11.8 Governança de IA, LGPD e trilha de auditoria
Os sete capítulos anteriores montaram quatro artefatos: uma regra de roteamento, um parecer sobre um modelo de pontuação, uma conta de agente de prospecção e um business case. Todos os quatro tomam decisões sobre pessoas e empresas, em escala, sem que ninguém aprove cada uma delas.
Governança é o que responde a uma pergunta única sobre esses quatro: seis meses depois, você consegue reconstruir por que aquela decisão saiu daquele jeito? Se a resposta for não, o problema não é jurídico. É de engenharia, e ele não tem conserto retroativo.
Pergunta antes de ler
Chega um e-mail. Um contato da sua base pede para saber por que nunca recebeu uma proposta, diz que sabe que foi classificado como baixa prioridade por um sistema, e pede revisão da decisão. A classificação aconteceu há sete meses.
Você consegue responder? Escreva sim ou não. Depois escreva a lista do que você precisaria ter guardado, no dia da decisão, para que a resposta fosse sim.
Quase todo leitor escreve sim, porque assume que o dado está em algum lugar do CRM e que alguém consegue reconstruir. Não consegue. O score de sete meses atrás foi sobrescrito pelo score de hoje, a versão do modelo mudou duas vezes, o limiar foi ajustado em fevereiro e ninguém anotou, e o campo que motivou a classificação foi reenriquecido em abril por um fornecedor que escreveu por cima do valor anterior.
Esta é a lição central do capítulo e a razão de ele vir por último: a trilha de auditoria não pode ser reconstruída retroativamente. Ou as gravações foram feitas no instante da decisão, ou elas não existem. Governança ensinada no começo do módulo viraria burocracia decorada. Ensinada agora, depois que você projetou roteamento, avaliou um score, precificou um agente e escreveu um business case, ela é o anexo natural de cada um desses quatro artefatos.
O que precisa ser gravado no instante da decisão
- Trilha de auditoria de uma decisão automatizada
Conjunto de registros gravados no instante de cada etapa, suficiente para reconstruir, meses depois, por que um sistema tomou a decisão que tomou sobre um titular específico. Não é um relatório que se produz no fim: é uma sequência de gravações que, se não ocorrerem na hora, se perdem.
O teste é operacional, não jurídico. Pegue um registro qualquer, escolhido ao acaso, e tente responder em uma página: qual dado foi usado, de onde veio, com que base legal, qual versão do modelo pontuou, qual limiar foi aplicado, quem executou a ação e quando. Se você precisa de mais de um dia para montar essa página, a trilha não existe.
Arraste o desenho para o lado para ver inteiro
Dado de CNPJ e dado de pessoa não são a mesma coisa
A crença de que negócio entre empresas está fora da LGPD é falsa e é cara. A parte que a torna plausível é verdadeira: dado de CNPJ é público. A Receita Federal publica a base completa com razão social, CNAE, porte, situação cadastral e endereço, e é sobre ela que fornecedores nacionais de enriquecimento montam produto. Isso você pode usar com liberdade.
A parte que ninguém termina de ler é a outra. Nome, cargo, e-mail nominal corporativo e telefone direto identificam uma pessoa natural, e estão plenamente sob a lei. O que muda entre negócio com empresa e negócio com consumidor não é a aplicação da lei. É a base legal provável, que na prática é o legítimo interesse, e legítimo interesse só existe se estiver documentado numa avaliação escrita antes do tratamento, não depois da notificação.
Arraste o desenho para o lado para ver inteiro
- Base legal e avaliação de legítimo interesse
Base legal é a hipótese da lei que autoriza tratar aquele dado para aquela finalidade. Em prospecção entre empresas, a hipótese provável é o legítimo interesse, e ela exige uma avaliação documentada (a LIA) que responde três coisas: qual a finalidade legítima, por que o tratamento é necessário para alcançá-la, e por que o interesse da empresa não se sobrepõe indevidamente aos direitos do titular, com as salvaguardas adotadas.
A LIA não é um documento jurídico longo. É uma página, ela custa uma tarde, e ela é a diferença entre um tratamento defensável e um tratamento sem fundamento. Sem ela, a resposta a um questionamento da autoridade é uma opinião.
| Linha do anexo | O que escrever | Onde isso está na Órbita hoje |
|---|---|---|
| Finalidade | Para que exatamente o sistema trata o dado, em uma frase | Não escrita |
| Base legal | A hipótese escolhida, e por que ela e não outra | Ausente em 84.000 contatos, que é a base inteira |
| Avaliação de legítimo interesse | Finalidade, necessidade, balanceamento e salvaguardas, em uma página | Não existe |
| Campos pessoais tratados | Lista nominal dos campos, separada dos campos de empresa | A separação não existe, e o campo de motivo de perda tem 214 valores digitados à mão |
| Quem decide | A regra ou o limiar, com o nome de quem pode alterá-lo | Desconto é aprovado por mensagem, sobre regra não escrita |
| O que fica registrado | As cinco gravações da Figura 11.8, com o campo que guarda cada uma | Nenhuma das cinco |
| Revisão humana | Como o titular pede, prazo de resposta e responsável nomeado | Sem fluxo de atendimento a titular e sem encarregado nomeado |
| Retenção e sub-operadores | Prazo por finalidade, lista de sub-operadores e onde os dados trafegam | Enriquecimento de R$ 34 mil por ano, com dono declarado ninguém |
O anexo de governança que acompanha cada sistema automatizado. Uma página por sistema, não uma política corporativa de trinta. A última coluna é o teste de existência: se você não consegue apontar onde aquilo está registrado hoje, a linha está em branco, independentemente do que a política diga. Preencha este anexo para o roteamento do capítulo 11.7 e para o score do 11.4 antes de ligar qualquer um dos dois.
O tamanho da conta, em reais da Órbita
A LGPD prevê, no artigo 52, multa simples de até 2% do faturamento da pessoa jurídica no Brasil no último exercício, excluídos tributos, limitada a R$ 50 milhões por infração. A Órbita teve receita bruta de R$ 27,2 milhões e impostos sobre receita de R$ 3,8 milhões, o que dá R$ 23,4 milhões de base. 2% disso é R$ 468 mil.
R$ 468 milteto da multa simples contra um EBITDA de R$ 342 mil no anoA multa máxima é 1,4× o resultado operacional inteiro de 2025 e 100% do orçamento anual de ferramentas de go-to-marketE o risco prático para uma empresa desse porte não é sequer a multa. É a medida preventiva de suspensão do tratamento, que para uma operação de prospecção no meio do trimestre, e é a exposição na diligência. A Órbita precisa chegar à Série C em 2027 com a condição de ARR ≥ R$ 45 milhões, NRR ≥ 110%, EBITDA ≥ 0. Uma base de 84.000 contatos sem base legal registrada não derruba o ARR. Ela vira item de lista de pendências, e item de lista de pendências vira retenção no fechamento ou desconto no preço.
Alucinação, ancoragem e onde o humano fica
Sistemas que geram texto produzem afirmações plausíveis sobre coisas que não aconteceram. Em operações de receita isso aparece em dois lugares concretos: resumo automático de reunião e campo inferido no cadastro. O resumo inventa um compromisso que ninguém assumiu; o campo inferido preenche porte, setor ou cargo com um palpite que passa a circular como fato porque está num campo estruturado.
A defesa é a ancoragem (grounding): toda afirmação gerada carrega a referência do trecho de origem, e o campo inferido carrega a marca de inferido com a data. Um campo que não distingue observado de inferido contamina toda análise feita sobre ele, e contamina em silêncio. A Órbita já tem uma versão desse problema sem nenhuma inteligência artificial envolvida: o campo de segmento é preenchido à mão e está errado em 22% dos clientes, e toda a análise por segmento da Fase 1 foi feita sobre ele.
Onde o humano fica continua sendo decidido por reversibilidade, e não pela qualidade do sistema. Resumo de reunião é altamente reversível: o erro se corrige na próxima conversa. Envio em massa, aplicação de preço, negação de desconto e desqualificação automática de conta são de baixa reversibilidade, e exigem aprovação humana mesmo quando o sistema é muito bom. É a mesma matriz do capítulo 11.2, aplicada agora a sistemas que inventam.
O prazo de validade deste módulo
Este é o único módulo do curso que admite prazo de validade, e admitir isso faz parte da honestidade intelectual que o livro cobra de você. O conteúdo foi fechado em setembro de 2026. Revise-o uma vez por ano, e revise especificamente a coluna da direita do desenho abaixo.
Arraste o desenho para o lado para ver inteiro
Na práticaÓrbita Software · o anexo que vai junto do business case
O contexto. O roteamento aprovado no capítulo 11.7 vai ler campos de contato, aplicar uma regra e atribuir dono. O enriquecimento vai escrever campos vindos de fornecedor. Os dois tratam dado pessoal, e nenhum dos dois pode ser ligado antes do anexo de uma página.
Passo 1, separe os campos. CNPJ, CNAE, porte, situação cadastral e frota são dado de empresa e entram sem discussão. Nome, cargo, e-mail nominal e telefone direto são dado de pessoa e vão para o regime da direita da Figura 11.8-b. Essa separação não existe hoje e é a primeira tarefa, porque sem ela o anexo não pode ser escrito.
Passo 2, escolha a base legal e escreva a LIA. Legítimo interesse, com finalidade declarada como oferta de solução de gestão de transporte a empresas cujo perfil operacional indica necessidade, necessidade justificada pela ausência de canal alternativo de contato profissional, e salvaguardas nomeadas: canal de oposição em um clique, ausência de dado sensível, retenção de 24 meses sem interação. Uma página.
Passo 3, ligue as cinco gravações. Origem e base legal no momento da coleta. Fornecedor, data e sub-operador no enriquecimento. Versão do modelo, valor do score e campos usados na pontuação, em campo que não seja sobrescrito. Regra aplicada na decisão. Responsável e data no efeito. Nenhuma delas é difícil. Todas são impossíveis depois.
Passo 4, abra o canal de revisão. Endereço de contato publicado no aviso de privacidade, prazo de resposta de 15 dias, responsável nomeado, e o resultado da revisão gravado junto do registro original. Sem nome de pessoa, o canal não existe.
Passo 5, limpe o que não tem finalidade. Dos 84.000 contatos, 97,1% não foram tocados em 2025. Apague ou anonimize o que não tem finalidade declarada. Isso reduz o passivo, reduz o custo de enriquecimento futuro e melhora a taxa de resposta por domínio, porque a lista fica mais aderente.
O veredito. Esse anexo custa uma tarde e cabe numa página. Ele é a diferença entre um projeto que sobrevive à diligência da Série C e um projeto que vira linha de pendência num documento que o comprador lê antes de fazer a oferta.
Exercício 11.860 minutos, documento de uma página
- Escolha uma decisão automatizada que já roda na sua empresa e tente montar, em uma página, as cinco gravações para um registro sorteado ao acaso. Marque quais você não conseguiu.
- Pegue os campos que o seu enriquecimento escreve e classifique cada um como dado de empresa ou dado de pessoa. Separe os híbridos numa terceira coluna e decida cada um.
- Calcule o teto de multa simples da sua empresa e compare com o EBITDA do último exercício. Escreva a razão entre os dois.
- Adversarial: defenda que escrever o anexo de governança antes de ligar o sistema atrasa o projeto sem reduzir risco. Depois derrube o seu próprio argumento com um custo em reais ou em semanas.
Conferir respostasEsconder respostas
- A resposta honesta, na maioria das empresas, é não. O que costuma faltar são as gravações 3 e 4: versão do modelo com valor do score no instante da decisão, e a regra ou limiar aplicado. Quase todo mundo tem a 1 e a 5, porque origem e responsável já ficam no CRM por acidente. A gravação 3 falha porque o campo de score é atualizado no lugar em vez de versionado.
- Campos de empresa passam; campos que identificam pessoa vão para o regime protegido. A pegadinha está nos campos híbridos: cargo isolado não identifica, mas cargo mais empresa quase sempre identifica uma pessoa única, e é por isso que diretor de operações da empresa X é dado pessoal mesmo sem o nome.
- O teto é 2% da receita menos tributos, limitado a R$ 50 milhões. Compare com o EBITDA, nunca com a receita, porque é o EBITDA que mede a capacidade de absorver o golpe. Na Órbita a multa máxima é 1,4× o EBITDA do ano inteiro. Se na sua empresa a razão der menos de 0,5×, o risco financeiro é administrável e o risco relevante passa a ser a suspensão do tratamento.
- Adversarial: o argumento de que governança atrasa o projeto é verdadeiro na primeira semana e falso a partir do segundo mês, porque o anexo de uma página custa uma tarde e o retrabalho de reconstruir trilha inexistente custa um trimestre. O contra-argumento honesto que sobra é que muita empresa nunca vai receber um pedido de revisão, e portanto a tarde é desperdiçada. Isso é verdade, e é exatamente o mesmo raciocínio de quem não faz cópia de segurança. A pergunta correta não é qual a probabilidade, e sim qual o custo de estar sem.
Armadilha: tratar governança como etapa final do cronograma
A cena é de comitê de projeto e tem uma lógica interna impecável. O cronograma tem seis fases, e governança é a fase seis, porque ninguém quer travar a fase um com documento. Todo mundo concorda que é importante. Todo mundo concorda que vem depois. O projeto entra em produção na fase cinco e a fase seis é adiada, porque a essa altura a ferramenta já está funcionando e o time já foi realocado.
O erro não é de prioridade. É de física da informação. As cinco gravações da Figura 11.8 só podem ser feitas no instante em que cada etapa ocorre. Adiar a fase seis não adia a conformidade: apaga permanentemente a conformidade de tudo o que rodou entre a fase cinco e o dia em que alguém finalmente escrever o anexo. Você não fica seis meses atrasado. Você fica seis meses cego, para sempre.
Some a isso a característica brasileira que torna o erro mais provável. O aviso de privacidade costuma ser escrito pelo jurídico sem olhar o que o sistema faz, e o sistema costuma ser configurado por RevOps sem ler o aviso. Os dois documentos existem, os dois estão em conformidade consigo mesmos, e a divergência entre eles só aparece quando alguém de fora compara os dois.
A sanção tem endereço e data. A Nota Técnica nº 12/2025 da ANPD, publicada em 15 de maio de 2025, consolidou 124 contribuições de uma tomada de subsídios sobre inteligência artificial e revisão de decisões automatizadas. Ela é documento preliminar e não representa posição final da autoridade, mas sinaliza a direção: mapeamento de sistemas automatizados, controles proporcionais ao risco e capacidade de explicar. Em paralelo, o projeto de marco legal da inteligência artificial, com classificação por risco, foi aprovado no Senado e seguia em tramitação na Câmara ao longo de 2026. Confira o status vigente antes de citar qualquer prazo.
Trilha que não foi gravada não é uma pendência. É uma ausência permanente.
Governança não é o que se escreve depois. É o que se grava durante.
Você fecha o Módulo 11 com quatro artefatos que se sustentam: uma triagem que bloqueia o candidato sem degrau, um business case de uma página com piso verificável, um parecer de modelo que separa ordenação de calibração, e um anexo de governança que cabe numa folha. Nenhum deles funciona sozinho, e nenhum deles funciona se ninguém mudar de comportamento por causa dele.
É exatamente esse o assunto do módulo seguinte. A camada 5 do TCO deste capítulo, treinamento e gestão de mudança, é a que mais frequentemente é cortada primeiro no orçamento e a que mais frequentemente decide se a ferramenta vira operação ou vira licença paga que ninguém abre. O Módulo 12 trata disso: enablement e gestão de mudança, que é onde o roteamento que você aprovou aqui passa a ser usado por Otávio Lins numa segunda-feira de manhã, ou não passa.
Recuperação
Responda antes de abrir. Tentar e errar consolida mais que reler.
1Liste as cinco gravações obrigatórias de uma trilha de auditoria de decisão automatizada e diga qual delas falha com mais frequência e por qual motivo técnico.
Coleta com origem e base legal; enriquecimento com fornecedor e sub-operador; pontuação com versão do modelo, valor do score e campos usados; decisão com regra ou limiar aplicado; efeito com registro alterado, responsável e data. A que mais falha é a pontuação, pelo motivo técnico de que o campo de score costuma ser atualizado no lugar em vez de versionado, o que apaga o valor que de fato motivou a decisão.2Uma empresa teve receita bruta de R$ 60 milhões, R$ 9 milhões de impostos sobre receita e EBITDA de R$ 1,2 milhão. Qual o teto de multa simples da LGPD e o que esse número diz ao conselho?
Base = R$ 60 milhões − R$ 9 milhões = R$ 51 milhões. Teto = 2% × R$ 51 milhões = R$ 1,02 milhão, abaixo do limite de R$ 50 milhões por infração. Isso é 0,85 vez o EBITDA do ano. Ao conselho diz que uma única infração consome praticamente o resultado operacional inteiro, e que a exposição relevante não é caixa: é a medida preventiva de suspensão do tratamento, que para a operação comercial no meio do trimestre.3O Módulo 5 tratou governança de dado como produto, com dono, contrato e cadência. Qual é a diferença entre aquela governança e a governança deste capítulo, e por que as duas precisam existir?Módulo 5 · 5.7
A do Módulo 5 responde a quem é dono do campo e qual sistema vence quando dois escrevem: é governança de qualidade, e o beneficiário é a empresa. A deste capítulo responde a por que o sistema decidiu isso sobre este titular: é governança de decisão, e o beneficiário é a pessoa do outro lado. Ter a primeira sem a segunda produz dado limpo e decisão inexplicável. Ter a segunda sem a primeira produz explicação detalhada de uma decisão tomada sobre dado errado.4De memória, escreva as três perguntas que a avaliação de legítimo interesse responde, e a lista de verificação anual deste módulo.
A LIA responde: qual a finalidade legítima, por que o tratamento é necessário para alcançá-la, e por que o interesse da empresa não se sobrepõe indevidamente aos direitos do titular, com as salvaguardas adotadas. A lista anual é a coluna da direita da Figura 11.8-c: nome de produto e de fornecedor, preço de licença e patamar de desempenho de modelo, status do marco legal de IA, alíquota de IOF sobre operação internacional, e benchmarks de entregabilidade e taxa de resposta. Data de corte deste módulo: setembro de 2026.