Um framework para montar um Centro de Excelência em IA que acelera o negócio em vez de travar
Nos últimos meses conversei com uma sequência de empresas de médio e grande porte, de setores diferentes, todas travando no mesmo problema: perderam o controle do que o próprio time está fazendo com IA. Não por má-fé. Só que a adoção correu mais rápido do que a governança conseguiu acompanhar. Todas carregam mais risco do que a liderança imagina.
A parte interessante não é o risco. É que as empresas que acertaram a governança não estão andando mais devagar que as outras. Estão andando mais rápido.
Alguém me colocou isso bem outro dia: por que a gente acelera o carro? Porque tem freio. Porque sabe que consegue parar se precisar. Tira o freio e o carro não fica mais rápido… sai da pista na primeira curva.
Governança de IA funciona do mesmo jeito. Não é o que trava a empresa. É o que permite empurrar mais forte, porque alguém já mapeou onde estão os limites.
Sei disso por dentro, não de slide. Recentemente liderei a frente de segurança de IA dentro de um Centro de Excelência de um grande grupo nas áreas da saúde e educação. Senti cada um desses desafios na pele, não como teoria, mas na prática.
Onde a maioria dos CoEs realmente estão
Os dados confirmam o que eu vi nessas conversas. Na pesquisa de 2026 da WRITER sobre IA corporativa, 75% dos executivos descrevem a própria estratégia de IA como “mais para mostrar” do que orientação real. 67% acreditam que a empresa já sofreu um vazamento de dados ligado a ferramentas de IA que ninguém aprovou. O relatório State of AI in the Enterprise, da Deloitte (2026), encontrou apenas 21% das organizações com um modelo de governança maduro para agentes de IA.
A maioria das empresas não tem falta de IA. Tem falta de estrutura que transforme uso disperso em programa de verdade… um Centro de Excelência com autoridade real, não um grupo de trabalho que se reúne uma vez por mês e produz slide que ninguém segue.
Aqui está o framework que eu sugiro para construir um CoE de IA:
1. Consiga mandato, não linha de orçamento
Um CoE com verba e sem poder de decisão é comitê. Antes de qualquer coisa, alguém precisa ter autoridade para vetar um caso de uso, pausar uma implantação ou sobrepor uma decisão de área de negócio. Essa autoridade precisa vir de alguém a quem as áreas de negócio de fato respondem. Se o seu patrocinador é um VP que precisa escalar toda decisão difícil, você ainda não tem um CoE. Tem uma proposta.
2. Escolha o modelo operacional do tamanho que você consegue rodar
Aqui é onde médias e grandes empresas se separam, e é o passo que a maioria dos frameworks pula.
- Empresas de médio porte geralmente não têm quadro para rodar um modelo totalmente centralizado. Cada time esperando um único CoE aprovar cada caso de uso cria um gargalo que o negócio vai contornar. Um modelo federado funciona melhor: o CoE define padrões e barreiras, as áreas de negócio executam, e um time central pequeno audita em vez de aprovar tudo.
- Grandes empresas podem (e geralmente precisam) bancar um modelo hub-and-spoke. Um hub central forte é dono da governança, da segurança e das decisões de plataforma. Spokes embutidos em cada área de negócio traduzem esses padrões em casos de uso locais. O grupo de saúde e educação onde atuei rodava assim, e foi essa estrutura de spokes que permitiu à frente de segurança acompanhar o ritmo em vez de virar o departamento que só diz não.
3. Construa a governança como acelerador, não como freio
Essa é a peça que sempre entra por último, quando deveria entrar primeiro. Governança definida depois que os casos de uso já estão em produção não é governança, é faxina! Defina seus níveis de risco, seus limites de aprovação e seus critérios de desligamento antes do primeiro caso de uso ir ao ar, não depois do primeiro incidente.
4. Monte o time por função, não por cabeça
Um CoE precisa de cinco funções para funcionar: um dono do caso de uso que entende o problema de negócio, um engenheiro de IA/ML, um responsável pelos dados, um líder de governança e segurança, e alguém dono da gestão de mudança. Quatro pessoas conseguem cobrir cinco funções. O que mata o programa é tentar cobrir cinco funções com plano de duas, ou contratar por habilidade técnica e tratar governança como tarefa de meio período de quem sobra tempo.
5. Construa um funil de entrada que filtra por valor, não por entusiasmo
A pesquisa da McKinsey encontrou que 52% das empresas de alto desempenho em IA têm processo documentado para levar uma solução à produção, contra 34% do restante. Essa é a distância toda. Todo caso de uso que chega ao CoE deveria responder três perguntas antes de receber recurso: qual métrica de negócio isso move, o que acontece se falhar, e quem é o dono depois do lançamento. Sem resposta para uma das três, sem sinal verde… não importa o quanto o patrocinador esteja animado.
6. Defina o que “funcionar” significa antes de escalar
A maioria dos CoEs sabe dizer quantos pilotos lançou. Poucos sabem dizer quantos “mataram”. Estabeleça uma data de encerramento para cada piloto antes dele começar, e um número pequeno de métricas (adoção, incidentes de risco, impacto de negócio mensurável) que decidem se ele avança de estágio ou é desligado. Um CoE que nunca mata nada não é disciplinado. Tem medo de errar em público.
A parte que todo mundo pula
Nenhum dos seis passos é difícil sozinho. Difícil é fazer os seis, na ordem, em vez de pular direto para o passo 5 porque o caso de uso parece empolgante, e pular o passo 1 porque pedir mandato de verdade é desconfortável.
O carro sem freio não parece perigoso na reta. Parece perigoso uma única vez… na primeira curva, na velocidade errada, quando já é tarde para construir o freio que você pulou.
Se você está montando um CoE agora, ou já está três casos de uso à frente sem governança nenhuma, me responde. Quero saber onde você realmente está.
Descomplicando a Cibersegurança
Quer saber mais sobre Cibersegurança de uma forma simples e direta, construindo uma base de conhecimento que suporte os desafios da IA?
Conheça meu livro: “Descomplicando a Cibersegurança” e tenha acesso a um conteúdo essencial para gestores e profissionais que precisam de clareza para navegar no cenário de riscos digitais.
Link para Amazon: https://a.co/d/00y4w0we
Linkedin: https://www.linkedin.com/in/joseluizjr/
José Luiz de Oliveira Junior
AAISM, CISSP, CIPM, CIPT, ISO 27001 LA, ITIL, COBIT
