Acompanhando a publicação do terceiro relatório anual de IA responsável da Microsoft, na semana passada, uma constatação me chamou atenção antes mesmo de qualquer novidade técnica: a régua da governança mudou de lugar.
Não se trata mais de aprovar ou vetar o uso de uma ferramenta de IA. O relatório reconhece que sistemas agênticos retêm memória, usam ferramentas e agem em nome de pessoas, muitas vezes sem supervisão direta a cada passo.
Isso desloca a pergunta central de quem lida com tecnologia nas empresas. Deixa de ser “qual modelo estamos usando” e passa a ser “como governamos a cadeia inteira de decisões que esse modelo agora consegue disparar sozinho”.
A Microsoft reestruturou seu próprio padrão interno de IA responsável para responder a essa mudança. Em vez de organizar as regras por caso de uso, o novo modelo separa exigências por camada da pilha tecnológica, modelo, serviço de plataforma e aplicação, combinando uma base comum com requisitos específicos conforme o cenário de risco.
Segundo a própria empresa, três forças motivaram essa reformulação: a velocidade da adoção corporativa, a expansão de sistemas generativos e agênticos, e o crescimento do uso conversacional por parte do público em geral. A elas se somam o aumento do uso indevido, fraudes e golpes que exploram a confiança das pessoas na tecnologia, e um ambiente regulatório que muda mais rápido do que qualquer política interna consegue acompanhar.
(Vejo um paralelo direto com o que já vivemos em segurança da informação há anos: aprovar um sistema uma única vez, na entrada, nunca foi suficiente. O risco não é estático, então o controle também não pode ser.)
É exatamente esse deslocamento, de aprovação pontual para acompanhamento contínuo, que o relatório da Microsoft formaliza. A empresa relata ter capacitado perto de 20 mil pessoas, entre engenheiros, formuladores de política e clientes, e obteve certificação ISO 42001 para produtos como o Copilot, o Foundry e o GitHub Copilot.
Olhando para o cenário brasileiro, o contraste é instrutivo. A LGPD já impõe responsabilização sobre como dados são tratados, mas foi desenhada antes da explosão de sistemas agênticos. O PL 2338 caminha na direção de tratar a IA por nível de risco, ainda em maturação legislativa, enquanto empresas como a Microsoft já operam suas próprias camadas de exigência internamente, sem esperar a lei chegar.
Isso não torna a regulação brasileira dispensável. Torna ainda mais claro que ela e a governança corporativa precisam caminhar juntas, não uma substituindo a outra.
O ponto central, para mim, não é o tamanho do investimento da Microsoft, nem a sofisticação das ferramentas que ela descreve. É a constatação de que capacidade de modelo, isoladamente, não determina o impacto da IA em uma organização. Quem determina é a estrutura de governança ao redor dele.
Vale a pergunta, então, para quem lidera tecnologia ou negócio em qualquer empresa brasileira: sua governança de IA hoje trata um modelo isolado, ou já reconhece o sistema inteiro que ele passou a acionar?
Seguimos!
