Quem cuida dos dados que movem a empresa?

No meu último artigo, contei que quase toda conversa com clientes chega, cedo ou tarde, à inteligência artificial, e defendi que a escolha de onde usar IA seja tratada como decisão de investimento. No fim do texto, deixei uma segunda pergunta no ar: quem está usando IA dentro da empresa hoje, com quais dados e sob quais regras? É sobre essa segunda pergunta que quero me aprofundar agora.

Governança costuma soar como palavra de auditoria, cheia de formulários e proibições. Prefiro enxergá-la de outro jeito. Para mim, governança de dados é o que permite a uma empresa usar IA com confiança, sabendo o que entra, o que sai e quem responde por cada decisão. A pergunta que guia este texto é simples de fazer e trabalhosa de responder: como cuidar dos dados que movem o negócio, agora que eles circulam por ferramentas de IA?

O primeiro desafio é que dado crítico não mora mais em um lugar só. A base de clientes está no CRM, mas também na planilha que o time comercial exportou na semana passada; a tabela de preços está no ERP, mas também no e-mail que circulou entre três diretores; o contrato está no sistema jurídico, mas também no notebook de quem o revisou. Quando a IA entra nessa rotina, cada cópia vira um ponto de entrada possível, e ninguém consegue proteger aquilo que não sabe onde está.

O segundo desafio é que a adoção correu mais rápido do que as regras. O relatório Cost of a Data Breach 2025, da IBM com o Ponemon Institute, que citei no artigo anterior, traz outros números que ajudam a dimensionar essa distância. 13% das organizações pesquisadas relataram incidentes envolvendo modelos ou aplicações de IA, e entre elas 97%não tinham controles de acesso adequados para essas ferramentas. Ao mesmo tempo, apenas 37% disseram ter políticas para gerir a IA ou detectar seu uso não autorizado, e, entre as que têm políticas, só 34% fazem auditorias regulares. Quando o incidente envolvia IA usada fora do radar da empresa, 65% dos casos comprometeram dados pessoais de clientes, contra 53% na média geral (IBM, 2025).

O terceiro desafio é menos visível e, talvez, o mais importante: a qualidade. Um modelo que aprende com dados duplicados, desatualizados ou mal descritos vai produzir respostas confiantes e erradas. O estudo 2026 Data and Privacy Benchmark, da Cisco, que ouviu 5.200 profissionais em 12 países, mostra que 65% das organizações têm dificuldade para acessar dados relevantes e de boa qualidade com eficiência. O mesmo estudo traz uma boa notícia: três em cada quatro empresas já têm uma estrutura dedicada à governança de IA, ainda que só 12% a considerem madura (Cisco, 2026). Ou seja, o assunto entrou na pauta, mas ainda está longe de estar resolvido.

E no Brasil há uma camada a mais. A LGPD exige que as empresas adotem medidas de segurança técnicas e administrativas para proteger dados pessoais de acessos não autorizados (art. 46) e que mantenham registro das operações de tratamento que realizam (art. 37). As multas podem chegar a 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração (art. 52). A lei não fala especificamente de IA, mas vale para qualquer ferramenta que receba dados pessoais, inclusive aquela aberta no navegador de um colaborador.

Diante desse cenário, a tentação é começar pela ferramenta: comprar uma plataforma de segurança, bloquear sites, publicar um comunicado. Tudo isso pode ajudar, mas a experiência me mostra que a governança que funciona começa com uma arrumação bem mais simples, quase doméstica, de saber o que a empresa tem e onde cada coisa está.

O ponto de partida é um inventário dos dados que importam. Não é preciso catalogar cada arquivo da rede; basta mapear as informações que sustentam o negócio, como a base de clientes, os preços e as margens, os contratos, os dados de colaboradores, os projetos e o conhecimento técnico que diferencia a empresa. Para cada um desses conjuntos, vale responder onde ele está, quem o usa e quem é o responsável por ele. Essa última pergunta parece burocrática, mas é a que mais faz diferença: dado sem dono é dado que ninguém revisa, atualiza ou protege.

Com o mapa em mãos, o passo seguinte é classificar. Gosto de uma divisão em poucos níveis, fácil de lembrar: informações públicas, que já estão no site ou no material de divulgação; internas, que circulam livremente entre a equipe; confidenciais, como preços, margens e estratégias; e restritas, como dados pessoais sensíveis e segredos do negócio. A classificação é o que transforma uma regra abstrata em uma decisão que qualquer pessoa consegue tomar sozinha, na hora de colar um texto em uma ferramenta de IA: se é público, pode; se é confidencial ou restrito, só nas ferramentas aprovadas pela empresa, ou não pode.

Depois vêm os acessos e o registro. Cada nível de informação pede um controle proporcional, e cada ferramenta de IA adotada oficialmente precisa ter claro quem pode usá-la, com quais dados e onde ficam guardadas as interações. Esse registro é o que permite à empresa responder, se algum dia precisar, o que foi feito, por quem e com qual informação, o que, aliás, conversa diretamente com o que a LGPD já pede.

Por fim, existe a qualidade, que costuma ficar esquecida nas conversas sobre segurança. Organizar os dados é também eliminá-los quando estão duplicados, corrigi-los quando estão errados e descrevê-los de forma que outra pessoa, ou um modelo de IA, entenda o que cada campo significa. Na Palmsoft, quando começamos um projeto, o diagnóstico inicial olha justamente para a maturidade dos dados antes de qualquer linha de código, porque um modelo construído sobre uma base desorganizada herda todos os seus defeitos. Governança e qualidade, no fundo, são o mesmo trabalho visto de dois ângulos: um protege o dado, o outro garante que ele mereça ser protegido.

Inventário, classificação e controles organizam a casa, mas não decidem sozinhos o que acontece na ponta. Quem decide, no dia a dia, é a pessoa diante da tela, com um prazo apertado e uma ferramenta que promete resolver o problema em segundos. Por isso acredito que o uso consciente da IA é, antes de tudo, uma questão de cultura, e cultura se constrói com exemplo e com conversa, não só com regulamento.

Usar IA com consciência começa por uma pergunta que cada colaborador pode se fazer antes de enviar qualquer coisa: eu mandaria esta informação para alguém de fora da empresa? Se a resposta for não, ela também não deveria ir para uma ferramenta que a empresa não aprovou. Esse filtro simples resolve boa parte dos casos e tem uma vantagem enorme sobre a lista de proibições: ele ensina a pensar, em vez de ensinar a decorar.

O uso consciente também passa por lembrar que a IA sugere, mas não assina. Um resumo de contrato pode omitir a cláusula que importa, uma análise pode se apoiar em um dado desatualizado, uma resposta pode soar convincente e estar errada. Em decisões que afetam clientes, crédito, contratações ou preços, alguém precisa revisar, entender e responder pelo resultado. A tecnologia acelera o caminho; a responsabilidade continua sendo de pessoas.

E há o papel da liderança. Equipes usam IA por conta própria quando sentem que não têm alternativa. Quando a empresa oferece ferramentas aprovadas, explica o porquê de cada regra e abre espaço para que as pessoas tragam suas dúvidas sem medo, o uso sai da sombra e passa a ser compartilhado, medido e melhorado. A governança deixa de ser um freio e vira o que ela deveria ser desde o início: a estrutura que permite à empresa acelerar sem perder o controle do que tem de mais valioso.

Se no primeiro artigo a pergunta era onde a IA gera mais valor, aqui ela se completa: com quais dados, sob quais regras e com quem respondendo por elas. Empresas que organizam suas informações, deixam claro o que pode ir para cada ferramenta e cultivam uma equipe que pensa antes de colar não estão freando a inovação. Estão criando as condições para que ela aconteça com segurança e dure. No fim, a IA mais útil para um negócio é aquela em que todos confiam, e confiança, em tecnologia como em qualquer relação, se constrói com cuidado.

Autor(a): Formada em Gestão comercial pelo SENAC - Elaine Coelho , Gerente Comercial Palmsoft.

Referências

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Disponível em: planalto.gov.br. Acesso em: 8 out. 2026.

CISCO. 2026 Data and Privacy Benchmark Study. Cisco Newsroom, 26 jan. 2026. Disponível em: newsroom.cisco.com. Acesso em: 8 out. 2026.

IBM; PONEMON INSTITUTE. Cost of a Data Breach Report 2025. IBM, 30 jul. 2025. Disponível em: newsroom.ibm.com. Acesso em: 8 out. 2026.