O essencial
- Nenhuma norma obriga a criar um comité de governação da IA. As obrigações que existem são quatro, e o órgão só vale por aquilo que produz para as satisfazer.
- O regulamento europeu atribui os deveres a pessoas nomeadas, não a órgãos. O anexo V, ponto 8, exige o nome e a função de quem assina a declaração de conformidade, e o artigo 26.º, n.º 2, obriga a confiar a supervisão humana a pessoas singulares com competência, formação e autoridade.
- O artigo 17.º, n.º 1, obriga os prestadores de sistemas de risco elevado a manter um quadro de responsabilização que fixe as responsabilidades da direção e do pessoal. É essa frase, e não um organograma, que o auditor verifica.
- Uma cadência trimestral não cumpre os prazos do artigo 73.º: 15 dias, 10 dias, 2 dias. A cadência é um controlo e pressupõe uma delegação permanente.
- Após o regulamento (UE) 2026/1744, as obrigações de risco elevado do anexo III aplicam-se a partir de 2 de dezembro de 2027 e as do anexo I a partir de 2 de agosto de 2028, ao passo que literacia e transparência já são exigíveis. Um estatuto escrito sobre o calendário anterior já está errado.
Quem procura como montar um comité de governação da IA encontra um consenso notável. Juntar o jurídico, as TI, a segurança, a ciência de dados, os recursos humanos e as áreas de negócio. Reunir todos os trimestres. Redigir um estatuto que abre com um preâmbulo de princípios. Aprovar os casos de uso. Formar toda a gente. O conselho é razoável e é mais ou menos o que diz cada página do primeiro ecrã de resultados. Só que, isolado, não é verificável. Nenhum dos primeiros quarenta resultados desta pesquisa cita uma única disposição jurídica que a estrutura tenha de satisfazer. O modelo de estatuto que ocupa o quarto lugar é de 2023, prevê sete membros permanentes e cinco rotativos, e o seu artigo dedicado à conformidade compromete a organização com “todas as normas jurídicas e éticas pertinentes” sem nomear nenhuma. Este guia faz o caminho inverso. Parte das quatro obrigações que existem de facto, deduz delas os assentos, os direitos de decisão, a cadência e os registos que as honram, e diz sem rodeios quando um comité de governação da IA é a resposta errada.
O que é realmente um comité de governação da IA
Um comité de governação da IA é um órgão permanente com autoridade delegada para decidir se, como e em que condições uma organização concebe, adquire e opera sistemas de IA. A metade importante dessa frase está em “autoridade delegada”. Um grupo que analisa e aconselha é um grupo de trabalho. Um grupo que pode travar uma colocação em serviço é um comité de governação da IA. Uma precisão indispensável em português: o órgão interno nada tem a ver com o Comité Europeu para a Inteligência Artificial, criado pelo artigo 65.º do regulamento, que reúne os representantes dos Estados-Membros junto da Comissão. Ambos surgem sob a palavra “comité”, e é essa a confusão mais frequente nos resultados de pesquisa em português. Esta página trata exclusivamente do comité de governação da IA interno à empresa. Depois disso, três órgãos confundem-se com um comité de governação da IA, e a confusão sai cara no dia em que uma autoridade pergunta quem decidiu o quê. Uma comissão de acompanhamento leva a estratégia: onde investir, por que ordem, para que retorno. O seu produto é um roteiro e um orçamento. Uma comissão de ética emite um parecer sobre a aceitabilidade de uma utilização, quase sempre sem poder impor nada, e funciona melhor quando parte dos membros vem de fora. Um comité de governação da IA situa-se entre os dois e sustenta as decisões com consequência jurídica: a classificação do risco, as condições de colocação em serviço, a designação das pessoas responsáveis, o desligamento de um sistema. Poucas organizações precisam dos três. Precisam de um comité de governação da IA com direitos de decisão explícitos e atas honestas, mais uma pessoa nomeada que assina. O que na prática é construído é uma comissão de acompanhamento com o rótulo da governação, e é por isso que a segunda e a terceira sessão acabam a tratar de orçamentos de ferramentas em vez da classificação dos sistemas que já estão em produção. O rótulo importa menos do que os direitos de decisão. Chame-lhe o que quiser, mas ponha por escrito o que pode decidir, o que tem de fazer subir e o que nunca lhe deve chegar. Tudo o resto decorre daí. A nossa página sobre o quadro de governação da IA descreve o modelo operacional em que este órgão se insere.
O comité de governação da IA não é uma obrigação legal. Estas quatro coisas são
Todo o estatuto de comité de governação da IA devia abrir com esta secção. As páginas posicionadas saltam-na, e é a única que interessa a um auditor.
Artigo 17.º, n.º 1: o quadro de responsabilização
Os prestadores de sistemas de IA de risco elevado têm de criar um sistema de gestão da qualidade. O artigo 17.º, n.º 1, enumera os seus elementos, entre os quais um quadro de responsabilização que define as responsabilidades da direção e do restante pessoal relativamente a todos os aspetos enumerados. Esses aspetos abrangem a estratégia de conformidade regulamentar, os procedimentos de conceção e ensaio, a gestão de dados, a gestão de riscos, o acompanhamento pós-comercialização, a comunicação de incidentes e a conservação de registos. Leia essa lista como o índice do estatuto do seu comité de governação da IA. Para cada elemento do sistema de gestão da qualidade, um papel nomeado tem de o suportar. Se o estatuto se limita a dizer que o comité de governação da IA é responsável pela “conformidade”, o artigo 17.º não está satisfeito. Se diz que a pessoa responsável pela engenharia de dados assume a gestão de dados nos termos do artigo 10.º e presta contas todos os trimestres, então está.
Artigo 26.º, n.º 2: supervisão confiada a pessoas singulares
Os responsáveis pela implantação de sistemas de risco elevado confiam a supervisão humana a pessoas singulares que dispõem da competência, da formação e da autoridade necessárias, bem como do apoio necessário. Nessa frase cabem três verificações distintas. Competência significa que a pessoa compreende os resultados do sistema e os seus limites. Formação significa que foi formada naquele sistema em concreto. Autoridade significa que pode efetivamente anular a decisão ou fazê-la subir, o que na prática impede colocá-la na dependência de quem tem os objetivos que o sistema serve. Um comité de governação da IA não pode exercer por si a supervisão do artigo 26.º. Só pode designar quem a exerce, verificar a sua capacidade real e guardar o registo. O nosso guia sobre a supervisão humana explica o que os artigos 14.º e 26.º exigem na prática.
Anexo V, ponto 8: alguém assina
O artigo 47.º obriga o prestador a elaborar, para cada sistema de risco elevado, uma declaração UE de conformidade escrita, legível por máquina, assinada manualmente ou por via eletrónica, e a mantê-la à disposição das autoridades nacionais competentes durante dez anos. O anexo V fixa o seu conteúdo, e o seu ponto 8 exige o nome e a função de quem a assinou, a indicação de em nome de quem assina e uma assinatura. Um comité de governação da IA não tem assinatura. Alguém, na sua organização, atestará pessoalmente que um sistema cumpre o regulamento, e fá-lo-á sob a exclusiva responsabilidade do prestador. A coisa mais útil que um comité de governação da IA pode fazer na primeira sessão é determinar quem é essa pessoa e de que precisará para assinar sem reservas. A maioria das organizações descobre a resposta durante a avaliação da conformidade, ou seja, tarde de mais.
ISO/IEC 42001, ponto 5.3, e NIST AI RMF GOVERN 2
Fora da União Europeia, a mesma expectativa assume a forma de um requisito de sistema de gestão. O ponto 5.3 da norma ISO/IEC 42001 obriga a gestão de topo a atribuir, comunicar e autorizar papéis, responsabilidades e autoridades relativos ao sistema de gestão da IA, incluindo a responsabilidade de reportar o desempenho do sistema à gestão de topo. Os auditores leem o ponto 5.3 como um requisito de responsabilização documentada ao longo de todo o ciclo de vida, e não como um organograma. O quadro de gestão de riscos do NIST coloca o mesmo conteúdo em GOVERN 2. GOVERN 2.1 pede que papéis, responsabilidades e linhas de comunicação estejam documentados e compreendidos. GOVERN 2.2 pede que o pessoal e os parceiros recebam formação. GOVERN 2.3 coloca as decisões sobre tolerância ao risco na direção-geral e não em quem construiu o modelo. A nossa estrutura de gestão de riscos NIST compara os três regimes. Quatro obrigações, e nenhum comité de governação da IA entre elas. O comité de governação da IA só ganha o seu lugar produzindo o quadro de responsabilização, as pessoas supervisoras nomeadas, a pessoa signatária e a prova de que as três primeiras são reais.
Quem se senta, e o que cada assento suporta
As listas de membros de um comité de governação da IA leem-se como uma enumeração de direções. Isso é uma sala, não um órgão de governação. Ligue um dever a cada assento. Presidência, em regra uma figura de direção com responsabilidade sobre resultados. Suporta a tolerância ao risco que o comité de governação da IA aplica e a escalada para o conselho de administração. O GOVERN 2.3 coloca essa decisão ao nível executivo por uma razão simples: uma tolerância fixada por um grupo de trabalho é uma preferência, não um mandato. Pessoa signatária. A designada nos termos do anexo V, ponto 8, para as declarações de conformidade. Muitas vezes a própria presidência num prestador pequeno, e a direção de produto ou técnica num maior. Este assento existe, quer o preencha deliberadamente quer não. Jurídico e regulamentar. Suporta a decisão de classificação nos termos dos artigos 6.º e 7.º e a resposta à questão de que papel a organização ocupa em cada sistema: prestador, responsável pela implantação, importador, distribuidor ou mandatário. A maioria dos desacordos internos são, na verdade, desacordos sobre o papel. Proteção de dados. Suporta a articulação com o RGPD, em especial a questão de saber se, além da avaliação de impacto sobre os direitos fundamentais, é também necessária uma avaliação de impacto sobre a proteção de dados, e a base jurídica dos dados de treino. A Comissão Nacional de Proteção de Dados é o interlocutor natural deste assento. A nossa nota sobre a avaliação de impacto de IA esclarece que regime se aplica. Segurança. Suporta os requisitos de exatidão, solidez e cibersegurança do artigo 15.º, os ensaios adversariais e a articulação com a resposta a incidentes. Responsável de negócio pelo modelo e pelos dados. Suporta o acompanhamento do desempenho, a deriva e a resposta honesta à pergunta sobre a utilização real do sistema, que difere frequentemente do que dizia o pedido inicial. Recursos humanos ou ligação às estruturas representativas, quando o emprego está em causa. Suporta a informação aos trabalhadores prevista no artigo 26.º, n.º 7, e a articulação com os deveres de informação às estruturas representativas. É o assento mais esquecido, e o único cuja omissão pode travar um projeto. Duas regras mantêm a sala honesta. Primeiro, distinga no estatuto os membros que aconselham dos que respondem, porque um membro responsável não se pode abster. Segundo, ponha um teto na dimensão. Um comité de governação da IA de quinze pessoas não decide nada: assiste a apresentações.
Direitos de decisão: o que o comité pode decidir e o que não pode
Escreva os direitos de decisão do comité de governação da IA antes da sua composição. Um órgão sem eles desliza para o trabalho mais fácil disponível, que é a compra de ferramentas. Bastam quatro disposições: aprovar, aprovar com condições, adiar à espera de elementos e travar. Cada uma recebe uma pessoa responsável e uma data. A aprovação com condições é a disposição mais útil e a que falta na maioria dos estatutos, o que força uma escolha binária para a qual o comité de governação da IA não está preparado. Algumas decisões têm de subir ao conselho: uma prática proibida na aceção do artigo 5.º, toda a primeira colocação em serviço de um sistema classificado de risco elevado, toda a aceitação de um risco residual contra o parecer formal de quem detém o risco e todo o incidente grave que ative um dever de comunicação. O resto o conselho não quer, e o seu dever de vigilância satisfaz-se com as exceções e com a vista agregada, não com a fila. Algumas decisões nunca devem chegar ao comité de governação da IA. As ferramentas internas de produtividade sem dados pessoais e sem saída externa resolvem-se com uma política permanente, e se o seu processo de entrada as encaminhar para o órgão, este gastará ali a sua autoridade. A classificação por nível de risco é o filtro que protege a ordem de trabalhos. Classifique à entrada, encaminhe por nível e reserve a sala para os sistemas com consequência jurídica. O nosso guia sobre a gestão de riscos de IA explica como definir esses níveis. A última regra não é levantada por nenhuma página posicionada. O órgão que aprova um caso de uso não pode ser o que lhe dá garantia. O Instituto de Auditores Internos projeta a supervisão da IA sobre o modelo das três linhas, através de três domínios: governação, gestão e auditoria interna, sendo o ambiente de controlo estabelecido pela gestão na primeira linha e o órgão de governo apoiando-se na informação fornecida pela auditoria interna. Um comité de governação da IA que escreve o controlo, o executa e o valida produz um documento, não uma garantia. Mantenha a auditoria de IA independente do órgão que aprovou o sistema.
A cadência é um controlo, não um calendário
Quase todos os estatutos de comité de governação da IA em circulação fixam um mínimo trimestral, com ritmo mensal ao critério da presidência. Compare-o com os relógios que o regulamento faz correr de facto. O artigo 73.º obriga o prestador a comunicar um incidente grave à autoridade de fiscalização do mercado sem demora injustificada e, em qualquer caso, no prazo de 15 dias após ter tido conhecimento. O prazo desce para 10 dias quando possa ter sido causada a morte de uma pessoa, e para 2 dias em caso de infração generalizada ou de perturbação grave e irreversível de uma infraestrutura crítica. O artigo 73.º, n.º 5, admite uma comunicação inicial incompleta, completada depois, o que é uma concessão exatamente a este problema. Nenhum comité de governação da IA de cadência trimestral cumpre um prazo de 2 dias. Um ritmo mensal também não. Não é um argumento contra uma cadência estável: é um argumento para que a cadência suporte apenas o trabalho deliberativo e para que tudo o que está sujeito a prazo assente numa delegação permanente. Bastam três mecanismos. Uma escala de piquete, para que a qualquer hora uma pessoa nomeada possa qualificar um acontecimento e pôr o relógio a contar. Um gatilho de convocatória escrito no estatuto, que precise quem pode reunir o órgão em vinte e quatro horas e o que pode decidir sozinho entretanto. E um ponto permanente na ordem de trabalhos sobre acompanhamento pós-comercialização, para que os sinais de deriva e as reclamações que precedem a maioria dos incidentes cheguem à sala antes do incidente. O nosso guia sobre a comunicação de incidentes de IA detalha o fluxo do artigo 73.º. Em Portugal vale uma nota adicional. A ANACOM foi designada em setembro de 2025 como autoridade de fiscalização do mercado e ponto de contacto único para o regulamento, com a incumbência de coordenar as autoridades responsáveis pela proteção dos direitos fundamentais previstas no artigo 77.º. O destinatário da comunicação está portanto identificado, e um comité de governação da IA devia ter percorrido esse canal pelo menos uma vez a frio, antes de dele precisar. A cadência deliberativa, por sua vez, regula-se pelo caudal e não pelo calendário. Se a entrada produzir doze classificações de risco elevado por trimestre, as sessões trimestrais garantem uma fila, e a fila é exatamente o ponto onde começa a implantação clandestina.
O que o comité tem de produzir como prova
Uma autoridade não inspeciona um comité de governação da IA: inspeciona registos. Cinco artefactos suportam o peso. As atas como atos de decisão. Presentes e justificações, a decisão entre as quatro disposições, a fundamentação, as declarações de voto nominais, as condições, a pessoa responsável e a data. Uma ata que regista apenas o resultado não vale nada numa investigação, porque a pergunta será se a decisão era razoável face à informação disponível na altura, e só a fundamentação responde. O registo de casos de uso. Uma linha por sistema, com o papel ocupado, a classificação e o seu raciocínio, a pessoa supervisora nomeada nos termos do artigo 26.º, a fase do ciclo de vida e a data de revisão. Esse registo é também a resposta concreta à IA na sombra, porque um sistema que ninguém registou é um sistema que ninguém supervisiona. Veja a nossa página sobre a auditabilidade da IA para o que torna um sistema verificável. Os registos automáticos. O artigo 26.º, n.º 6, obriga o responsável pela implantação a conservar os registos gerados automaticamente por um sistema de risco elevado, na medida em que estejam sob o seu controlo, por um período adequado à finalidade prevista e, no mínimo, de seis meses, salvo disposição em contrário. Seis meses são um piso, não um objetivo, e são mais curtos do que a maioria dos prazos de investigação. A documentação técnica do anexo IV. Alguém a suporta, tem de estar atualizada no momento da colocação no mercado e acompanhar a evolução do sistema. A tarefa do comité de governação da IA é verificar que essa pessoa existe e que o documento não tem dezoito meses de atraso face ao modelo em exploração. A declaração de conformidade. Assinada, legível por máquina, conservada dez anos após a colocação no mercado ou a colocação em serviço. Um teste útil: pergunte o que o comité de governação da IA poderia entregar amanhã de manhã a uma autoridade sem preparar nada. Se a resposta honesta for uma apresentação, o órgão ainda não é um controlo.
O calendário 2027 que um estatuto escrito hoje tem de assumir
É nas datas que muitas publicações dedicadas ao comité de governação da IA estão já simplesmente erradas, porque o calendário se moveu depois de terem sido escritas. Já aplicável: as práticas proibidas do artigo 5.º e o dever de literacia do artigo 4.º aplicam-se desde 2 de fevereiro de 2025, e as obrigações relativas aos modelos de finalidade geral desde 2 de agosto de 2025. A literacia é a obrigação mais negligenciada e aquela que um comité de governação da IA pode honrar mais depressa. A partir de 2 de agosto de 2026: os deveres de transparência do artigo 50.º sobre conteúdos sintéticos, informação aos utilizadores de agentes conversacionais, marcação de falsificações profundas e reconhecimento de emoções. Se a organização gera ou manipula conteúdo, é o prazo duro mais próximo. Adiadas: o regulamento (UE) 2026/1744, o chamado ómnibus digital sobre IA, aprovado pelo Parlamento Europeu em 16 de junho de 2026 e pelo Conselho em 29 de junho de 2026, publicado no Jornal Oficial em 24 de julho de 2026 e em vigor desde 27 de julho de 2026, deslocou as obrigações de risco elevado autónomas do anexo III para 2 de dezembro de 2027 e as do anexo I para 2 de agosto de 2028. As práticas proibidas e o regime dos modelos de finalidade geral não foram alterados. Para um comité de governação da IA, esse adiamento não é razão para abrandar: é um orçamento. O trabalho de classificação, o quadro de responsabilização e o registo são as rubricas de prazo longo, e quem tratar 2 de dezembro de 2027 como data de partida em vez de prazo acabará a montar a documentação do anexo IV para sistemas que estão há dois anos a funcionar sem supervisão. O nosso guia sobre os sistemas de IA de risco elevado trata da própria decisão de classificação.
Quando não deve criar um comité de governação da IA
Uma das páginas mais bem posicionadas nesta pesquisa defende que não é preciso este órgão de todo. O argumento merece uma resposta em vez de silêncio, porque acerta mais vezes do que os guias dos fornecedores admitem. Um comité de governação da IA permanente é a estrutura errada quando três condições se reúnem: a organização não é prestadora nem responsável pela implantação de qualquer sistema de risco elevado, não opera um modelo de finalidade geral próprio, e a sua utilização de IA limita-se a algumas ferramentas de mercado sem decisões automatizadas sobre pessoas. Nesse caso o órgão produz cerimónia. A estrutura certa é uma pessoa responsável nomeada, uma política de IA efetivamente aplicada e um ponto permanente numa comissão de risco ou de auditoria já existente. Um comité de governação da IA é também a estrutura errada quando serve para distribuir a responsabilidade até ninguém a suportar. Se o estatuto não nomeia pessoas responsáveis, o órgão tornou a responsabilidade mais difícil de localizar do que antes, que é exatamente o defeito que o artigo 17.º e o ponto 5.3 procuram impedir. Dois gatilhos honestos: o primeiro sistema classificado de risco elevado nos termos do anexo III, e a primeira vez que duas áreas discordam sobre uma colocação em serviço sem que exista um lugar onde resolver a divergência deixando rasto escrito. Antes disso, uma pessoa responsável nomeada e uma boa política de IA rendem mais do que um comité de governação da IA.
Perguntas frequentes
Qual é o papel de um comité de governação da IA? O comité de governação da IA detém e exerce direitos de decisão delegados sobre os sistemas de IA com consequência jurídica ou material, e produz os registos que provam que essas decisões foram tomadas deliberadamente. Em concreto: classificar os sistemas e o papel ocupado em cada um, aprovar ou condicionar implantações, designar as pessoas responsáveis pela supervisão e pela assinatura dos documentos de conformidade, e analisar os incidentes e o acompanhamento pós-comercialização. O parecer consultivo é uma função secundária: um órgão que apenas aconselha não precisa de estatuto. Quem é responsável pela governação da IA? Pessoas nomeadas, não o comité de governação da IA. O regulamento atribui os deveres ao prestador ou ao responsável pela implantação enquanto organização e depois exige que essa organização identifique pessoas singulares: as supervisoras do artigo 26.º, o pessoal cujas responsabilidades constam do quadro de responsabilização do artigo 17.º e quem assina a declaração de conformidade nos termos do anexo V. O ponto 5.3 da ISO/IEC 42001 pede o mesmo à gestão de topo. Falamos disso na nossa página sobre a responsabilidade da IA. Em que difere de uma comissão de acompanhamento da IA? A comissão de acompanhamento decide o que a organização deve construir e financiar. O comité de governação da IA decide se pode explorar o que foi construído e em que condições. Idealmente os dois não partilham a presidência, porque quem responde pela entrega não devia também aprovar a aceitação do risco. Se o quadro de pessoal impuser um único órgão, separe a ordem de trabalhos e registe os dois papéis em ata separadamente. Com que frequência deve reunir? Regule a cadência deliberativa pelo volume de entrada e não pelo hábito, e nunca confie ao calendário das sessões nada que esteja sujeito a prazo. O artigo 73.º faz correr relógios de 15, 10 e 2 dias, pelo que o estatuto precisa de uma escala de piquete, de uma regra de convocatória urgente e de um perímetro escrito do que uma só pessoa pode decidir. É preciso um comité de governação da IA para obter a certificação ISO 42001? Não. O ponto 5.3 exige papéis, responsabilidades e autoridades atribuídos e comunicados, além de um canal de reporte do desempenho do sistema de gestão à gestão de topo. Um órgão é uma forma cómoda de o demonstrar, mas o auditor verifica se a responsabilização está documentada, compreendida e exercida, não se existe um órgão com um nome em particular. O nosso guia sobre a certificação ISO 42001 descreve o que os auditores realmente amostram. O que deve conter o estatuto? Objeto e âmbito, as quatro disposições de decisão e quem as detém, a matriz de escalada para o conselho, os assentos com um dever nomeado em cada um, o quórum e a regra de conflito de interesses, o gatilho de convocatória e a escala de piquete, a ordem de trabalhos permanente, os deveres de conservação com os respetivos prazos e o ciclo de revisão do próprio estatuto. Acrescente um anexo que associe cada elemento do artigo 17.º, n.º 1, a um papel nomeado: é esse anexo que um auditor irá pedir.
Conclusão
As páginas posicionadas nesta pesquisa descrevem um desenho organizativo. O regulamento descreve uma cadeia de responsabilidade, e essa cadeia termina numa pessoa com uma caneta. Um comité de governação da IA vale exatamente na medida em que torna essa cadeia explícita: quem classificou este sistema e com que raciocínio, quem o supervisiona e com que autoridade, quem assinará por ele e onde está o registo dos três. Construa o estatuto de trás para a frente, a partir do artigo 17.º, do artigo 26.º, do anexo V e do ponto 5.3. Dê ao comité de governação da IA disposições verdadeiras e um caminho de escalada verdadeiro. Mantenha a garantia independente da aprovação. Ajuste a cadência aos relógios de incidente e não ao calendário. E se as quatro obrigações ainda não o alcançam, ponha-o por escrito e nomeie uma pessoa responsável. Um órgão que existe porque os deveres existem é um controlo. Um que existe porque um concorrente anunciou o seu é uma reunião.