Análise da pesquisa da EY: 98% têm políticas, 47% ignoram, 26% não incluem agentes

Uma política de governança de IA é muito boa em ficar dentro de uma pasta. Ela é menos útil quando uma implantação urgente passa por cima dela, o que aparentemente não é um esporte raro. A Techstrong.ai informou que a pesquisa inaugural da EY sobre Risco e Governança de IA nos EUA constatou que 98% dos respondentes disseram que suas organizações têm políticas formais de governança de IA, enquanto 47% disseram que a governança foi ignorada durante implantações urgentes de IA. Entre as organizações que usam IA agêntica, a Techstrong.ai informou que 26% não conseguiam detectar agentes de IA não autorizados operando internamente, que é a parte em que a pasta começa a parecer decorativa.

A política existe. O portão, não

A Techstrong.ai informou que a EY entrevistou 202 tomadores de decisão sêniores de IA em empresas de capital aberto dos EUA com pelo menos US$ 1 bilhão em receita anual. Essa amostra importa porque esses não são projetos amadores rodando em um laptop sobrando debaixo de uma mesa, por mais encantadora que essa defesa de conformidade fosse. A BigDATAwire, ao publicar o anúncio da EY, disse que a pesquisa examinou como líderes governam a IA, incluindo a rapidez com que estruturas de governança estão se adaptando à IA agêntica e a extensão e o impacto dos riscos relacionados à IA. O comunicado da própria EY enquadrou o problema de forma direta: a implementação de IA autônoma está avançando mais rápido que a supervisão.

A leitura prática é simples. Uma política que pode ser ignorada em momentos de urgência não é um controle; é uma sugestão com papel timbrado. Para quem constrói, a pergunta útil não é se a organização tem um documento de governança de IA, mas se os fluxos de lançamento dificultam colocar algo no ar sem um responsável, um caso de uso aprovado, uma revisão de riscos e um plano de registros. Se a resposta depende de alguém lembrar de mandar um e-mail para o jurídico, a resposta é não.

A IA agêntica transforma o uso invisível em um problema operacional

A Techstrong.ai informou que, entre as organizações que usam IA agêntica, 49% não haviam atualizado suas estruturas de governança para sistemas agênticos e 26% não conseguiam detectar agentes de IA não autorizados operando internamente. Essa combinação é a verdadeira dor de cabeça de conformidade. Sistemas agênticos não são apenas janelas de chat com uma marca melhor; eles podem ser conectados a ferramentas, fluxos de trabalho, repositórios de dados e permissões internas. Se o inventário está incompleto, a organização não consegue dizer com segurança o que está agindo, sob a autoridade de quem ou sobre quais dados.

A obrigação direta, mesmo antes de um regulador fazer perguntas desconfortáveis, é visibilidade. As equipes precisam de um registro de agentes que capture responsável, finalidade, ferramentas conectadas, categorias de dados, escopo de permissões, modelo ou provedor e status de produção. Elas também precisam de logs que mostrem ações realizadas pelo agente, não apenas prompts digitados pelo usuário. Agentes internos não autorizados são difíceis de governar pelo mesmo motivo que fornecedores não rastreados são difíceis de auditar: ninguém consegue revisar um sistema que não consegue encontrar.

A governança precisa entrar no caminho da implantação

A Techstrong.ai informou que a EY recomenda uma responsabilização mais clara, controles incorporados aos fluxos de implantação, maior visibilidade sobre os sistemas de IA e verificação recorrente de que os agentes se comportam como esperado. Traduzindo do dialeto de consultoria, isso significa que a governança precisa se tornar parte do processo de entrega. O registro de aprovação deve ficar onde as decisões de implantação acontecem, não em um conjunto de slides apresentado depois do lançamento.

Um agente em produção não deve avançar a menos que um responsável nomeado, um uso permitido, uma rota de escalonamento e um requisito de monitoramento já estejam vinculados. É aqui que a política vira trabalho de engenharia. Compras deve bloquear serviços de IA não aprovados, plataformas internas devem exigir registro antes do acesso a sistemas sensíveis, e pipelines de implantação devem preservar evidências de que as revisões realmente aconteceram. Verificação recorrente não é uma reunião trimestral cerimonial. Significa testar se os agentes ainda permanecem dentro da tarefa atribuída, se as permissões mudaram com o tempo e se os logs continuam úteis quando algo dá errado.

A próxima auditoria vai pedir evidências, não intenções

A BigDATAwire descreveu a pesquisa como mostrando que processos e controles não estão acompanhando o ritmo, apesar dos riscos reputacionais, de cibersegurança e de IA invisível. Essa é a parte que vale levar a sério sem transformar tudo em teatro. A governança escrita ainda é útil, mas apenas como o mapa para etapas aplicáveis: inventário, portões de aprovação, telemetria, escalonamento e verificações periódicas. A lei raramente recompensa uma empresa por ter tido boas intenções em um PDF.

Para leitores que estão construindo ou comprando IA autônoma, o próximo passo é modesto e concreto. Escolha um fluxo de trabalho agêntico e acompanhe-o desde a solicitação até a implantação e o monitoramento; depois, identifique todos os pontos em que a governança depende da memória em vez de um portão do sistema. Observe a seguir se os fornecedores começarão a oferecer inventários de agentes e trilhas de auditoria utilizáveis, porque isso será mais importante do que mais um modelo de política com uma capa de bom gosto.