Em fevereiro de 2025, o Programa Global de Salas de Conselho da Deloitte fechou a segunda edição da sua pesquisa sobre governança de IA: 695 conselheiros e executivos, em 56 países. O resultado mais comentado foi de alívio — a fatia de conselhos sem IA na pauta caiu de 45% para 31% em relação à edição anterior.
Só que "estar na pauta" e "ter visão sobre o que está acontecendo" são coisas diferentes. Uma pesquisa da Gartner com conselheiros não executivos, divulgada no fim de 2024, encontrou que 80% deles acreditam que a estrutura atual do próprio conselho é inadequada para supervisionar IA. E o levantamento mais recente da associação americana de conselheiros corporativos, a NACD, mostra 62% dos conselhos reservando tempo de pauta para o tema — mas só 27% tendo formalizado essa supervisão dentro do estatuto de algum comitê.
A leitura direta: a maioria dos conselhos já discute IA. Poucos conseguem, de fato, fiscalizá-la. E a razão não costuma ser falta de interesse — é que ninguém trouxe para a sala os números que tornariam isso possível.
Para conselhos de empresas brasileiras e latino-americanas, o mesmo hiato tende a pesar mais, não menos. A LGPD e as normas setoriais já cobram retenção, acesso e trilha de decisão sobre dados pessoais; quando a IA entra nesse fluxo sem controle equivalente, o conselho herda uma exposição que nenhuma ata vai resolver sozinha. O ponto de partida não é uma política nova — é a mesma pergunta que já se faz de qualquer outro risco relevante: como isso é medido, hoje, com que frequência, e quem responde por cada número.
Falar de IA não é fiscalizar IA
Um conselho fiscaliza risco de crédito porque existe um relatório trimestral com inadimplência, concentração e cobertura. Fiscaliza segurança da informação porque existe um comitê com indicadores de incidentes. Fiscalizar IA discutindo o quê, exatamente?
Na prática, a pauta de IA costuma ser uma apresentação de estratégia: onde a empresa quer chegar, quais projetos foram lançados, o que a concorrência está fazendo. É uma conversa importante — e, na maioria das empresas, é a única. Poucas dessas discussões chegam a um relatório operacional com dado verificável: quantas pessoas usam IA, com qual informação, sob qual autorização.
É esse vácuo que ajuda a explicar o 80% da Gartner. Não é que os conselheiros considerem a tecnologia perigosa demais; é que a estrutura de reporte que sustenta qualquer outra fiscalização de risco simplesmente não existe para IA na maior parte das empresas. O dado da NACD reforça o ponto pelo outro lado: 62% já falam sobre o tema regularmente, mas só 27% amarraram essa conversa a um comitê com responsabilidade formal — a diferença entre um assunto na pauta e um assunto sob supervisão real.
Essa diferença aparece primeiro quando algo dá errado. Numa auditoria de crédito ou numa investigação de segurança da informação, o comitê responsável já tem o relatório pronto — porque o relatório é rotina, não exceção. Com IA, na maioria das empresas, a pergunta "quem autorizou isso" ainda depende de reconstruir uma conversa que ninguém salvou em lugar nenhum.
Por que o relatório de licenças falha
A resposta mais comum quando um conselho pede visibilidade é um relatório de adoção: quantas licenças de determinada ferramenta foram compradas, quantos times foram treinados. É um número real — e é o número errado.
Ele não diz nada sobre o uso feito fora dessas licenças, em contas pessoais, com informação da empresa dentro. Não diz quanto está sendo gasto de fato por conversa, tarefa ou área. Não diz quantas decisões de risco passaram por alguma aprovação humana antes de sair. E, quando algo dá errado, não diz por onde reconstruir o que aconteceu.
O motivo é estrutural: uma licença é comprada por um departamento; o uso de IA acontece por pessoa, por sistema, por informação acessada. São unidades de medida diferentes. Por mais completo que seja, um relatório de compras nunca vai virar um relatório de uso.
E há um custo silencioso nesse desencontro: enquanto o conselho lê números de adoção, o time de risco e o time financeiro seguem sem visibilidade sobre o mesmo uso — cada um vendo apenas o pedaço que sua própria ferramenta consegue enxergar.
O que precisa existir na prática
Um painel de IA que um conselho possa realmente usar depende de mecanismos que existam por construção no ambiente de trabalho, não de um levantamento manual feito às vésperas da reunião.
Identidade corporativa como ponto de partida. Quando o acesso à IA vem do mesmo diretório que controla e-mail e sistemas internos, "quem usou o quê" deixa de ser uma pergunta de arqueologia de TI e vira um relatório direto — porque o desligamento de um colaborador e a perda de acesso acontecem no mesmo instante.
Acesso conforme o papel de cada pessoa. Sem isso, "quem podia acessar aquela informação" não tem resposta confiável — qualquer pessoa com acesso à IA teria, em tese, acesso a tudo que ela alcança.
Aprovação humana conforme o risco. Ações e documentos com potencial de impacto param antes de sair, dentro da própria conversa, com registro de quem aprovou. É o número que hoje quase nenhum conselho consegue citar: quantas decisões de risco passaram por essa etapa no trimestre.
Trilha de auditoria por área. Criar um agente, aprovar um conteúdo, mudar uma permissão — tudo com registro consultável. É a diferença entre reconstruir um incidente em minutos e depender da memória de quem estava na sala.
Custo visível por uso. Não uma fatura mensal única, mas o gasto associado a conversa, tarefa e área — a base de qualquer conversa sobre retorno de investimento que o conselho vai querer ter mais cedo ou mais tarde.
É assim que a Skyller foi desenhada: identidade vinda do diretório da empresa, com aprovação e trilha de auditoria como padrão do ambiente, não como relatório produzido sob encomenda.
O que muda quando o número existe
Com esses mecanismos, o relatório que hoje é quase impossível de produzir passa a se ler em cinco minutos: quantas pessoas usam IA, em quais áreas, com que informação, quantas decisões passaram por aprovação humana no período e quanto foi gasto.
Isso muda a conversa em duas direções. Para a diretoria, é a diferença entre acreditar que a área de IA está sob controle e mostrar isso com um número reproduzível — o tipo de evidência que reguladores e auditores já cobram de outras áreas de risco. Para o conselho, é a diferença entre debater tecnologia, assunto para o qual, como mostra o próprio dado da Gartner, a maioria não se sente preparada, e debater um relatório de risco, um formato que todo conselho já sabe ler.
O inverso também é verdadeiro: sem esses números, qualquer política de IA aprovada em ata vira uma promessa sem forma de verificar se está sendo cumprida.
Há também um efeito sobre a composição do próprio conselho. A pesquisa da Deloitte mostra conselhos repensando quem senta à mesa por causa da IA — buscando conselheiros com mais familiaridade com tecnologia. Um painel com números concretos reduz essa pressão: fiscalizar um relatório de risco não exige que todo conselheiro seja especialista na tecnologia por trás dele, do mesmo jeito que fiscalizar risco de crédito não exige que o conselho saiba programar um modelo de score.
Quatro perguntas para a pauta do conselho
Antes da próxima reunião em que IA estiver na pauta, estas quatro perguntas separam uma discussão de estratégia de uma fiscalização real:
- Quantas pessoas, hoje, têm acesso a IA na empresa — e por qual login? Se a resposta não vier do mesmo diretório que controla os demais sistemas, o número já nasce incompleto.
- Quanto foi gasto com IA no último trimestre, e em qual granularidade? Uma fatura única por fornecedor não é resposta; um gasto por área ou por tarefa, sim.
- Quantas decisões de risco passaram por aprovação humana antes de sair? Sem resposta numérica para isso, não há como saber se a política aprovada em ata está de fato em vigor.
- Se um incidente envolvendo IA acontecesse hoje, em quanto tempo o time reconstruiria o que houve? Com trilha de auditoria, minutos. Sem ela, depende de quem lembra.
