COBIT 2019 e Governança de IA - parte I: Estruturando Confiança na Era Digital
junho 30, 2026
Por Felipe Siqueira
COBIT 2019 permanece como o framework de referência para governança e gestão de informação e tecnologia, e o white paper da ISACA sobre IA mostra como essa versão é plenamente adequada para enfrentar os desafios atuais de governança de sistemas de inteligência artificial. A combinação entre princípios de governança, objetivos de TI e aplicação ao ciclo de vida da IA torna o COBIT 2019 um instrumento muito atual para profissionais de GRC.
Desde o seu lançamento em 1996, o COBIT evoluiu de um conjunto de objetivos de controle voltado principalmente para auditoria de TI para um framework completo de governança de informação e tecnologia, com impacto global em gestão de riscos e conformidade. Essa trajetória passa por marcos como COBIT 4.x e COBIT 5, que consolidaram o framework como referência para alinhamento entre estratégia corporativa e TI, integração com normas como ISO/IEC 38500, ITIL e outros modelos de boas práticas.
Em 2018/2019, a ISACA lançou o COBIT 2019 como atualização significativa, incorporando fatores de desenho (“design factors”), áreas de foco (“focus areas”) e uma estrutura de objetivos de governança e gestão que torna o framework mais customizável e aderente à realidade da transformação digital. Hoje, a própria ISACA destaca que o COBIT está completando três décadas de impacto em governança de TI, com planos de atualização contínua em forma de conteúdos digitais e módulos de avaliação, mantendo COBIT 2019 como núcleo vigente.
Nesse contexto, a discussão sobre IA não aparece como um “novo COBIT”, mas como uma nova camada de aplicação de COBIT 2019 aos riscos e oportunidades da inteligência artificial – exatamente o foco do white paper “Leveraging COBIT for Effective AI System Governance”.
O white paper da ISACA parte de um diagnóstico claro: organizações estão sob crescente pressão para governar sistemas de IA de forma responsável, abrangendo ética, responsabilidade, transparência e conformidade. Embora o COBIT tenha sido tradicionalmente utilizado para governança de informação e tecnologia em geral, o documento argumenta que sua estrutura é “unicamente posicionada” para endereçar os desafios específicos da IA, justamente por oferecer um modelo holístico e baseado em ciclo de vida.
O texto descreve como os domínios de COBIT (EDM, APO, BAI, DSS, MEA) podem ser aplicados às diversas fases do ciclo de vida da IA – da concepção e desenvolvimento à implantação, operação e monitoramento contínuo. Por exemplo, na fase de implantação, o domínio BAI (Build, Acquire and Implement) é usado para orientar a integração dos sistemas de IA ao negócio, assegurar implementação segura e eficiente e garantir que testes e validações sejam adequados antes da entrada em produção.
O white paper também apresenta cinco categorias de risco de IA que devem ser consideradas pelas organizações: risco de uso ético, risco de políticas e governança, risco de tecnologia e infraestrutura, risco operacional e organizacional, e risco emergente e estratégico. Ao mapear essas categorias às práticas e objetivos de COBIT 2019, o documento mostra como o framework pode oferecer não apenas controle, mas uma visão estratégica de risco que dialoga com apetite e tolerância ao risco da organização.
Entre os benefícios destacados, estão o alinhamento direto das iniciativas de IA com os objetivos de negócio, a definição clara de ownership e accountability sobre cada iniciativa de IA, a otimização de recursos e a construção de confiança em operações habilitadas por IA. O artigo “COBIT: A Practical Guide for AI Governance”, publicado no blog ISACA Now, reforça a mesma linha de raciocínio e traz cinco mensagens práticas: começar pelo alinhamento estratégico, gerir riscos de IA com base em critérios de “IA confiável”, medir desempenho da IA com métricas claras, implementar salvaguardas de segurança robustas e garantir responsabilização explícita pelas soluções de IA.
Do ponto de vista da história e posicionamento, o artigo de celebração dos “trinta anos de COBIT” destaca como o framework se transformou de um conjunto de objetivos de controle em um sistema de governança customizável, com mais de um milhão de downloads de publicações. Esse histórico também ajuda a entender por que a ISACA optou por um modelo de evolução contínua – com updates digitais e novos módulos (como avaliação de maturidade) – em vez de um “COBIT 202X” que substituísse o COBIT 2019.
Na prática, o que vemos em cursos e materiais regionais (como o treinamento “Using COBIT for Effective AI Governance” do capítulo Bangkok) é a aplicação dos conceitos de COBIT 2019 à governança de IA, usando o white paper como referência principal. Esses materiais reforçam que o foco não é trocar de framework, mas aprofundar a leitura de COBIT 2019 à luz de IA, redução de riscos, aumento de transparência e geração de valor sustentável.
No cenário atual, COBIT 2019 continua sendo o framework de base para governança e gestão de informação e tecnologia, e as iniciativas da ISACA em torno de IA – especialmente o white paper “Leveraging COBIT for Effective AI System Governance” – mostram que esse framework está sendo estendido, não substituído. Em vez de propor um novo COBIT exclusivo para IA, a ISACA demonstra como os princípios, domínios e objetivos de COBIT 2019 podem ser usados para estruturar governança responsável de IA ao longo de todo o ciclo de vida, incluindo riscos éticos, tecnológicos, organizacionais e estratégicos.
Para quem atua com GRC, isso significa que o investimento em COBIT 2019 permanece plenamente válido: o framework oferece a espinha dorsal de governança de TI, e os materiais novos (white papers, blogs, treinamentos, futuros módulos de avaliação) ampliam sua aplicação a temas emergentes como IA, sem exigir uma “migração” para um framework completamente diferente. Em outras palavras, na era da IA, COBIT 2019 funciona como um sistema de governança sólido e adaptável, capaz de incorporar novos riscos e tecnologias sem perder coerência com a história de boas práticas de governança de TI que ele ajudou a construir ao longo das últimas três décadas.
Links principais citados no artigo:
Página oficial COBIT na ISACA: https://www.isaca.org/resources/cobit
White paper “Leveraging COBIT for Effective AI System Governance”: https://www.isaca.org/resources/white-papers/2025/leveraging-cobit-for-effective-ai-system-governance
Blog “COBIT: A Practical Guide for AI Governance”: https://www.isaca.org/resources/news-and-trends/isaca-now-blog/2025/cobit-a-practical-guide-for-ai-governance
Artigo “Celebrating Three Decades of COBIT”: https://www.isaca.org/resources/news-and-trends/newsletters/atisaca/2026/volume-8/celebrating-three-decades-of-cobit
Linha do tempo oficial do COBIT: https://www.isaca.org/resources/infographics/the-cobit-framework-timeline
