COBIT 2019 e Governança de IA - parte II: A prática
julho 07, 2026
Por Felipe Siqueira
Este artigo dá continuidade à reflexão iniciada na parte 1 sobre como usar COBIT 2019 como espinha dorsal da governança de inteligência artificial (IA), saindo da teoria para exemplos práticos. A ideia aqui é conectar conceitos do framework com dilemas reais em projetos, com base em referências sólidas da ISACA, literatura acadêmica recente e debates profissionais.
O escopo central é: em vez de tratar IA como "algo à parte" da governança de TI, mostrar como encaixar riscos, controles e responsabilidades de IA dentro da estrutura que você já usa para TI – EDM, APO, BAI, DSS e MEA – evitando criar um silo novo que depois ninguém consegue sustentar.
De "framework" para decisões de gente grande
COBIT 2019 é (ainda) o idioma padrão da governança de TI para boa parte da comunidade de auditoria, risco e controle interno. A ISACA vem reforçando isso ao mostrar como o modelo é reaproveitável para IA, em especial no white paper "Leveraging COBIT for Effective AI System Governance".
O ponto-chave do white paper é simples: se a organização já tem uma estrutura minimamente madura de EGIT (Enterprise Governance of IT - Governança Corporativa de TI), faz mais sentido "encaixar" IA nesse sistema do que inventar um novo regramento paralelo.
Em termos práticos:
- O domínio EDM (Evaluate, Direct and Monitor) passa a incluir decisões explícitas sobre uso de IA, apetite de risco, critérios de aceitabilidade e supervisão de modelos.
- Os domínios APO, BAI, DSS e MEA expandem seu escopo para incluir planejamento, construção, operação e monitoramento de soluções de IA com mesmo rigor que sistemas tradicionais.
Pesquisas recentes sobre IA e COBIT 2019 em contextos de projetos de software, smart cities e transformação digital reforçam que essa integração é mais eficaz do que tentar gerir IA numa bolha. Em outras palavras: IA é mais um tipo de ativo e sistema dentro do guarda-chuva EGIT, não um "universo paralelo".
Ambidestria: controlar e inovar ao mesmo tempo
Um tema recorrente na literatura acadêmica mais recente é a ideia de governança ambidestra de IA: combinar disciplina e inovação, sem matar um em nome do outro.
Pesquisas como "Ambidextrous AI Governance Design Based on COBIT 2019 – Traditional and DevOps" mostram que o framework pode ser arranjado de forma a suportar tanto abordagens tradicionais quanto modelos contínuos e DevOps. Em termos de prática:
- A parte "tradicional" de COBIT sustenta desenho de política, comitês, papéis, trilhas de auditoria e controles formais.
- A parte "adaptativa" entra na forma como objetivos de gestão e práticas são usados em ambientes ágeis, pipelines de CI/CD e ciclos rápidos de experimentação.
Um estudo sobre integração de IA e COBIT em projetos de desenvolvimento de software mostra ganhos reais em eficiência, melhor previsão de prazos e alinhamento com objetivos de negócio quando se usa IA apoiada em governança estruturada. Não é só teoria: modelos como CatBoost aplicados a dados de projeto, dentro de um contexto de COBIT 2019, entregaram estimativas de duração mais precisas e controle mais forte sobre riscos de atraso.
Isso se traduz em perguntas concretas: o time está usando IA para melhorar previsibilidade, produtividade e controle, ou só para "fazer bonito"?; e o uso da IA está encaixado em objetivos de gestão (BAI, APO) com métricas claras, ou é só um experimento solto?
EDM na prática: como tratar decisões de IA
Na prática de comitês de TI e de auditoria, o domínio EDM é onde a conversa fica séria: é ali que se decide se determinado uso de IA faz sentido ou não, e em que condições.
Aplicando EDM à IA, alguns movimentos concretos aparecem:
- EDM01 – Ensure Governance Framework Setting and Maintenance: aqui entram princípios específicos de IA, como transparência, explicabilidade, ética e conformidade com regulatórios (por exemplo, EU AI Act), integrados à política geral de TI.
- EDM02 – Ensure Benefits Delivery: IA não deve ser adotada "porque está na moda", mas sim com casos de uso claros, métricas de benefício e mecanismos de validação de resultado.
- EDM03 – Ensure Risk Optimization: riscos de IA (viés, erro de modelo, segurança, privacidade, dependência de fornecedor) são mapeados e referenciados nas matrizes de risco corporativo.
- EDM05 – Ensure Stakeholder Transparency: supervisão e prestação de contas sobre projetos de IA (quem aprovou, com base em quê, quais salvaguardas) entram na pauta consolidada.
- EDM02 – Ensure Benefits Delivery: IA não deve ser adotada "porque está na moda", mas sim com casos de uso claros, métricas de benefício e mecanismos de validação de resultado.
- EDM03 – Ensure Risk Optimization: riscos de IA (viés, erro de modelo, segurança, privacidade, dependência de fornecedor) são mapeados e referenciados nas matrizes de risco corporativo.
- EDM05 – Ensure Stakeholder Transparency: supervisão e prestação de contas sobre projetos de IA (quem aprovou, com base em quê, quais salvaguardas) entram na pauta consolidada.
A literatura sobre governança de IA em setores como ensino superior e smart cities reforça a importância de clareza de papéis, stakeholders e componentes da governança para evitar o "buraco" entre quem decide e quem executa. COBIT ajuda a colocar isso em uma estrutura que o board já conhece, reduzindo fricção na hora de discutir IA.
APO, BAI, DSS e MEA: onde o trabalho acontece
Saindo do nível de conselho para o nível de gestão, os domínios APO, BAI, DSS e MEA são onde IA vira trabalho concreto – e onde auditoria de TI costuma encontrar material para testes e avaliações.
Alguns exemplos:
- APO12 – Managed Risk: riscos específicos de IA são incorporados ao processo corporativo de gestão de riscos, com taxonomias, critérios de impacto/probabilidade e planos de tratamento.
- APO14 – Managed Data: governança de dados passa a incluir elementos críticos para IA, como qualidade, representatividade, tratamento de dados pessoais e mecanismos para evitar vazamento de informação sensível em treinamento de modelos.
- BAI03 – Managed Solutions Identification and Build: desenvolvimento de soluções de IA precisa seguir diretrizes claras de arquitetura, segurança, qualidade e alinhamento com requisitos de negócio.
- DSS06 – Managed Business Process Controls: controles embutidos em processos apoiados por IA são desenhados e testados com a mesma disciplina que controles tradicionais.
- MEA01 – Managed Performance and Conformance Monitoring: desempenho e conformidade de sistemas de IA são monitorados ao longo do ciclo de vida, com indicadores específicos.
Estudos referenciados acima sobre uso de COBIT 2019 em ambientes de IA mostram que, quando esses objetivos são tratados de forma consistente, a chance de "projetos órfãos" de IA (sem dono, sem métrica, sem controle) cai significativamente.
Para o auditor, isso significa que a trilha de trabalho está documentada, ou seja, é possível seguir o rastro desde a decisão estratégica (EDM) até o pipeline de desenvolvimento (BAI) e o monitoramento em produção (MEA), e verificar se cada etapa tem controles à altura do risco.
Ponto de vista de auditoria de TI
O que tudo isso muda para quem planeja e executa auditorias de TI e GRC?
Primeiro, muda a ótica: IA deixa de ser vista como "novidade tecnológica" e passa a ser tratada como um conjunto de processos e ativos que precisam de governança, risco e compliance como qualquer outro – com algumas peculiaridades.
Alguns elementos concretos que aparecem em planos de auditoria:
- Verificar se existe política clara de uso de IA, integrada à política de TI e de dados.
- Checar se projetos de IA foram aprovados por uma instância adequada (comitê de TI, comitê de risco, comitê de inovação) com critérios explícitos.
- Avaliar se riscos de IA estão mapeados e conectados às matrizes corporativas – e se estão recebendo tratamento proporcional.
- Analisar se dados usados em IA têm trilha: origem, qualidade, anonimização quando necessário, proteção contra vazamento.
- Revisar se há mecanismos de monitoramento contínuo de performance e comportamento do modelo (drift, anomalias, impactos imprevistos).
Referências acadêmicas sobre governança de IA mencionadas aqui reforçam a necessidade de incluir componentes como accountability, fairness e explicabilidade como critérios mínimos de avaliação – algo que cabe bem dentro da lógica de COBIT ao tratar de qualidade de informação e alinhamento com objetivos de negócio.
Conexões com regulatórios de IA (ex.: EU AI Act)
Outro ponto interessante é a conversa entre COBIT e regulatórios de IA, como o EU AI Act. Artigos e white papers recentes mostram como requisitos de qualidade, gestão de risco e documentação previstos na legislação europeia podem ser operacionalizados por meio da estrutura de governança e gestão de COBIT.
O raciocínio é direto:
- O EU AI Act exige que sistemas de IA de alto risco tenham quality management systems, processos de governança e gestão de risco sistemáticos.
- COBIT 2019 já oferece um conjunto de objetivos e práticas de governança e gestão que podem ser "mapeados" para esses requisitos.
Com isso, organizações que já usam COBIT para TI se veem com uma vantagem: é mais fácil fazer o "translation layer" entre requisitos regulatórios e práticas existentes, em vez de reinventar tudo do zero. Para quem atua em auditoria e compliance, esse mapa é praticamente um roteiro de trabalho.
Evitando o "checklistismo" no uso de COBIT + IA
Um risco óbvio nesse cenário é cair no "checklistismo": usar COBIT apenas como lista de verificação, sem entender o contexto de risco e de negócio.
Autores que tratam da aplicação prática do framework em diferentes contextos reforçam que o valor está menos em "cumprir todos os objetivos", e mais em desenhar um sistema de governança que faça sentido para aquela organização**, aquele apetite de risco, aquele estágio de maturidade.
Na prática, isso significa:
- Priorizar objetivos de gestão e governança que falam diretamente com os principais riscos de IA para aquele contexto.
- Usar COBIT como guia de desenho de processo, não como carimbo obrigatório em cada atividade.
- Trazer a visão de negócio para a conversa: IA existe para apoiar objetivos de negócio, não como fim em si.
Essa leitura mais madura conversa melhor com quem está em campo: auditores, gestores de TI, analistas de governança de TI, profissionais de dados, líderes de risco. O framework vira linguagem comum para discutir problemas reais, não só "documento de referência".
Fechando a Parte 2: o que fica na prática
Como continuação da Parte 1, o objetivo aqui foi sair da camada de conceito e mostrar como COBIT 2019 pode sustentar uma governança de IA que funcione na vida real: ligada a decisões de conselho, a gestão de risco, a projetos e a operação.
Referências da ISACA, literatura acadêmica recente e casos práticos em setores como desenvolvimento de software, smart cities e ensino superior sugerem que essa integração (IA dentro de EGIT) é mais robusta do que tentar criar estruturas isoladas, desconectadas do restante da governança de TI.
Para quem vive GRC e auditoria de TI, isso abre um campo rico: usar um framework conhecido (COBIT 2019) como base para perguntar coisas novas sobre IA – quem decide, quem monitora, quem controla, com base em quê – sem perder o fio da governança integrada.
Referências
COBIT®| Control Objectives for Information Technologies® - ISACA
ISACA COBIT 2019 (AI & Enterprise Governance) — Resource | NETEVO
New ISACA White Paper Highlights COBIT's Role in AI Governance - Organizations face mounting pressure to govern artificial intelligence (AI) systems responsibly.
COBIT Framework for AI Governance | PDF - Scribd - The paper emphasizes the need for organizations to adopt structured governance practices to align AI...
An Ambidextrous AI Governance Framework for Smart Cities to ... - Article on An Ambidextrous AI Governance Framework for Smart Cities to Enhance IT Governance and Data Security
How to Execute EU AI Act Article 16 Quality Management System ... - High-risk AI systems under the EU AI Act require comprehensive quality management systems that can b...
Identifying key components and stakeholders for generative AI ... - Article on Identifying key components and stakeholders for generative AI governance in higher educat...
