I. O calendário sobrevive, a prova dele não
A estrutura mais vendável do mercado é um ciclo de seis meses em quatro fases, justificado por dados de litígio. Ela costuma vir apoiada em três números: uma análise de casos com percentual de falha concentrado entre a segunda e a décima segunda semana de implementação, uma pesquisa de formulário com taxa de teste de escalação, e uma síntese jurídica segundo a qual quem adotasse o ciclo alcançaria conformidade em cem por cento dos casos revistos.
Nenhum desses números existe. Não há análise de litígios que sustente o primeiro, a origem do segundo é incompatível com a pergunta que ele pretenderia responder, e o terceiro é atribuído a um periódico que não o publicou. O ponto não é imprecisão: é número sem origem.
O calendário, porém, sobrevive à verificação — porque ele nunca dependeu desses números. Quatro fases com responsável nomeado e critério de saída são uma decisão de projeto, e a decisão se defende por duas coisas honestas: espelha uma estrutura de gestão publicada, e resolve um problema que a evidência real documenta bem.
Muda, com isso, o tipo de promessa. Não há garantia de conformidade a oferecer, não há percentual de sucesso a citar, e não existe norma que imponha o prazo de vinte e seis semanas. Existe algo mais útil: um plano assinável, com o nome de quem executa cada fase, que transforma ausência de evidência em evidência de gestão.
[Ponto de Inflexão Fiduciária]: Quando o seu conselho aprovou o último sistema autônomo, aprovou também um calendário com responsável e critério de saída por fase — ou aprovou a intenção de que alguém, em algum momento, implementasse a governança?
II. O que a evidência real documenta
Pesquisa Bank of England e Financial Conduct Authority com cento e dezoito empresas, publicada em 21/11/2024: setenta e cinco por cento das companhias respondentes usam inteligência artificial; trinta e quatro por cento declaram compreensão completa dos modelos que utilizam e quarenta e seis por cento, compreensão parcial; um terço dos casos de uso envolve fornecedor externo. Institute for International Finance e Stanford HAI, índice de inteligência artificial responsável, edição 2026: incidentes documentados subiram de duzentos e trinta e três em 2024 para trezentos e sessenta e dois em 2025. S&P Global Market Intelligence, 2025: quarenta e dois por cento das empresas abandonaram a maioria das iniciativas de inteligência artificial, contra dezessete por cento no ano anterior. Regime europeu de inteligência artificial, artigos 12 e 26, parágrafo 6.
Uma em três entende o que opera
A pesquisa do regulador britânico é a mais próxima de um censo que existe sobre o assunto: cento e dezoito empresas supervisionadas, metodologia declarada, pergunta direta sobre compreensão. Setenta e cinco por cento operam modelos. Trinta e quatro por cento afirmam compreendê-los por completo; quarenta e seis por cento, parcialmente.
O número que importa para um conselho não é a taxa de adoção, é a de compreensão, porque é ela que determina se a aprovação da Fase 0 foi informada. Se dois em cada três não compreendem por completo, um programa que começa pedindo ao conselho que “avalie os riscos de inteligência artificial” está pedindo uma avaliação cuja condição ele mesmo documenta como ausente.
A outra metade do achado britânico é a dependência: um terço dos casos de uso envolve terceiro, com concentração medida nos fornecedores principais. Isso desloca a Fase 1, que deixa de ser desenho de arquitetura interna e passa a ser desenho de cláusulas.
Piloto aprovado não é operação conforme
O dado de abandono da S&P Global sustenta o passo que os planos costumam pular. Quarenta e dois por cento das empresas abandonaram a maioria de suas iniciativas de inteligência artificial, contra dezessete por cento no ano anterior, com custo, privacidade e segurança entre os motivos declarados.
Leia o número com precisão: ele não mede conformidade regulatória nem falha de governança, mede iniciativa desligada. Serve exatamente para isso — a fase de piloto termina em produção ou termina em arquivo, e a probabilidade de arquivo não é marginal. Um cronograma que prevê implantação generalizada sem um critério explícito de descontinuação está escrito com uma perna só.
O único prazo de guarda com fonte primária
O regime europeu de inteligência artificial exige que sistemas de alto risco permitam registro automático de eventos ao longo da vida útil e determina que quem os utiliza conserve os logs sob seu controle por no mínimo seis meses. É o único prazo de retenção localizável em fonte primária na comparação desta série.
A praxe de mercado prescreve guarda de mais de doze meses. Não há problema em guardar mais do que a referência europeia, desde que a diferença seja registrada como escolha interna e não apresentada como exigência legal — e o artigo 37 da Lei Geral de Proteção de Dados, que trata do registro das operações de tratamento, é o dispositivo brasileiro onde essa política se apoia.
O que a fonte não dá
Não existe percentual de conformidade alcançável por adoção de calendário, e quem o cita não tem fonte primária para mostrar. Não existe norma que fixe tempo-limite de parada: o artigo 14, parágrafo 4, do regime europeu pede capacidade de interromper, sem segundos. E a Resolução CFM nº 2.454, de 11 de fevereiro de 2026, não contém formulário trimestral, prazo de auditoria de logs ou presunção legal de não-supervisão — contém deveres do profissional: decisão final reservada ao médico, registro do uso de inteligência artificial no prontuário, juízo crítico e classificação por faixas de risco.
[Ponto de Inflexão Fiduciária]: Na sua organização, o prazo de guarda de registros foi decidido por alguém com nome, ou herdou o número que estava no contrato do fornecedor?
III. As quatro fases, como escolha declarada
A divisão em quatro fases tem antecedente público: o marco de gestão de risco de inteligência artificial do National Institute of Standards and Technology organiza o trabalho em governar, mapear, medir e gerir, e a norma internacional ISO/IEC 42001, adotada no Brasil em versão registrada pela associação nacional de normalização, estrutura sistema de gestão de inteligência artificial em ciclo com auditoria interna e análise pela direção. O calendário abaixo usa essa espinha e acrescenta o que as duas peças publicadas não fornecem: datas e assinatura.
Fase 0, semanas 1 a 4 — Auditoria de realidade e nomeação. O produto é o Inventário de Dependência: por sistema autônomo crítico, quem fornece modelo, nuvem e dados, qual versão está em produção, quem controla os registros e o que existe de capacidade de substituição — ao lado do que cada sistema decide, do que já foi delegado sem aprovação e do grau de compreensão da diretoria responsável. A pergunta desta fase é a que a pesquisa britânica torna obrigatória: quem aqui entende o que opera. Saída: matriz assinada por duas diretorias, risco e tecnologia.
Fase 1, semanas 5 a 8 — Desenho verificável. Com o Inventário de Dependência na mão, especificar para cada sistema crítico limite técnico, artefato de supervisão, protocolo de escalação e cláusulas de terceiros — acesso da auditoria, notificação de incidente, portabilidade de logs. Saída: documento de arquitetura por sistema, com parecer de terceiro.
Fase 2, semanas 9 a 16 — Piloto com teste. Um ou dois sistemas, não a operação inteira. Cada mês, uma injeção de condição de falha, com tempo entre disparo e parada medido e registrado em ata. Saída: quatro atas e uma decisão fundamentada sobre escalar ou descontinuar.
Fase 3, semana 17 em diante — Operação verificada e ciclo. O que as três fases anteriores produziram se reúne no Dossiê de Comando: registro de custódia da decisão, procuração digital por agente, contrato de autonomia, custódia do supervisor, pacote de prova de supervisão e mapa de réguas — cada instrumento com data e responsável. Implantação faseada, relatório trimestral ao comitê de auditoria, verificação anual da delegação, dossiê reaberto a cada ciclo. A fase não termina, e é por isso que as três anteriores existem.
[Ponto de Inflexão Fiduciária]: Sua empresa tem um sistema de gestão de inteligência artificial documentado e não tem uma ata de teste dos últimos noventa dias — e quem recebe o relatório trimestral sabe distinguir as duas coisas?
IV. O Mandato das Quatro Fases
O trabalho do conselho nesta peça é uma decisão só: aprovar um calendário com responsável e critério de saída por fase, e declarar que as datas são escolha de projeto. Calendário sem critério de saída é agenda. Critério sem responsável é aspiração.
☐ Sugere-se ao Conselho aprovar, em uma página, o calendário de quatro fases com o cargo responsável e o critério de saída de cada uma, registrando em ata que os prazos são escolha de engenharia desta publicação e não exigência normativa. Entregável: ata com o calendário aprovado e a declaração de fundamento.
☐ Recomenda-se que a Fase 0 seja concluída sob duas assinaturas, risco e tecnologia, e que seu produto explicite o grau de compreensão da diretoria sobre cada sistema inventariado — inclusive onde a resposta for parcial, que é o resultado esperado em dois de cada três casos na evidência britânica.
☐ Orienta-se instituir, na Fase 2, o critério de descontinuação escrito antes do primeiro teste, de modo que terminar um piloto signifique decidir e não apenas implantar, com o motivo registrado em ata no dia da decisão.
V. O Teste do Ácido
Se o seu conselho fosse convocado a explicar por que escolheu vinte e seis semanas, quatro fases e guarda de registros por mais de meio ano, conseguiria mostrar a ata em que aprovou essas escolhas com nome de responsável e critério de saída por fase — ou teria de admitir que o calendário veio de um artigo que apresentou como evidência o que era apenas opinião?
🏛️ Biblioteca: Metodologia Prática
Calendário Fiduciário de Quatro Fases
01. Roteiro de implementação
- Semanas 1 e 2 — Inventário de Dependência. Liste sistemas que decidem ou recomendam decisão com efeito sobre cliente, empregado ou terceiro, com o que cada um pode executar sem aprovação humana, o fornecedor por trás de modelo, nuvem e dados, e a capacidade real de substituição.
- Semana 3 — Autodiagnóstico de compreensão. Registre, por sistema, quem entende o suficiente para supervisionar e marque como parcial o que não for completo. Não converta dúvida em status verde.
- Semana 4 — Nomeação. Atribua dono de risco, operador, supervisor, escalador e autorizador por escrito, com a autoridade de cada um.
- Semanas 5 a 8 — Desenho e parecer externo. Especifique limite, supervisão, escalação e cláusulas de terceiro; peça parecer de auditoria independente com uma de três conclusões: aprovar, aprovar com condições, ou redesenhar.
- Semanas 9 a 16 — Piloto com injeção. Um ou dois sistemas, teste mensal, tempo entre disparo e parada medido em ata, critério de descontinuação escrito antes do primeiro teste.
- Semana 17 em diante — Ciclo. Implantação faseada com teste por onda, relatório trimestral ao comitê de auditoria, verificação anual da delegação.
02. Matriz de fases
| Fase | Critério de saída | Evidência que fica |
|---|---|---|
| 0 e 1 — inventário, compreensão, nomeação, desenho | duas assinaturas no inventário e parecer escrito de terceiro sobre o desenho | ata de aprovação do calendário, matriz de delegação com nomes, documento de arquitetura por sistema |
| 2 — piloto com teste | quatro atas de teste com tempo medido entre disparo e parada e uma decisão de escalar ou descontinuar | log datado por gatilho e relatório de piloto |
| 3 — operação e ciclo | relatório trimestral apresentado e discutido, com ata | trilha de supervisão do período, guarda de registro e verificação anual de delegação |
03. Glossário
critério de saída: condição escrita que define o que precisa ser verificado para encerrar uma fase, antes de a seguinte começar.
dossiê de comando: conjunto de evidências que demonstra que a organização está no comando dos sistemas que opera; reúne os seis instrumentos da temporada, com data e responsável por item.
dono de risco: cargo accountable pela operação de um sistema autônomo específico e pela verificação periódica de que a delegação continua razoável.
Fase 0: etapa de inventário e nomeação que existe porque ignorar o que já roda é a falha documentada nas pesquisas do setor, e não porque a norma a exija.
grau de compreensão: medida declarada do que a organização entende dos modelos que opera, registrada por sistema e por pessoa, e não presumida pela existência de uma política.
inventário de dependência: levantamento, por sistema, de quem fornece modelo, nuvem e dados, qual a versão em uso, quem controla os registros e com que capacidade de substituição; precede o desenho de cláusulas da Fase 1.
parecer de terceiro: conclusão escrita de auditoria independente, com uma de três posições: aprovar, aprovar com condições, ou redesenhar.