Além de boa prática, virou obrigação legal em vários mercados.

    O que não colocar

    Não coloque lista de modelos permitidos por versão — envelhece em semanas. Não coloque promessa de percentual de produtividade. Não copie política de outra empresa sem adaptar: a lista do que nunca entra depende do que a sua empresa trata.

    Como colocar no ar

    1. Escreva a versão 1 em uma hora, com o que você já sabe. Ela não precisa ser boa, precisa existir.
    2. Mostre para duas pessoas que usam IA todo dia e pergunte o que a política proíbe que elas já fazem. A resposta é o mapa do problema real.
    3. Publique num lugar único, com data e responsável no rodapé.
    4. Marque a revisão daqui a seis meses no calendário. Sem data marcada, não acontece.

    Uma política de uma página, escrita e conhecida, protege mais do que um manual de trinta que ninguém abriu.

    A DCODER organiza o uso de IA dentro de empresas: inventário, regra escrita, fonte única e medição de uso. Converse com o estúdio em dcoder.io.

  • ISO/IEC 42001 e NIST AI RMF explicados sem jargão

    A ISO/IEC 42001 é uma norma certificável que define como a empresa gerencia IA. O NIST AI RMF é uma estrutura voluntária, gratuita, que organiza o mesmo problema em quatro funções. Para a maioria das empresas, o caminho útil é usar o segundo como roteiro de trabalho e deixar o primeiro para quando um cliente exigir o certificado.

    São os dois nomes que aparecem em toda apresentação de governança de IA, quase sempre sem explicação. Vale entender o que cada um é antes de decidir se serve.

    ISO/IEC 42001, em português claro

    Publicada no fim de 2023, é a primeira norma internacional para sistema de gestão de inteligência artificial. Ela segue a mesma lógica que a ISO 9001 usa para qualidade e a 27001 para segurança da informação: não diz que tecnologia usar, diz como a organização precisa se estruturar para gerenciá-la.

    Na prática, ela exige que a empresa tenha:

    • Política de IA aprovada pela direção, com papéis e responsáveis nomeados.
    • Inventário dos sistemas de IA em uso, mantido atualizado.
    • Avaliação de risco e de impacto para cada sistema.
    • Controle sobre dados, fornecedores e ciclo de vida.
    • Registro de decisão, auditoria interna e revisão pela direção.

    É certificável, e essa é a diferença que importa. Um organismo credenciado audita e emite um certificado que a empresa pode mostrar em concorrência.

    NIST AI RMF, em português claro

    Publicado em janeiro de 2023 pelo instituto de padrões dos Estados Unidos, é voluntário, gratuito e não certificável. Organiza o trabalho em quatro funções:

    FunçãoPergunta que responde
    GovernQuem decide, quem responde, qual é a regra escrita?
    MapOnde usamos IA, em que contexto, com que impacto sobre quem?
    MeasureComo sabemos que funciona, e como sabemos quando parou de funcionar?
    ManageO que fazemos com o risco que sobrou, e quem monitora?

    A vantagem é o custo: zero. A desvantagem é que ninguém emite papel no fim.

    As duas se contradizem?

    Não. Cobrem o mesmo terreno com linguagens diferentes, e o trabalho de campo é praticamente o mesmo: inventário, avaliação de risco, controle e revisão. Quem faz o NIST direito tem a maior parte do que a ISO vai pedir.

    A escolha, então, não é sobre conteúdo. É sobre se você precisa do certificado.

    Quando vale certificar

    Vale quando o certificado é a chave de uma porta:

    • Cliente corporativo ou órgão público que exige em edital ou em questionário de fornecedor.
    • Venda para mercado regulado — saúde, financeiro, seguros.
    • Empresa que já tem 27001 e pode aproveitar boa parte da estrutura de auditoria.

    Não vale quando:

    • Nenhum cliente pediu, e a empresa quer “estar preparada”. Preparação se faz com o trabalho, não com o papel.
    • A empresa tem menos de cinquenta pessoas e dois sistemas de IA. O custo de auditoria não se paga.
    • Não existe ainda inventário nem política. Certificar sem base é comprar auditoria para descobrir que falta tudo.

    O caminho barato que serve para os dois

    Independente da decisão sobre certificado, este é o trabalho — e ele vale por si:

    1. Inventário do que já é usado, incluindo o que veio embutido em sistema comprado.
    2. Uma página de política: o que pode, o que não pode, quem responde, o que fazer quando erra.
    3. Um responsável com nome, não uma área. Diretoria decide, alguém executa.
    4. Registro de decisão: por que ligamos isso, o que esperávamos, o que aconteceu. Três linhas por sistema.
    5. Revisão marcada em calendário, semestral.

    Isso é entre duas e quatro semanas de trabalho numa empresa média, custa o tempo de quem faz, e cobre a maior parte do que qualquer uma das duas referências pede — além de ser exatamente o material que uma exigência regulatória vai cobrar.

    O erro comum

    Empresas começam pelo documento e param no documento. Governança que existe só em PDF não sobrevive à primeira auditoria séria, porque auditor não pede o texto da política: pede o registro de que ela foi aplicada. Um inventário com data de atualização vale mais que um manual bonito.

    A DCODER trabalha o lado prático dessas referências: inventário, regra escrita e registro — sem transformar governança em papelada. Converse com o estúdio em dcoder.io.