Governança de IA e LGPD: o checklist de 15 pontos antes de colocar IA em produção

Colocar IA em produção numa empresa é mais que escolher um modelo bom. É decidir que dados ela vê, o que pode fazer sozinha, como registra o que fez, quanto pode gastar e como a empresa responde se algo der errado. Este checklist reúne os quinze pontos que a OnWeb verifica em todo projeto antes da virada, organizados em cinco blocos.

Bloco 1: dados

1. Inventário do que a IA vai acessar

Quais tabelas, documentos e sistemas. Dado pessoal? Dado sensível (saúde, biometria, menor de idade)? Dado financeiro? O inventário define todo o resto.

2. Base legal e finalidade na LGPD

Para cada dado pessoal que a IA trata, qual a base legal (execução de contrato, legítimo interesse, consentimento) e qual a finalidade. A finalidade da IA precisa caber na finalidade original da coleta.

3. Onde o dado fica e para onde vai

Na IA corporativa, o dado fica na nuvem da empresa (no caso da OnWeb, Google Cloud) e as chamadas aos modelos são feitas sob contratos que proíbem uso para treinamento. Ferramenta de prateleira exige ler os termos: muitas usam o dado para treinar.

4. Minimização e anonimização

A IA recebe só o que precisa para a tarefa. Dado sensível que não é necessário é removido ou mascarado antes de chegar ao modelo.

Bloco 2: acessos

5. Perfis e permissões

O que cada pessoa pode fazer com a IA e que dado ela pode ver através dela. A IA respeita as mesmas permissões do sistema: um atendente não vê, via assistente, o que não veria na tela.

6. Autenticação e proteção de contas

Login forte, bloqueio contra tentativas repetidas, segundo fator onde o risco pede. Conta comprometida com acesso à IA é acesso aos dados que ela alcança.

7. Segregação de ambientes

Homologação com dados anonimizados, produção com dados reais. A IA é testada antes de tocar o dado de cliente.

Bloco 3: comportamento da IA

8. Limites do que a IA pode fazer sozinha

Lista explícita: pode emitir segunda via, pode remarcar dentro da agenda, não pode dar desconto, não pode falar de assunto jurídico. Fora da lista, passa para uma pessoa.

9. Fonte das respostas

A IA responde a partir dos sistemas da empresa e de uma base de conhecimento aprovada, e indica a fonte. Pergunta sem fonte recebe "não sei" e encaminhamento, não invenção.

10. Revisão humana nas decisões que afetam pessoas

Contratação, crédito, saúde, demissão: a IA sugere e justifica; a pessoa decide. É boa prática e, em vários casos, exigência legal.

Bloco 4: registro e operação

11. Registro de cada interação e decisão

Quem perguntou, o que a IA respondeu, que dado consultou, que ação executou, em que modelo, com que custo. Sem registro não há auditoria nem melhoria.

12. Contingência de modelos

Provedor de IA cai, muda preço, muda comportamento. A camada corporativa orquestra mais de um (Claude, Gemini, OpenAI) e troca automaticamente. Detalhamos em por que usar os três.

13. Monitoramento e resposta a incidente

Alertas de erro, de resposta fora do padrão e de consumo anormal. Procedimento definido para desligar um recurso de IA em minutos se preciso.

Bloco 5: custo

14. Custo por recurso e teto de consumo

Cada funcionalidade de IA tem custo estimado por uso e teto mensal. O gestor vê quanto cada recurso gastou. Veja como prever o custo de IA generativa.

15. Modelo certo para cada tarefa

Classificar um e-mail não precisa do mesmo modelo que redigir um parecer. A orquestração escolhe o modelo pelo custo e pela qualidade necessária para cada tarefa.

Como a OnWeb aplica o checklist

Os quinze pontos entram na fase de arquitetura e governança, antes da primeira linha de código, e são verificados de novo antes da virada para produção. Eles já estão em operação no App Netlinks, que trata dado de dezenas de empresas, e nos demais sistemas que mantemos. Veja também IA para empresas.

Perguntas frequentes