Modelo de três linhas para governança de IA na empresa

O modelo de três linhas aplicado à governança de IA responde a uma pergunta que a maioria das empresas ainda deixa em aberto: quem é dono do risco de cada sistema de IA, quem o supervisiona e quem confere de forma independente se tudo funciona. A primeira linha (as áreas que usam e constroem IA) é dona do risco no dia a dia; a segunda (risco, compliance, jurídico, segurança, privacidade) define regras e questiona; a terceira (auditoria interna) dá garantia independente ao conselho. Este artigo é para diretoria, CRO, compliance e auditoria que precisam desenhar essa divisão antes que a IA cresça mais do que a capacidade de supervisioná-la.

O que é o modelo de três linhas (e o que mudou em 2020)

O modelo vem do The IIA (Institute of Internal Auditors) e organiza quem faz o quê na gestão de risco. Na atualização de 2020, ele deixou de ser lido como "três linhas de defesa" rígidas e passou a ser guiado por princípios, segundo a cobertura do Journal of Accountancy e o documento do próprio IIA.

Papel	Quem é, em geral	O que faz
Órgão de governança	Conselho, comitê de auditoria ou de riscos	Define direção, aprova o apetite a risco e cobra prestação de contas
1ª linha	Áreas de negócio e donos de processo	Entrega produtos e serviços e é dona dos riscos e controles do dia a dia
2ª linha	Compliance, controles internos, segurança da informação	Dá expertise, políticas, monitoramento e contraponto
3ª linha	Auditoria interna	Dá garantia independente e objetiva sobre governança, risco e controles

Duas mudanças importam para a IA. Primeiro, a primeira e a segunda linha podem ser combinadas ou separadas, o que é útil em empresas que ainda não têm uma área de risco de IA. Segundo, a independência da auditoria interna é preservada: ela não desenha o controle que depois vai auditar.

Por que a IA tensiona o modelo

A IA tensiona o modelo porque o risco nasce na primeira linha, mas a competência para avaliá-lo ainda mora em poucas pessoas. Um time de marketing que cria um agente, um analista que conecta um copiloto a dados internos e um desenvolvedor que publica um app gerado por IA são todos "primeira linha" assumindo risco sem treinamento para isso.

A Management Solutions, consultoria que audita sistemas de IA, lista as lacunas que mais aparecem em trabalhos de auditoria de IA:

• estrutura de governança de IA imatura ou inadequada;
• funções e responsabilidades de gestão de risco de IA não claramente definidas, inclusive o papel da segunda linha;
• inventário incompleto das soluções de IA;
• ausência de classificação padronizada de risco de IA;
• falta de controles de explicabilidade e justiça (fairness);
• controles insuficientes sobre dependência e concentração em fornecedores externos de IA;
• treinamento e conscientização insuficientes, principalmente para conselho e alta direção.

No Brasil, o cenário de partida é de pouca formalização: uma pesquisa da Miti com 234 empresas brasileiras (março a outubro de 2025) encontrou que apenas 27% têm política formal de governança de IA. Sem política, também não há linha clara de quem responde.

Os papéis de cada linha na governança de IA

Esta seção traduz o modelo para IA. É a leitura prática da Jetpacks, construída sobre o framework do IIA e as lacunas acima; adapte ao tamanho e ao setor da sua empresa.

Órgão de governança: apetite a risco e prestação de contas

O conselho ou comitê define o que a empresa aceita fazer com IA e o que está fora de questão, aprova a política e recebe relatórios periódicos. Veja o papel em detalhe em o papel do conselho de administração na governança de IA. Se a empresa tem um comitê de ética de IA, ele costuma assessorar esse órgão, não substituí-lo.

1ª linha: dona do risco, da documentação e do controle diário

Quem constrói, compra ou usa IA responde por:

• registrar o sistema no inventário de sistemas de IA e manter dono nomeado;
• classificar o uso conforme a política (risco baixo, médio, alto);
• aplicar os controles definidos: revisão humana (human-in-the-loop), restrição de dados, testes antes de produção;
• reportar incidentes e desvios.

Agentes autônomos aumentam esta responsabilidade; ver governança de agentes de IA autônomos e a proliferação de agentes (AI agent sprawl).

2ª linha: regra, monitoramento e contraponto

A segunda linha não opera a IA, mas define a régua e verifica se ela está sendo cumprida:

• mantém a política de uso e o framework de governança de IA;
• define a taxonomia de risco e os critérios de aprovação por nível;
• faz a gestão de risco de modelo e a revisão de fornecedores de IA;
• monitora conformidade regulatória (compliance e IA) e questiona decisões da primeira linha quando o risco parece subestimado.

Em empresas médias, é comum que privacidade, segurança e compliance dividam essas tarefas, em vez de haver uma área "de risco de IA". O importante é que cada tarefa tenha um responsável nomeado, para evitar a lacuna de papéis que as auditorias encontram.

3ª linha: garantia independente

A auditoria interna avalia, de forma independente, se a governança, a gestão de risco e os controles de IA funcionam. O IIA mantém um framework próprio de auditoria de IA, disponível em português (versão de setembro de 2024). Nosso artigo sobre auditoria de IA mostra como esse trabalho se organiza na prática.

RACI mínimo para começar

Uma matriz simples evita que a conversa vire "todo mundo achou que era do outro". Sugestão de partida (R = executa, A = responde, C = consultado, I = informado):

Atividade	1ª linha	2ª linha	3ª linha	Conselho
Aprovar a política de uso de IA	C	R	I	A
Registrar sistema no inventário	A/R	C	I	I
Classificar o risco de um uso	R	A	I	I
Aprovar uso de risco alto	R	A	I	I
Monitorar incidentes e desvios	R	A	I	I
Auditar a eficácia dos controles	C	C	A/R	I
Reportar o estado da governança	C	R	R	A

O ponto crítico é a quarta linha da tabela: quem aprova uso de risco alto. Se a segunda linha aprova e a primeira executa, o modelo funciona; se a mesma pessoa propõe, aprova e opera, não há linha, há uma pessoa.

Erros comuns ao aplicar as três linhas à IA

1. Tratar a IA como assunto só de TI. A primeira linha é de negócio; TI é um dos donos, não o único.
2. Segunda linha sem competência técnica. Sem formação, ela vira burocracia ou carimbo. Capacitar compliance e risco em IA faz parte do plano; ver capacitação em IA para colaboradores.
3. Auditoria que desenha o controle. Compromete a independência da terceira linha.
4. Nenhuma conversa com o conselho. As auditorias apontam treinamento insuficiente para conselho e alta direção como lacuna recorrente.
5. Esperar a regulação. O marco legal da IA (PL 2338) ainda é projeto, mas a política e os papéis internos não dependem dele.

Como começar em 30 dias

1. Liste os sistemas de IA existentes e nomeie um dono para cada um.
2. Defina uma taxonomia de três níveis de risco e quem aprova cada nível.
3. Preencha o RACI acima e valide com compliance, jurídico, segurança e auditoria.
4. Combine um relatório trimestral de governança de IA para o conselho.
5. Planeje a capacitação das três linhas, começando por quem aprova risco alto.

O artigo-pilar governança de IA na prática traz o roteiro completo do hub.

A terceira linha também usa IA: veja os controles em IA na auditoria interna.

FAQ

O que é o modelo de três linhas?

É um modelo do The IIA que organiza a gestão de risco em um órgão de governança e três linhas: a primeira (áreas de negócio) é dona do risco, a segunda (compliance, controles, segurança) apoia e questiona e a terceira (auditoria interna) dá garantia independente.

O modelo de três linhas se aplica à inteligência artificial?

Sim. O IIA mantém um framework de auditoria de IA construído sobre o modelo, e as auditorias de IA costumam encontrar lacunas justamente na definição de papéis, inclusive os da segunda linha.

Quem é a primeira linha na governança de IA?

As áreas que constroem, compram ou usam sistemas de IA: marketing, operações, comercial, RH, TI e tecnologia. Elas são donas do risco no dia a dia e respondem por inventário, classificação e aplicação dos controles.

Preciso criar uma área de risco de IA para ter uma segunda linha?

Não necessariamente. Em muitas empresas, compliance, privacidade, segurança e jurídico dividem a função. O essencial é que cada tarefa de supervisão tenha um responsável nomeado.

O que a auditoria interna faz com IA?

Avalia de forma independente se a governança, a gestão de risco e os controles de IA funcionam, e reporta ao conselho ou comitê. Ela não deve desenhar os controles que depois audita.

Quem deve aprovar usos de IA de alto risco?

A segunda linha, com base em critérios definidos pela política, e não quem propõe ou opera o uso. Casos mais críticos podem subir ao comitê ou ao conselho.

Conclusão: nomeie os donos antes de ampliar o uso

O modelo de três linhas não cria governança de IA sozinho, mas organiza as perguntas certas: quem é dono, quem supervisiona e quem confere. Empresas com política formal ainda são minoria no Brasil; nomear papéis é um passo barato que reduz o risco de a IA crescer sem dono. Se você quer entender onde estão as lacunas na sua organização, comece pelo diagnóstico gratuito da Jetpacks.

Como o risco de IA entra no registro corporativo: COSO ERM e risco de IA.