A IA saiu do piloto para produção, a governança ficou atrás

Todo mês de 2026 sai um relatório novo dizendo que a IA corporativa finalmente virou séria. A parte útil desses documentos raramente é a manchete que a assessoria escolheu. É o número que fica no rodapé. E o rodapé de julho conta uma história bem menos triunfal que o título.

Comece pelo estudo mais recente. Em 7 de julho, a Smarsh, em parceria com a FTI Consulting, publicou o 2026 Enterprise AI Trends Study, ouvindo empresas de setores regulados. O dado de capa é animador: 55% já estão usando IA de forma ativa. O dado do rodapé é o que interessa: só 26% dizem ter uma estrutura de governança alinhada a esse ritmo. E apenas 30% afirmam ter capacidade ampla de detectar e administrar as ferramentas de IA que os funcionários usam por fora dos fluxos aprovados.

Traduzindo: na maioria das empresas pesquisadas, a IA já entrou, mas quem deveria supervisionar não enxerga metade do que está rodando.

A adoção é real, o placar não é o que parece

Não é caso de desmentir a adoção. Ela aconteceu mesmo. O State of AI in the Enterprise da Deloitte, que ouviu mais de 3.200 líderes de negócio e de tecnologia, aponta na mesma direção: 66% relatam ganho de produtividade e eficiência, e a fatia de empresas com pelo menos 40% dos experimentos rodando em produção está a caminho de dobrar em seis meses. O acesso de trabalhadores a ferramentas de IA subiu de forma expressiva no último ano.

Quando dois estudos independentes, com metodologias e amostras diferentes, chegam ao mesmo lugar, o lugar costuma ser real. A IA saiu do PowerPoint e foi para a operação. Isso não está em disputa.

O que está em disputa é a leitura. A narrativa fácil é "adoção em alta, tudo indo bem". A leitura honesta é que dois indicadores subiram em velocidades diferentes: uso disparou, controle ficou para trás. E é exatamente nessa distância que mora o risco.

O gargalo mudou de lugar

Durante dois anos, o problema de quase toda empresa foi o mesmo: convencer a organização a usar IA de verdade. Vencer o medo, achar o primeiro caso, tirar do slide. Esse problema, para muita gente, acabou. O novo problema é o oposto: a IA já está em uso em todo canto, inclusive onde ninguém autorizou, e falta a camada que diz quem usou, com qual dado e com qual permissão.

É a diferença entre um estágio e o outro. Antes, a pergunta do líder era "como faço meu time adotar IA?". Agora é "o que meu time já está fazendo com IA que eu não estou vendo?". A segunda pergunta é mais desconfortável, porque a resposta honesta, na maioria dos casos, é "não sei". E ela tem um lado gêmeo dentro do time: adoção profunda não vem de política, vem de treino, como mostra o programa de alfabetização em IA que Steve Yegge descreve.

Adoção sem observabilidade não é maturidade, é dívida. E a fatura chega em forma de vazamento, decisão sem rastro e dependência de uma ferramenta que ninguém mapeou.

Há ainda um dado de projeção que anda nesses relatórios e merece cautela. Analistas de mercado projetam que a maioria das aplicações corporativas terá agentes embutidos até o fim do ano, ante uma fração mínima em 2025. Projeção é projeção, não é medição, e deve ser lida como aposta de tendência, não como fato. Mas mesmo descontando o otimismo de consultoria, a direção é clara: mais IA embutida em mais sistemas significa mais superfície para controlar, não menos.

O que fazer com isso na segunda de manhã

A parte boa de um problema chato é que a solução também é chata, e chato é operável. Três frentes concretas, na ordem em que valem mais que outro piloto.

Primeira, inventário antes de estratégia. Você não governa o que não enxerga. Antes de escrever uma política de IA de dez páginas, faça o levantamento do que já está em uso: quais ferramentas, contratadas por quem, tocando qual dado. O número de 30% de detecção da Smarsh é um convite direto: comece pelo shadow AI, porque é onde está o risco que ninguém assumiu.

Segunda, permissão escopada e log por padrão. Todo agente que age em sistema seu precisa de duas coisas antes de entrar em produção: o mínimo de permissão para fazer o trabalho, e um registro do que fez. Se um agente tem acesso amplo e não deixa trilha, você não tem um assistente, tem um ponto cego com credencial. Essa é a mesma pergunta que vale para qualquer peça de infraestrutura de agente que você for comprar: cadê a auditoria, cadê o escopo.

Terceira, medir resultado, não uso. Adoção alta não é meta, é meio. O placar que importa é se a IA melhorou uma métrica de negócio real, e isso pede o mesmo rigor de sempre, de preferência com um painel honesto no estilo DORA, não um contador de quantas pessoas abriram o chatbot.

O relatório que chega amanhã vai anunciar de novo que a IA amadureceu. Talvez tenha amadurecido mesmo. Mas maturidade de verdade não é quantos por cento adotaram. É quantos por cento conseguem dizer, com log na mão, o que a própria IA andou fazendo.

Se você quer montar a camada de governança, inventário e auditoria da IA que o seu time já está usando, fala com a gente no WhatsApp.