Deixa eu adivinhar o que aconteceu na sua operação nos últimos doze meses. Alguém do marketing começou a usar um assistente de IA para escrever e-mails. O SDR passou a resumir ligações com uma ferramenta de transcrição. O time de CS ligou um bot de IA no WhatsApp. Um analista conectou o CRM a um modelo de linguagem via automação. E o time de dados treinou algo em cima da base de contatos. Cada iniciativa, isoladamente, fazia sentido. Ninguém pediu autorização. Ninguém documentou. E de repente, sua operação de receita tem sete pontos de contato com IA que ninguém consegue mapear, auditar ou desligar.
Essa é a realidade de 2026: a IA entrou na sua máquina de receita por baixo, sem passar pela porta da frente. E agora chegou a pergunta que ninguém quer fazer no board: quem é responsável quando o modelo alucina no forecast, vaza um dado de cliente ou toma uma decisão de precificação que ninguém consegue explicar? A resposta honesta, na maioria das empresas, é: ninguém. E é exatamente por isso que sua operação vai ser obrigada a criar um comitê de governança de IA — não por moda, mas por necessidade operacional e, cada vez mais, legal.
O problema: IA sombra na operação de receita
Existe um termo que a área de segurança da informação usa há anos: shadow IT. Software que os times adotam sem passar pelo TI. Agora temos uma versão mais perigosa dele: a IA sombra — modelos, agentes e automações de IA que operam dentro da sua máquina de receita sem nenhum tipo de governança.
O que torna a IA sombra mais grave que o shadow IT tradicional? Três coisas. Primeiro, ela toca dados de clientes diretamente — nomes, e-mails, histórico de compra, conversas. Segundo, ela toma ou influencia decisões: qual lead priorizar, que preço oferecer, qual resposta enviar. Terceiro, ela é praticamente invisível nos relatórios. Uma automação com IA embutida aparece como "workflow" no seu CRM. Um copiloto que escreve e-mails aparece como "produtividade". Você não vê IA. Você vê eficiência. Até o dia em que algo quebra.
E na operação de receita, os pontos de entrada da IA se multiplicaram absurdamente. Já falamos sobre como agentes de IA no WhatsApp podem escalar ou queimar receita, e sobre o que funciona e o que é hype em IA generativa dentro de RevOps. Mas há uma camada que quase ninguém discute: não é só onde usar IA, é quem responde quando ela é usada.
O que o mercado e a regulação já sinalizam
Vamos ao que é concreto. A União Europeia aprovou o AI Act, e ao longo de 2025 e 2026 as obrigações começaram a entrar em vigor de forma escalonada. Sistemas de IA classificados como de risco alto — o que inclui uso em avaliação de crédito, contratação e certos processos de decisão sobre pessoas — passaram a exigir documentação, supervisão humana e transparência. Se sua operação atende clientes na Europa, ou processa dados de cidadãos europeus, isso já te alcança independentemente de onde você está.
No Brasil, o debate sobre o marco regulatório de IA avançou no Congresso e a discussão sobre responsabilização por sistemas automatizados está longe de terminar. Já cobrimos como a South Summit Brazil 2026 escancarou o gap entre a velocidade da tecnologia e a lentidão da regulação. Enquanto a lei específica não fecha, a LGPD já é suficiente para te responsabilizar: se um modelo de IA processa dados pessoais dos seus contatos sem base legal clara, sem transparência sobre a lógica da decisão e sem possibilidade de revisão humana, você está exposto. E "não sabia que o time tinha ligado isso" não é defesa jurídica.
Analistas como Gartner e Forrester vêm apontando de forma consistente que a governança de IA deixou de ser um tema de compliance para virar um tema operacional. A lógica é direta:
- Adoção descontrolada precede o valor. Empresas ligam IA em todo lugar antes de saber medir se ela melhora ou piora a receita.
- O risco é assimétrico. O ganho de uma automação com IA é incremental; o custo de um vazamento ou de uma decisão discriminatória é catastrófico e público.
- A responsabilidade é difusa. Como ninguém "é dono" da IA, ninguém presta contas — até virar crise.
A pergunta que define maturidade em IA não é "quantos processos você automatizou". É "você consegue, em cinco minutos, listar todos os pontos onde a IA toca seus dados de receita e quem responde por cada um?"
Na esmagadora maioria das operações, a resposta a essa pergunta é um silêncio constrangedor.
Por que a resposta fácil ("deixa o TI cuidar") não funciona
Quando o assunto governança de IA aparece na reunião, a primeira reação de todo mundo é empurrar para o TI ou para o jurídico. É a saída mais confortável — e a mais errada. A verdade incômoda é que a IA que mais afeta sua receita não está no data center; está no fluxo de trabalho comercial. E TI e jurídico não têm nem o contexto nem a proximidade para governar isso sozinhos.
Pense na diferença. O TI sabe onde os modelos rodam, quais APIs estão conectadas, quais são os riscos de segurança. Ótimo — mas o TI não sabe que aquele agente de IA no WhatsApp está oferecendo desconto de 15% por conta própria porque o prompt foi mal escrito. O jurídico sabe o que a LGPD exige. Excelente — mas o jurídico não faz ideia de que o lead scoring por IA está sistematicamente rebaixando leads de um determinado segmento, o que pode configurar discriminação além de matar receita.
Quem enxerga o ponto de encontro entre risco, dado e receita? RevOps. É a única função da empresa que já opera na interseção de Marketing, Vendas e CS, que já é dona do CRM como fonte de verdade — ou pelo menos tenta ser, apesar do mito da single source of truth — e que já tem a métrica de receita como norte. Governança de IA em receita sem RevOps é como auditar um voo sem falar com o piloto.
Os modelos que costumam falhar:
- "Cada área se vira." Marketing governa a IA do marketing, vendas a de vendas. Resultado: seis políticas diferentes, zero visão de conjunto, dados vazando entre silos.
- "O TI é o dono." Foco em infraestrutura e segurança, cego para o impacto em decisão comercial e receita.
- "O jurídico aprova caso a caso." Vira gargalo, todo mundo contorna, IA sombra prolifera.
- "Temos uma política de IA no manual." Um PDF que ninguém lê e que não se conecta a nenhum processo operacional real.
A tese: governança de IA é função de RevOps
Aqui está a posição que eu defendo sem meio-termo: a governança de IA na máquina de receita é responsabilidade de RevOps, e ela precisa se materializar em um comitê multifuncional, não em um documento.
Isso não significa que RevOps decide tudo. Significa que RevOps orquestra. Do mesmo jeito que RevOps não é dono do pipeline, mas é dono do processo que garante que o pipeline seja confiável, RevOps não é dono da IA, mas é dono do processo que garante que a IA seja rastreável, auditável e conectada à receita. Essa lógica é a mesma que discutimos ao definir a quem RevOps deve reportar: a área ganha peso estratégico quando assume responsabilidades que atravessam silos.
Por que RevOps e não uma nova área de "AI Governance"? Porque criar um departamento novo para isso é exatamente o tipo de solução cara e desconectada que não sobrevive ao segundo ano. RevOps já tem o mandato transversal. Já tem acesso aos dados. Já fala a língua da receita e a língua da operação. Falta só assumir o chapéu.
Como montar o comitê sem burocratizar a receita
O medo legítimo de qualquer líder comercial é: "Ótimo, mais um comitê para atrasar tudo." Então vamos ser claros sobre o que este comitê não é. Ele não é uma instância de aprovação prévia para cada uso de IA. Ele não é uma reunião mensal de duas horas. Ele não é um PDF de política. É um mecanismo leve, com cadência definida, cujo trabalho é manter um inventário vivo e tomar decisões sobre casos que passam de um limiar de risco.
Quem senta na mesa
Cinco cadeiras, no máximo. Mais que isso vira teatro corporativo:
- RevOps (cadeira principal): convoca, mantém o inventário, conecta cada uso de IA a uma métrica de receita e a um responsável.
- Líder técnico / TI: avalia risco de infraestrutura, segurança e integração dos modelos.
- Jurídico ou DPO: avalia base legal, LGPD e exposição regulatória.
- Um líder de área rotativo: quem opera a IA em questão (marketing, vendas ou CS) entra na discussão do seu caso.
- Dados / desenvolvimento: quando há modelo customizado, código próprio ou integração via API envolvida.
O inventário vivo: a espinha dorsal
Antes de qualquer política, o comitê precisa de uma coisa que quase ninguém tem: um inventário de todos os usos de IA na operação de receita. Uma tabela simples, mantida atualizada, que responde para cada uso: o que é, quem é dono, que dados toca, que decisão influencia, e qual o nível de risco. Sem esse inventário, você está governando no escuro.
| Uso de IA | Dono | Dados que toca | Decisão que influencia | Risco |
|---|---|---|---|---|
| Copiloto de e-mail | Marketing Ops | Nome, histórico | Conteúdo enviado | Baixo |
| Agente WhatsApp | CS Ops | Conversa, dados pessoais | Resposta e desconto | Alto |
| Lead scoring IA | RevOps | Perfil, comportamento | Priorização de lead | Médio |
| Forecast preditivo | Sales Ops | Pipeline, histórico | Previsão ao board | Médio |
| Custom code + LLM | Dev / Data | Base completa | Enriquecimento | Alto |
O limiar de risco: onde a burocracia é permitida
Aqui está o segredo para não emperrar a operação: governança proporcional ao risco. Nem todo uso de IA precisa passar pelo comitê. A maioria não precisa. O truque é classificar por risco e aplicar rigor só onde importa:
- Risco baixo (fluxo livre): IA que não toma decisão sobre pessoas nem expõe dado sensível — resumir uma reunião, sugerir um rascunho de e-mail que um humano revisa. Basta registrar no inventário. Sem aprovação.
- Risco médio (notificação e revisão periódica): IA que influencia priorização ou previsão, mas com humano na decisão final — lead scoring, forecast preditivo. Entra no inventário e é revisada trimestralmente.
- Risco alto (aprovação do comitê): IA que decide sobre pessoas sem revisão humana, que expõe dados sensíveis ou que toma ação autônoma com impacto financeiro — agente que oferece desconto sozinho, modelo que rejeita crédito, enriquecimento que copia a base inteira para fora. Só liga com aval do comitê.
Repare que esse fluxo é uma extensão natural da lógica que já defendemos no framework ROTA para decidir onde colocar IA no WhatsApp. Governança não é o oposto de velocidade — é o que permite escalar IA sem medo.
Case: a empresa de software que criou o comitê tarde demais
Imagine uma empresa brasileira de software B2B, modelo SaaS, faturando cerca de R$ 40 milhões por ano, com uns 180 funcionários e uma operação de receita razoavelmente madura — CRM implementado, RevOps com três pessoas, times de marketing, vendas e CS bem estruturados. Ao longo de 2025, no embalo do hype, a empresa adotou IA em várias frentes. Ninguém coordenou. Cada líder queria mostrar que estava "usando IA".
O marketing ligou um copiloto de conteúdo. Vendas adotou transcrição e sumarização de calls. CS colocou um agente de IA no WhatsApp para triagem e primeiro atendimento. E o time de dados, o mais ambicioso, construiu uma integração via código que puxava a base completa de contatos para um modelo de linguagem externo, com o objetivo de enriquecer perfis e sugerir upsell — aquilo que chamamos de customer expansion que o CRM não rastreia.
Por seis meses, tudo pareceu ótimo. Os relatórios mostravam ganho de produtividade. Aí veio a sequência de problemas:
- O agente do WhatsApp começou a oferecer condições comerciais que não deveria. Um cliente reclamou que "a IA prometeu 20% de desconto" e cobrou o cumprimento. Ninguém sabia que o prompt permitia isso. Prejuízo direto e desgaste com três contas grandes.
- A integração de enriquecimento estava enviando dados pessoais de milhares de contatos para um serviço externo sem base legal documentada. Quando um cliente exerceu direito de acesso via LGPD e perguntou como seus dados eram tratados, ninguém conseguiu explicar a lógica.
- O lead scoring por IA, treinado nos dados históricos, estava rebaixando sistematicamente leads de empresas menores — um viés que não só levantava questão de justiça como estava queimando um segmento inteiro de receita que convertia bem, mas ninguém prioritizava.
A empresa reagiu. Convocou um comitê de emergência liderado pelo head de RevOps. E o custo do improviso ficou nítido:
| Item | Custo estimado |
|---|---|
| Descontos indevidos honrados (agente WhatsApp) | R$ 84.000 |
| Consultoria jurídica emergencial (LGPD) | R$ 55.000 |
| Retrabalho de RevOps + Dados (3 meses) | R$ 120.000 |
| Receita perdida no segmento rebaixado (estimada) | R$ 210.000 |
| Total do improviso | ~R$ 469.000 |
Quase meio milhão de reais — para uma empresa de R$ 40 milhões, mais de 1% do faturamento anual queimado por falta de um comitê que custaria algumas horas de reunião por trimestre. Depois da crise, a empresa montou o comitê de verdade: inventário vivo, classificação por risco, RevOps orquestrando. Nos seis meses seguintes, dois novos usos de IA foram propostos, ambos passaram pelo fluxo, um foi ajustado antes de ir ao ar, e nenhum incidente novo aconteceu. O comitê não desacelerou a inovação. Ele tornou a inovação defensável.
E se o comitê virar mais um freio?
É a objeção mais legítima, então vamos encará-la de frente. O risco real não é a governança — é a governança mal desenhada. Comitês morrem por três motivos, e todos são evitáveis:
"Vai atrasar todo mundo"
Só atrasa se você exigir aprovação prévia de tudo. Por isso o limiar de risco existe. Se 80% dos usos são de risco baixo e fluem livremente, o comitê só toca no que realmente importa. A cadência ajuda: reunião curta a cada mês ou dois, mais decisões assíncronas para casos de risco alto que não podem esperar. Se o comitê está reunindo semanalmente e discutindo copiloto de e-mail, você desenhou errado.
"Ninguém vai manter o inventário atualizado"
Esse é o risco real e o que mais mata a iniciativa — o mesmo tipo de entropia que corrói CRMs no segundo ano. A solução é a mesma: o inventário precisa ser dono de alguém (RevOps) e conectado a um gatilho. Toda vez que um workflow com IA é criado no CRM, toda vez que uma nova integração é aprovada pelo TI, o registro no inventário vira etapa obrigatória do processo. Governança que depende de boa vontade sempre falha. Governança embutida no processo sobrevive.
"O board não vai comprar"
Esse é o mais fácil de resolver, porque o argumento é financeiro, não moral. Você não vende o comitê como "ética de IA". Você vende como gestão de risco de receita. Um único incidente — vazamento sob LGPD, decisão discriminatória, agente que compromete a empresa comercialmente — custa mais do que anos de reuniões do comitê. O case acima mostra R$ 469 mil em seis meses. Traga números. Board entende números.
E há uma objeção que quase ninguém verbaliza, mas que é a mais perigosa: "A gente já é maduro, não precisa disso." Cuidado. Como argumentamos no framework RADAR de maturidade honesta, a maioria das empresas que se diz avançada opera no improviso. Se você não consegue listar seus usos de IA agora, você não é maduro — você é sortudo. E sorte não é estratégia.
O comitê que você não quer criar é o que vai te salvar
Existe uma ironia no fundo de tudo isso. A promessa da IA em RevOps é velocidade — decidir mais rápido, responder mais rápido, escalar mais rápido. E a reação instintiva de quem gosta de velocidade é ver governança como inimiga. Mas é o contrário. Sem governança, a IA não escala — ela acumula risco silencioso até estourar. Cada uso não rastreado é uma dívida técnica e jurídica que vence de uma vez, no pior momento possível, na frente do cliente errado.
O comitê de governança de IA não é sobre desconfiar da tecnologia. É sobre a única coisa que sempre importou em RevOps: fazer com que a máquina de receita seja previsível, auditável e defensável. A IA só amplia o que já estava lá — se sua operação era desorganizada, a IA vai automatizar a desorganização em escala. Se era disciplinada, a IA vai amplificar a disciplina.
Em 2026, a pergunta não é mais "você usa IA na receita?". Todo mundo usa. A pergunta é "você sabe onde, quem responde e o que acontece se der errado?". Quem não tiver resposta vai ter que improvisar uma — na frente de um cliente, de um auditor ou de um juiz.
Você vai criar esse comitê. A única variável em aberto é se você cria agora, de forma proativa, com custo baixo e tranquilidade — ou depois, no meio de uma crise, com meio milhão de reais já queimado e o board perguntando por que ninguém viu isso chegando. A regulação vem, os incidentes vêm, a IA sombra já está aí. RevOps é a área certa para segurar esse chapéu. Pegue-o antes que ele caia em cima de você.