Modelo de maturidade da governança de IA: onde estão as organizações

A adoção de IA frequentemente avança mais rápido que a governança. Pilotos do Copilot entram em operação antes que alguém revise as permissões, e recursos de IA em SaaS aparecem antes da aprovação de segurança. O WEF and Accenture 2025 Playbook constatou que 81% das 1.500 empresas ainda estão nos estágios iniciais de maturidade em IA responsável.

Quando a liderança pergunta quão madura é a governança de IA da organização, eles esperam um número que possam acompanhar ano após ano, respaldado por uma trilha clara de evidências. A maioria das alegações de maturidade não pode fornecer essa evidência, e uma defensável deve se basear no que os controles podem provar, não no que a política diz. Poucas organizações podem apoiar a alegação; de acordo com The Netwrix 2026 Data and Identity Security Report, apenas 11% relatam prontidão total para segurança de IA.

O custo dessa lacuna já aparece nos dados de violação: organizações onde a IA expandiu materialmente o acesso à identidade relatam uma taxa de violação de 43%, em comparação com 11% onde os padrões de acesso não mudaram. É isso que acontece quando a governança não acompanha a adoção da IA.

É aqui que entra o modelo de maturidade da governança de IA: transforma "quão maduros somos" de uma afirmação política em um número respaldado por evidências.

O que é um modelo de maturidade de governança de IA?

Um modelo de maturidade de governança de IA é uma estrutura estruturada que descreve níveis de capacidade de governança de IA, desde supervisão ad hoc até controle adaptativo e em melhoria contínua. Para um líder de segurança ou diretor de TI, funciona como um parâmetro, uma forma de comunicar a postura ao Chief Information Security Officer (CISO) ou conselho, justificar a próxima solicitação de orçamento e acompanhar o progresso ano após ano com uma medida consistente.

O modelo de maturidade é distinto de uma estrutura de governança de IA. A estrutura é o que a organização constrói: as políticas, papéis, ciclos de revisão e controles que regem o uso da IA. O modelo de maturidade mostra se essa estrutura funciona e onde ela falha.

Como isso se relaciona com NIST AI RMF, EU AI Act e ISO/IEC 42001

Os seguintes frameworks definem obrigações e expectativas de controle em vez de pontuações de maturidade:

• NIST AI RMF 1.0 define quatro funções: GOVERN, MAP, MEASURE e MANAGE, sem estágios de maturidade em níveis.
• ISO/IEC 42001 certifica a conformidade com os requisitos do sistema de gestão numa base de aprovado ou reprovado.
• A Lei de IA da UE classifica os sistemas por nível de risco e impõe deveres concretos. Artigo 26(6) exige que os implementadores de sistemas de alto risco mantenham logs gerados automaticamente sob seu controle por pelo menos seis meses, e o comunicado de imprensa do Conselho da União Europeia de junho de 2026 confirmou a adoção do Digital Omnibus, que adiou as obrigações de alto risco do Anexo III para 2 de dezembro de 2027.

Juntos, esses frameworks definem os requisitos de governança, enquanto o modelo de maturidade abaixo traduz essas expectativas em uma pontuação operacional, com GOVERN e MAP mapeando para os níveis iniciais e MEASURE e MANAGE para os níveis posteriores.

Considere-o como um modelo pragmático, amigável ao mercado médio, defensável contra esses frameworks, e use-o juntamente com o mapeamento de conformidade.

Os 5 níveis de maturidade da governança de IA

Toda organização está em algum lugar desta escala, mesmo quando o nível não tem nome. Use esses níveis para reconhecer como é cada etapa, tanto no dia a dia quanto em um documento de política.

Nível 1: Ad Hoc (shadow AI em toda parte)

O Nível 1 se parece com a adoção da nuvem há uma década: sem governança, invisível para a segurança e percebido apenas após uma falha. Não existe governança formal de IA. A Shadow AI se prolifera porque os funcionários adotam ferramentas mais rápido do que o TI pode avaliá-las, e os problemas só surgem por meio de incidentes ou achados de auditoria. Os sinais são consistentes: sem inventário de IA, políticas que nunca mencionam IA, nenhum responsável nomeado, sem registro específico de IA.

Organizações neste nível têm exposições de dados e pontos cegos regulatórios que nem conseguem enumerar, e os números comprovam isso. O Netwrix 2026 Data and Identity Security Report constatou que apenas 20% das organizações monitoram totalmente o uso de shadow AI pelos funcionários, o que deixa a maioria trabalhando exatamente a partir desse tipo de ponto cego.

Nível 2: Definido (políticas existem, prática fica atrás)

No Nível 2, alguém escreveu a política, mas se alguém a segue é outra questão. A organização documentou políticas e responsabilidades de IA e iniciou um inventário básico, mas as equipes aplicam ambos de forma desigual. A aplicação da política de uso aceitável depende de verificações manuais, os inventários permanecem incompletos e as equipes contornam processos de aprovação lentos.

Essa lacuna entre o papel e a prática define este nível; a organização não possui provas de controle para auditores ou conselho porque as evidências de suporte estão ausentes. O estudo Responsible AI Global Executive 2022 do MIT Sloan Management Review e Boston Consulting Group encontrou a mesma divisão: 84% dos líderes dizem que responsible AI deve ser uma prioridade da alta administração, mas apenas 25% relatam um programa totalmente maduro, que é o Nível 2 em uma única estatística.

Nível 3: Operacionalizado (controles incorporados no processo)

No Nível 3, a governança torna-se uma etapa obrigatória de implantação, e não um documento que as equipes contornam. A governança está presente nos fluxos de trabalho de dados, identidade e gerenciamento de mudanças, e a organização aplica classificação de risco a cada caso de uso de IA. A revisão da IA faz parte da entrada do projeto; controles de acesso e Data Loss Prevention (DLP) cobrem dados acessíveis pela IA; e toda implantação passa por um ponto de controle de governança.

Isso aparece durante incidentes, quando a equipe de segurança pode demonstrar quais controles estavam em vigor, quem aprovou o sistema e a quais dados ele podia acessar.

Nível 4: Medido (a governança pode comprovar o controle)

Neste nível, a resposta para "quão maduros somos?" tem um número associado. A organização acompanha o desempenho da governança com métricas e painéis, incluindo a completude do inventário, a porcentagem de casos de uso com avaliação de risco concluída antes do lançamento, violações de políticas e tempos de detecção e resposta a incidentes. O SANS AI Self-Assessment Maturity Model lista o acompanhamento do tempo médio para detectar (MTTD) e do tempo médio para responder (MTTR) a incidentes de IA como requisito do Estágio 4.

Evidências de auditoria e do conselho estão disponíveis sob demanda, com relatórios preparados antes de cada revisão, tornando a governança mensurável para executivos em vez de anedótica. A parte difícil é chegar aqui, e a pesquisa PwC's 2025 Responsible AI survey constatou que operacionalizar a IA responsável, transformando princípios em processos repetíveis e medidos, é o maior obstáculo citado por metade dos entrevistados.

Nível 5: Adaptativo (a governança evolui com o uso de IA)

Nos dados do WEF e Accenture, menos de 1% das empresas pesquisadas haviam operacionalizado totalmente a IA responsável com uma abordagem sistêmica e antecipatória, por isso poucas organizações atingem esse nível. No Nível 5, os ciclos de feedback impulsionam a adaptação contínua, e políticas e controles respondem a novas capacidades de IA ou novos incidentes em dias, e não em trimestres.

Os sinais incluem aplicação automatizada em pipelines de IA, pontuação dinâmica de risco e testes proativos de cenários, com equipes de governança e engenharia trabalhando em conjunto. A governança nesse nível permite a adoção segura da IA, em vez de segui-la como uma barreira atrasada.

O que as cinco dimensões medem

Uma única afirmação de "somos Nível 3" geralmente esconde um elo fraco. Muitas organizações são fortes em políticas e fracas nos controles de dados e identity, ou vice-versa, então avalie essas cinco dimensões independentemente antes de confiar no número geral.

1. Inventário e escopo: O nível 1 não possui lista dos sistemas de IA em uso. O nível 5 tem um catálogo dinâmico e abrangente que cobre ferramentas autorizadas, recursos de IA incorporados em SaaS e uso não aprovado, cada um vinculado a uma classificação de risco. NIST AI RMF nomeia esse requisito explicitamente em GOVERN 1.6.
2. Política e propriedade: O nível 1 não tem política específica para IA. O nível 5 tem uma política aplicada com um proprietário nomeado e responsável, uma pessoa em vez de um comitê. Esta dimensão é onde a maioria dos programas trava: A pesquisa de governança de IA 2025 da EY descobriu que apenas 18% das organizações têm responsabilidades claramente definidas de governança de dados para IA.
3. Controles de dados e identidade: O nível 1 não tem visibilidade sobre quais dados as ferramentas de IA podem acessar. O nível 5 tem documentado, least-privilege access mapeado por sistema de IA e por identidade. Esta dimensão tem mais peso do que a maioria das equipes espera porque ferramentas como Microsoft 365 Copilot herdam permissões existentes em vez de criar novos caminhos de acesso, o que torna o compartilhamento excessivo anterior a superfície de exposição da IA.
4. Monitoramento, registro e evidências: O Nível 1 não possui logs específicos de IA. O Nível 5 possui logs, aprovações e registros de incidentes recuperáveis sob demanda, conforme as logging obligations do EU AI Act logging obligations.
5. Resposta e melhoria: O Nível 1 não tem como revogar rapidamente o acesso de um sistema de IA. O Nível 5 pode isolar ou revogar o acesso e atualizar os controles quase em tempo real.

Por que os agentes de IA tornam cada dimensão mais difícil de manter

A IA agentiva eleva o padrão em todas as cinco dimensões ao mesmo tempo, e a maioria dos programas ainda não acompanhou. Uma pesquisa de janeiro de 2026 Cloud Security Alliance e Aembit com 228 profissionais de TI e segurança descobriu que 68% das organizações não conseguem distinguir claramente as ações dos agentes de IA da atividade humana, mesmo com 85% já executando agentes em produção. Essa é a armadilha: uma equipe que alcança o Nível 3 ou 4 para o uso padrão de IA pode se ver de volta ao Nível 1 quando agentes, não apenas interfaces de chat, começam a agir sobre os mesmos dados.

Como avaliar o nível de maturidade da governança de IA na sua organização

Uma avaliação útil traduz as dimensões acima em uma pontuação defensável para a organização. As equipes podem fazer o trabalho sem um consultor.

1. Catalogar todos os sistemas de IA que tocam seus dados

Liste todas as ferramentas de IA autorizadas, todos os recursos de IA incorporados nas plataformas SaaS existentes (Copilot, complementos de customer relationship management (CRM) e similares) e qualquer uso não aprovado de IA. Registre a que cada uma se conecta, incluindo compartilhamentos de arquivos, e-mail, registros de CRM e repositórios de código.

O alcance importa mais que a existência, e a diferença entre o que a segurança supõe estar em uso e o que o catálogo encontra é frequentemente a primeira surpresa. Apenas os registros de aquisição não detectarão os recursos de IA que os fornecedores adicionaram após a compra.

2. Responda a cinco perguntas de diagnóstico

Responda honestamente, pois a diferença entre respostas honestas e aspiracionais é o objetivo deste exercício.

• A organização pode listar todos os sistemas de IA em uso, incluindo os recursos de IA SaaS?
• Sabe exatamente a quais dados sensíveis o Copilot ou qualquer assistente de IA implantado pode acessar?
• Existe um proprietário nomeado e accountable para a governança de IA?
• Pode gerar um registro de acesso ou incidente de IA em 24 horas se um regulador ou o conselho solicitar?
• Pode revogar o acesso a dados de um sistema de IA sem um ciclo de gestão de mudanças de várias semanas?

Um único "não" identifica a dimensão fraca. Três ou mais respostas "não" colocam a organização no Nível 1 ou 2, independentemente do que o documento de política afirme.

3. Avalie cada uma das cinco dimensões de 1 a 5

Avalie cada dimensão na sua própria escala de 1 a 5, em vez de usar um único número para todo o programa. Um 1 significa que a pergunta diagnóstica acima recebeu um não categórico. Um 3 significa que a capacidade existe, mas funciona com uma verificação manual ou na memória de uma pessoa, em vez de um sistema de registro. Um 5 significa que a evidência é automática, atual e recuperável sem que ninguém precise criar um relatório para prová-la. Avalie com base no que a evidência suporta, não no que a linguagem da política promete.

4. Mapeie as pontuações em um mapa de calor, não uma média

Construa o resultado como uma grade simples: cinco linhas para as dimensões, uma coluna para a pontuação atual e uma para a meta de 12 meses, com as duas pontuações mais baixas sinalizadas independentemente das outras três. Essa grade, e não um parágrafo de ressalvas, é o que deve ser apresentado ao conselho. A média dos cinco números em uma única pontuação oculta exatamente o problema que este exercício pretende revelar, pois um programa de políticas de Nível 4 com visibilidade de dados de Nível 1 é, na verdade, um programa de Nível 1.

5. Defina um nível alvo e um prazo

Escolha um nível-alvo realista para os próximos 12 a 24 meses, pois uma pontuação sem um objetivo torna-se um slide que ninguém revisita. Para a maioria das organizações nos estágios iniciais, isso significa alcançar Defined ou Operationalized em vez de declarar Adaptive por padrão. Pese a exposição regulatória e incidentes recentes mais do que a conveniência ao escolher qual dimensão corrigir primeiro. Uma equipe com visibilidade de dados no Nível 1 antes de uma auditoria pendente não deve passar o primeiro trimestre aprimorando o documento de política.

Como fechar a lacuna para o próximo nível de maturidade

O próximo passo depende da pontuação da organização. Cada transição assume que a avaliação acima identificou o nível atual e a dimensão mais fraca.

Passando do Nível 1 (Ad Hoc) para o Nível 2 (Definido)

No Nível 1, torne a IA visível antes de tentar controlá-la. Trate isso como uma sprint de 30 dias com uma entrega: um registro preliminar do sistema de IA que a organização pode defender em uma reunião.

Comece realizando um inventário de IA nos registros de compras, consoles administrativas OAuth e SaaS, e uma pesquisa direta às unidades de negócios, nomeando um responsável, uma pessoa, não um comitê. Uma vez estabelecida essa base, publique uma política curta de uso de IA que proíba o uso de shadow AI de alto risco contra dados regulados e exija aprovação para novas ferramentas, e use as capacidades existentes de descoberta de dados para começar a mapear onde a IA pode tocar dados sensíveis.

Passando do Nível 2 (Definido) para o Nível 3 (Operacionalizado)

No Nível 2, mova a governança para fora do documento de política e para os fluxos de trabalho que as pessoas já usam. Execute isso como um piloto de 90 dias em dois ou três sistemas de IA antes de expandir.

• Incorpore a revisão de IA na entrada de projetos e na gestão de mudanças para que uma implantação não possa entrar em produção sem passar por ela.
• Estenda os controles de privilégio mínimo e DLP para sistemas acessíveis por IA e inicie a certificação de acesso para esses sistemas especificamente.
• Trate incidentes de IA como qualquer outro evento de segurança, com a mesma cadência de simulações e caminho de escalonamento.

O piloto tem sucesso quando seus fluxos de trabalho de aprovação, acesso e incidentes geram evidências sem que ninguém precise solicitá-las; esse padrão então se estende ao restante do registro.

Passando do Nível 3 (Operacionalizado) para o Nível 4 (Medido)

No Nível 3, substitua "a organização acredita que está no controle" por números que comprovem isso, durante um trimestre completo de relatório.

• Defina as métricas antes do início do trimestre, abrangendo a completude do inventário, a conformidade com as políticas e os tempos de detecção e resposta a incidentes, para ter uma linha de base para comparação.
• Corrija os fluxos de trabalho de registro e evidência para que uma auditoria seja respondida com uma consulta, não com uma confusão de planilhas.
• Produza o primeiro relatório trimestral de governança antes que alguém peça, cobrindo todas as métricas acima.

Entregar o primeiro relatório trimestral é o que separa um programa que está Medido de um que apenas parece medido.

Passando do Nível 4 (Medido) para o Nível 5 (Adaptativo)

No Nível 4, automatize as partes da governança que permanecem manuais e reativas de forma contínua, pois o Nível 5 é uma capacidade permanente e não um projeto com data de término.

• Automatize a aplicação sempre que possível, incluindo controles baseados em políticas em pipelines de IA e decisões dinâmicas de acesso.
• Revise os dados de incidentes e tendências pelo menos trimestralmente e use-os para atualizar a governança de forma proativa, e não depois.
• Inclua as unidades de negócios em uma cadência regular de revisão de governança e gerencie a IA como um ativo estratégico com seu próprio responsável, orçamento e métricas.

A maturidade adaptativa depende de sinais de governança que alteram decisões operacionais em tempo real, não de painéis que apenas documentam o histórico após os fatos.

Como a Netwrix apoia a maturidade da governança de IA

A maioria das avaliações de maturidade falha nos controles de dados e identidade, bem como no monitoramento, registro e evidências. Netwrix fornece a postura de segurança de dados e o contexto de identidade que tornam as reivindicações de maturidade comprováveis acima do Nível 2, a expressão prática de "Data Security That Starts With Identity™." Plataformas especializadas de AI governance cobrem a governança do ciclo de vida do modelo; Netwrix cobre as evidências subjacentes.

Fechando a lacuna de visibilidade de dados e identidade

A Netwrix 1Secure™ Platform usa Data Security Posture Management (DSPM) para descobrir e classificar dados sensíveis no SharePoint Online e servidores de arquivos Windows, mapeando o que o Copilot ou qualquer ferramenta de IA pode alcançar antes de ser lançado. Isso fecha uma lacuna específica identificada pelo Netwrix 2026 Data and Identity Security Report: 79% das organizações não têm visibilidade completa dos dados sensíveis usados em ferramentas de IA, modelos ou copilotos. Netwrix Access Analyzer estende essa mesma visibilidade para servidores de arquivos locais, e seu Effective Access Report mostra o acesso que um usuário tem em vez de entradas brutas de permissão.

Transformar a deriva de permissões em um registro comprovável

Cada ferramenta de IA opera sob uma identidade, e Netwrix Auditor rastreia como as permissões dessas identidades mudam ao longo do tempo no Active Directory e Microsoft Entra ID, incluindo mudanças de função, atividade de login e escalonamentos de privilégios. Flagler Bank alcançou essa visibilidade em 30 minutos e reduziu o tempo de investigação de horas para 10 minutos, o tipo de prova operacional que transforma essa dimensão de avaliada para comprovada.

Produzir evidências sob demanda em vez de reconstruí-las

Um programa medido responde às perguntas do conselho e dos reguladores com logs, não com memória. O histórico de alterações do Netwrix Auditor e os relatórios predefinidos de atividade, conformidade e risco do 1Secure fornecem à equipe de segurança registros sob demanda. O Atualização 1Secure de março de 2026 adicionou avaliações de prontidão Copilot e trilhas de auditoria de interação de IA sobre essa base.

A conclusão sobre a maturidade da governança de IA

A lacuna entre o nível que uma organização acredita ter e o nível que pode comprovar é, na maioria dos casos, primeiro uma lacuna de visibilidade de dados. Avalie honestamente as cinco dimensões, corrija a mais fraca antes de buscar o próximo rótulo e revise a avaliação pelo menos uma vez por ano, ou antes após um grande lançamento de IA ou um incidente. Um modelo de maturidade que só aparece durante uma auditoria é um artefato de conformidade. Um que define as prioridades do próximo trimestre é uma ferramenta de governança e um auxílio para o planejamento da resiliência cibernética.

Solicite uma demonstração para ver como Netwrix pode ajudar você a transformar as dimensões de dados e identidade deste modelo de uma pontuação auto-relatada para um número respaldado por evidências.