O conselho de administração também responde pela IA, mesmo sem operar nenhum sistema

O vácuo que a pesquisa do IBGC expôs

Sou auditor de sistemas críticos, e a pergunta que mais ouço de conselheiro é sempre a mesma: a IA já afeta o meu dever como administrador, ou isso ainda é assunto de comitê técnico? A pesquisa "Inteligência Artificial, Governança e Ética nos Conselhos de Administração das Empresas Brasileiras", do IBGC com a FGVethics, divulgada em outubro de 2026, dá uma resposta que incomoda. Ouviu 141 conselheiros, 55 deles relataram uso de IA em 58 colegiados diferentes. O achado central é um descompasso: 70,6% notam melhora na qualidade da decisão estratégica, mas só 20,7% têm diretriz formalmente documentada e só 27,6% têm alguma estrutura formal de supervisão da IA.
O ponto mais frágil de todos é o letramento. 93% dos respondentes acham o treinamento necessário. Só 31% receberam algum. Conselheiro que aprova ou questiona uma decisão de IA sem entender o mecanismo básico do modelo está confiando de olhos fechados, mesmo que a ata da reunião registre que o assunto foi discutido.

O que a Lei das S.A. já cobra, sem citar inteligência artificial

O artigo 153 da Lei nº 6.404/1976 exige que o administrador empregue o cuidado e a diligência que todo homem ativo e probo costuma empregar na administração dos próprios negócios. Esse dever se desdobra em quatro partes: informar-se, investigar, vigiar e intervir. Um conselho que nunca perguntou quantos sistemas de IA decidem algo na empresa falha no primeiro desdobramento, antes mesmo de chegar ao mérito de qualquer decisão específica tomada por um desses sistemas.
O artigo 159 completa o quadro: compete à companhia mover ação de responsabilidade civil contra o administrador pelos prejuízos causados ao patrimônio social. Prejuízo causado por um sistema de crédito automatizado que discriminou cliente, ou por um modelo de triagem de currículo que reproduziu viés, entra na mesma lógica de qualquer outro prejuízo. Alguém decidiu usar aquilo, ou aceitou que fosse usado sem supervisão, e a lei já tem instrumento para perguntar quem foi.

Delegar a operação não é delegar a pergunta

Uma objeção que escuto com frequência: o conselho não é operacional, então por que a responsabilidade recairia sobre ele e não sobre a diretoria executiva que escolhe e opera as ferramentas? A resposta está no mecanismo da própria lei. O conselho não precisa operar o sistema para responder por ele. Precisa ter cobrado, com evidência, que a diretoria soubesse o que estava decidindo sozinha. Delegar a operação é saudável. Delegar a pergunta "quem responde se isso der errado", sem nunca voltar a cobrar a resposta, é o que transforma delegação em omissão.

O auditor que chega depois e pergunta pela avaliação de impacto

Um cenário mostra onde isso quebra na prática. Um comitê de risco aprova, há dois anos, uma ferramenta de triagem de crédito baseada em IA generativa, sob justificativa de ganho de velocidade. O conselho nunca revisita o assunto, porque a aprovação consta como resolvida na ata daquele ano. Na auditoria externa seguinte, o auditor pergunta pela avaliação de impacto do modelo, e ela não existe. O sistema mudou de fornecedor e de versão três vezes desde a aprovação original, sem que nenhuma dessas mudanças voltasse ao conselho.
Na auditoria de SOX que eu conduzi numa mineradora, aprovada pela Ernst & Young sem ressalvas, o que sustentou a aprovação nunca foi a tecnologia usada em si. Foi o registro: quem decidiu, quando, com que teste, e o que mudou depois. A redução de 90% no tempo de troubleshooting veio dessa mesma rastreabilidade. É o oposto exato do cenário da triagem de crédito. A diferença entre os dois não está no tamanho da empresa. Está em se o conselho revisita a decisão ou a trata como resolvida para sempre.

O que a ISO 42001 organiza nesse meio

A ISO 42001 não substitui o dever de diligência da Lei das S.A. Ela organiza a evidência que sustenta esse dever quando o risco envolvido é de inteligência artificial. A cláusula 5 da norma, sobre liderança, exige que a alta direção garanta que a política de IA seja compatível com a direção estratégica da empresa, que os requisitos do sistema de gestão de IA entrem nos processos de negócio, e que exista recurso suficiente para sustentar isso, não só no papel.
Trato a cláusula de liderança como a pergunta que o conselho faz ao comitê executivo, não como documento que o comitê entrega sem revisão: existe política de IA aprovada formalmente, ela foi revisada nos últimos doze meses, e o recurso orçado para sustentá-la é real ou só uma linha simbólica no orçamento.

Por onde eu começaria

Eu começaria pela estrutura de supervisão, antes de qualquer treinamento ou política longa, porque sem ela não existe quem cobre as outras peças. Depois, exigiria o inventário completo de sistemas de IA em uso, cruzado com o processo que cada um toca. Só então discutiria letramento para conselheiros, porque treinar quem decide sobre um parque de sistemas que ninguém mapeou ainda é treinar no vazio.
Uma matriz de decisão algorítmica resolve boa parte do meio do caminho: documento simples que define, por processo, se a decisão pode ser totalmente automática, se precisa de revisão humana antes de valer, e quem é o responsável nomeado se o resultado for contestado. Sem nome ao lado de cada linha, a matriz é só uma lista. No dia em que o resultado for contestado, a pergunta será quem assinou aquilo, e lista sem dono não responde.

Conclusão

Se o seu conselho fosse perguntado hoje, numa auditoria externa, quantos sistemas de IA já decidem algo dentro da empresa e quem responde por cada um, a resposta sairia de um documento vivo ou da memória de quem estava na sala quando o assunto foi aprovado?
Este texto é uma versão condensada de uma análise mais longa que publiquei em https://iso42001.com.br/artigos/conselho-administracao-governanca-ia/