Framework de governança de IA: guia de implementação

Um framework de governança de IA é a estrutura organizada — com funções, papéis e critérios de decisão — que transforma princípios de uso responsável em processo repetível, em vez de depender do bom senso de cada gestor. Diferente de uma política de uso isolada, um framework dá à empresa uma arquitetura completa: como identificar risco, quem decide, como medir e como corrigir. Este guia é para diretoria e jurídico que já decidiram que precisam de governança de IA estruturada e agora enfrentam a pergunta seguinte: qual framework adotar como referência, e como implementá-lo na prática, sem terceirizar a decisão para uma norma que ninguém no comitê entende de verdade.

O que é um framework de governança de IA (e por que política sozinha não basta)

Uma política de uso de IA diz o que o colaborador pode e não pode fazer. Um framework de governança é maior: é a arquitetura completa que organiza como a empresa identifica riscos, atribui responsabilidade, mede resultado e corrige o curso — a política de uso é só um dos artefatos que esse framework produz. O guia política de uso de IA na empresa detalha o documento; este artigo foca na estrutura maior que o sustenta.

A diferença fica clara quando a governança falha. Sem framework, cada área decide sozinha o que é aceitável e o comitê de IA — quando existe — improvisa critério a cada caso novo. Com um framework, a resposta existe: função de governança define papéis, função de mapeamento identifica onde estão os riscos, função de medição avalia se os controles funcionam, função de gestão corrige o que não funciona. É essa lógica de funções interligadas — não uma lista de regras — que separa um framework de uma política solta.

Dado o tamanho do gap hoje: 59,1% das empresas brasileiras ainda não têm políticas formais ou diretrizes claras para uso de IA, segundo pesquisa da Abiacom com Brazil Panels e Lideres.ai com 200 empresas brasileiras (out–nov/2025) — e 47,4% dos profissionais já usam IA de forma extraoficial no trabalho, o fenômeno que detalhamos em shadow AI. Adotar um framework de governança de IA agora, em vez de esperar a regulamentação amadurecer, é o que fecha essa lacuna antes que ela vire incidente.

Os principais frameworks de referência (nenhum é lei brasileira — todos são pontos de partida)

Nenhum dos frameworks abaixo é obrigatório no Brasil hoje. Todos são referências voluntárias que empresas usam para não montar governança do zero. A escolha certa depende de porte, setor e para quem a empresa precisa provar governança — cliente, investidor ou regulador.

NIST AI RMF: as quatro funções

O AI Risk Management Framework do NIST (National Institute of Standards and Technology, agência do governo americano) foi publicado em 26 de janeiro de 2023, é voluntário e agnóstico de setor e tecnologia — serve tanto para quem constrói modelos quanto para quem só usa ferramentas de IA no dia a dia. Ele organiza a gestão de risco em quatro funções, segundo o AI Resource Center do NIST:

Função	O que cobre
Govern	Cultura de gestão de risco, políticas, estrutura de responsabilidade, treinamento, requisitos legais — é transversal, permeia as outras três
Map	Contexto do sistema de IA: propósito, benefícios esperados, limitações, impactos potenciais sobre pessoas e sociedade, riscos de componentes de terceiros
Measure	Ferramentas quantitativas e qualitativas para testar, avaliar e monitorar risco — segurança, equidade, privacidade, desempenho
Manage	Resposta ao risco mapeado e medido: priorização, mitigação, transferência ou aceitação, planos de monitoramento pós-implementação, resposta a incidente

As quatro funções não são etapas sequenciais — são processos interligados, aplicados de forma iterativa ao longo do ciclo de vida do sistema de IA. Depois de estabelecer o Govern, a maioria das organizações começa pelo Map e segue para Measure ou Manage, conforme o caso de uso exigir. O NIST também publicou, em julho de 2024, um perfil específico para IA generativa (NIST-AI-600-1) e mantém um playbook complementar com ações práticas para cada função — dois recursos úteis para quem quer aplicar o AI RMF sem começar do documento-base de 40 páginas.

Princípios da OCDE: os cinco valores

Os Princípios de IA da OCDE, adotados em maio de 2019 e atualizados em maio de 2024, foram referendados por 47 países e jurisdições — incluindo todos os membros da OCDE, a União Europeia e países não-membros — segundo a página oficial dos princípios. Diferente do NIST AI RMF, que é uma estrutura operacional de gestão de risco, a OCDE define cinco valores que orientam qualquer framework construído em cima deles:

1. Crescimento inclusivo, desenvolvimento sustentável e bem-estar.
2. Direitos humanos e valores democráticos, incluindo justiça e privacidade.
3. Transparência e explicabilidade.
4. Robustez, segurança e proteção.
5. Responsabilização (accountability).

A OCDE também publicou um Guia de Due Diligence para IA Responsável, que traduz esses cinco princípios em seis etapas operacionais — da incorporação em políticas internas até identificação, prevenção e mitigação de risco — segundo reportagem do TI Inside. Na prática: use a OCDE como a camada de princípios (o "porquê") e o NIST AI RMF como a camada operacional (o "como") — a maioria dos frameworks corporativos maduros combina os dois em vez de escolher só um.

ISO/IEC 42001: a opção com certificação formal

A ISO/IEC 42001 é a única das três referências que tem certificação formal e auditável por organismo acreditado — NIST e OCDE são estruturas de referência, não normas certificáveis. Se sua empresa precisa provar governança formalmente a cliente, parceiro ou regulador (não só operá-la internamente), a norma é o caminho; detalhamos o processo de certificação completo, prazos e para quem faz sentido no guia dedicado ISO/IEC 42001: o que é e como implementar na empresa — não repetimos aqui.

Como escolher o framework certo para o porte e o setor da sua empresa

Não existe framework universalmente "melhor" — existe o framework certo para o estágio de maturidade e a exposição a risco da empresa. Use este critério:

Situação da empresa	Framework recomendado como ponto de partida
Ainda não tem nenhuma governança formal, uso só interno de IA generativa	OCDE (princípios) + NIST AI RMF simplificado (Govern e Map)
Já opera com política de uso e comitê, quer estrutura de gestão de risco completa	NIST AI RMF nas quatro funções, adaptado à escala da empresa
Precisa comprovar governança a clientes, investidores ou reguladores	ISO/IEC 42001, com NIST AI RMF como estrutura interna que sustenta a certificação
Desenvolve ou vende produto de IA para terceiros	ISO/IEC 42001 (certificação tende a virar exigência competitiva) + NIST AI RMF para gestão técnica de risco
Opera em setor regulado (saúde, financeiro, RH com decisão automatizada)	NIST AI RMF completo, com Measure e Manage reforçados, além de mapeamento contra o PL 2338/2023

O erro mais comum não é escolher o framework errado — é tentar implementar as quatro funções do NIST AI RMF com o rigor de uma multinacional quando a empresa ainda não tem nem inventário de sistemas de IA. Comece pelo tamanho da sua maturidade atual, não pelo tamanho do framework. O guia maturidade de IA nas empresas ajuda a diagnosticar esse ponto de partida antes de escolher a profundidade de implementação.

Os passos práticos de implementação

Nenhum desses frameworks vem pronto para colar na sua empresa — todos exigem tradução para o seu contexto. O caminho que funciona na prática, inspirado nas quatro funções do NIST AI RMF e nos cinco princípios da OCDE:

1. Estabeleça a função Govern primeiro. Defina o patrocinador executivo, monte o comitê de IA (jurídico, segurança, TI, áreas de negócio) e escreva os critérios de decisão antes de avaliar qualquer sistema — sem isso, cada avaliação de risco vira debate ad hoc.
2. Mapeie o que existe. Levante o inventário de todos os sistemas de IA em uso — comprados, construídos internamente, embutidos em outro software — e classifique cada um por caso de uso, dado processado e nível de autonomia. Esse é o mesmo primeiro artefato que detalhamos em compliance e IA; framework e compliance compartilham essa base.
3. Classifique risco por caso de uso, não por ferramenta. A mesma ferramenta de IA generativa pode ser baixo risco resumindo uma ata e alto risco redigindo uma cláusula contratual sem revisão. O mapa completo de categorias de risco está em riscos da IA generativa nas empresas.
4. Defina controles proporcionais ao risco mapeado. Risco baixo: registro simples. Risco médio: revisão humana obrigatória. Risco alto: avaliação de impacto formal, aprovação do comitê, auditoria periódica. Controle igual para todo risco trava o uso de baixo risco e é insuficiente para o alto risco.
5. Meça continuamente, não só na implantação. A função Measure do NIST AI RMF é monitoramento contínuo de desempenho, vieses e incidentes — não checagem única no lançamento. Defina desde já quais métricas o comitê revisa e com que frequência (próxima seção).
6. Estabeleça o ciclo de resposta (Manage). Quando um controle falha ou um incidente acontece, quem decide o quê, em quanto tempo, e como a lição vira ajuste no framework.
7. Amarre o framework à capacitação real das equipes. Framework documentado sem que quem usa IA no dia a dia saiba das regras não é governança — é papel. O guia uso seguro de IA no trabalho detalha como embutir a governança na capacitação, não como treinamento separado.

Papéis e responsabilidades: quem opera cada função do framework

Um framework sem dono claro por função vira responsabilidade difusa — exatamente o problema que a função Govern do NIST AI RMF existe para resolver. A divisão que funciona na prática:

Papel	Responsabilidade dentro do framework
Patrocinador executivo	Aprova o framework, garante orçamento e autoridade, responde no board pela função Govern
Comitê de IA (jurídico + segurança + TI + áreas)	Opera Map e Manage: aprova sistemas, revisa classificação de risco, decide casos-limite
Compliance / dono do processo	Mantém o inventário (Map) e a trilha de evidência (Measure) — o detalhamento completo desse papel está em compliance e IA
DPO / jurídico	Valida enquadramento legal, garante cumprimento da LGPD nos casos de uso que envolvem dado pessoal — ver LGPD e IA generativa
Líder de cada área	Garante que o time conhece e segue os controles definidos para os sistemas usados na sua área
Colaborador	Segue os controles proporcionais ao risco; escala dúvida em vez de decidir sozinho

Em empresas menores, uma pessoa pode acumular mais de um papel — o que não pode faltar é clareza sobre quem decide o quê dentro de cada função do framework. Essa mesma estrutura de papéis é a base do comitê descrito no pilar governança de IA na prática.

Como medir se o framework está funcionando

Um framework implementado, mas nunca medido, não é diferente de uma política que ninguém lê. As métricas que compõem a função Measure, na prática de um comitê de IA maduro:

• Cobertura do inventário — percentual de sistemas de IA em uso que estão registrados e classificados por risco (meta: perto de 100%; gap grande aqui sinaliza shadow AI).
• Cobertura de avaliação de risco alto — percentual de casos de uso de alto risco com avaliação de impacto formal concluída, não só identificada.
• Tempo de resposta a incidente — do registro de um incidente até a decisão do comitê sobre o que muda no framework por causa dele.
• Taxa de adesão aos controles — auditoria periódica que confirma se a revisão humana obrigatória, por exemplo, está de fato acontecendo nos casos classificados como alto risco.
• Evidência de capacitação — percentual do time treinado nas regras que o framework define, não só exposto à política por e-mail.

Essas métricas vão para o mesmo relatório trimestral ao board detalhado em compliance e IA: quantos sistemas em uso, cobertura de avaliação, incidentes no período e o gap conhecido — sem editar a versão que chega à diretoria. O guia métricas de adoção de IA aprofunda o painel completo que conecta essas métricas de risco às métricas de adoção que a diretoria acompanha.

Vale a distinção final: framework é a arquitetura de funções e papéis; ISO/IEC 42001 é uma opção específica de framework com certificação formal; compliance de IA é o programa que produz evidência de que o framework está de fato sendo seguido. Um framework bem desenhado é o que compliance usa para saber o que auditar; sem framework, compliance não tem contra o que medir. Se sua empresa já tem framework mas ainda não tem esse programa de evidência, o passo seguinte está em compliance e IA.

Como a Jetpacks apoia a implementação do framework de governança de IA

Dentro do método Flight Plan, o framework de governança entra no desenho, não como anexo jurídico separado da capacitação. O Launchpad mapeia a maturidade de governança atual da empresa e qual combinação de NIST AI RMF, OCDE e ISO/IEC 42001 faz sentido para o porte e setor; o Flight Plan desenha, por área, os controles proporcionais ao risco que o framework prevê; o Booster capacita o time com as regras do framework incorporadas à própria trilha de capacitação — não em treinamento jurídico isolado que ninguém conecta ao uso real; e o Mission Control entrega as métricas de cobertura e adoção que alimentam a função Measure do framework. Como parceira oficial da Replit no Brasil, a Jetpacks já aplicou essa abordagem em empresas como Hypera Pharma, Volvo, BMR Medical e C12 Brasil.

FAQ

O que é um framework de governança de IA?

É a estrutura organizada de funções, papéis e critérios de decisão que a empresa usa para identificar riscos de IA, atribuir responsabilidade, medir resultado e corrigir o curso. É maior que uma política de uso — a política é um dos artefatos que o framework produz.

Qual a diferença entre o NIST AI RMF e os princípios da OCDE?

O NIST AI RMF é uma estrutura operacional de gestão de risco, organizada em quatro funções (Govern, Map, Measure, Manage). Os princípios da OCDE são cinco valores éticos que orientam qualquer framework construído sobre eles. Na prática, os dois se complementam: OCDE dá o "porquê", NIST AI RMF dá o "como".

Minha empresa precisa seguir o NIST AI RMF, já que é um framework americano?

Não é obrigatório no Brasil — é voluntário até nos Estados Unidos, onde foi publicado pelo NIST em janeiro de 2023. Ele é usado globalmente como referência por ser agnóstico de setor e tecnologia, não por exigência legal. Empresas brasileiras adotam suas quatro funções como estrutura, sem obrigação regulatória de segui-lo.

Qual a diferença entre framework de governança de IA e ISO/IEC 42001?

Framework de governança é o conceito geral — a arquitetura de funções e papéis. A ISO/IEC 42001 é uma opção específica de framework, com a vantagem de ter certificação formal auditável por organismo acreditado, o que NIST AI RMF e princípios da OCDE não oferecem. Veja o detalhamento completo em ISO/IEC 42001: o que é e como implementar na empresa.

Preciso escolher um único framework ou posso combinar mais de um?

A maioria das empresas com governança madura combina referências: princípios da OCDE como base de valores, NIST AI RMF como estrutura operacional de gestão de risco, e ISO/IEC 42001 quando precisa de certificação formal auditável. Não são mutuamente exclusivos.

Quanto tempo leva para implementar um framework de governança de IA?

Depende da maturidade de partida. Uma empresa que já tem inventário de sistemas, papéis definidos e algum processo de revisão de risco implementa as quatro funções do NIST AI RMF em semanas. Uma empresa que ainda não tem nada disso precisa primeiro montar a base — política de uso, inventário, comitê — antes de operar o framework completo.

Por onde uma empresa sem nenhuma governança de IA deve começar?

Pela função Govern: definir patrocinador executivo e comitê de IA, e pela política de uso — não pela implementação completa de um framework internacional. O guia política de uso de IA na empresa detalha esse primeiro passo, e o pilar governança de IA na prática dá a visão completa antes de aprofundar em framework.

Um framework de governança de IA substitui a necessidade de cumprir a LGPD?

Não. Nenhum dos três frameworks de referência (NIST AI RMF, OCDE, ISO/IEC 42001) substitui obrigação legal. A LGPD já se aplica hoje a qualquer sistema de IA que processe dado pessoal, independentemente do framework de governança adotado — o detalhamento está em LGPD e IA generativa.

Conclusão: o framework certo é o que sua empresa consegue operar, não o mais completo no papel

NIST AI RMF, princípios da OCDE e ISO/IEC 42001 não competem entre si — são camadas que se complementam, e a escolha certa depende da maturidade e do setor da empresa, não de qual framework parece mais robusto num slide. O erro mais caro não é escolher a referência errada; é implementar um framework completo demais para o estágio atual da governança e descobrir, no primeiro incidente, que ninguém sabia operar o que foi escrito.

Se sua empresa está decidindo qual framework de governança de IA adotar e como implementá-lo sem travar a adoção, o diagnóstico gratuito da Jetpacks — uma conversa de 30 a 45 minutos — mapeia a maturidade atual e desenha, dentro do método Flight Plan, o framework do tamanho certo para o porte da sua empresa.