Governança de IA em canais digitais: o que já se exige de quem publica com inteligência artificial
Governança de IA em canais digitais: o que já se exige de quem publica com inteligência artificial
Governança de IA em canais digitais é o conjunto de regras, registros e responsabilidades que permite a uma empresa explicar como a inteligência artificial gerou, alterou ou decidiu o conteúdo exibido a cada visitante. No Brasil, a exigência já vem da LGPD. Empresas com exposição ao mercado europeu respondem também às regras de transparência do AI Act, em aplicação desde 2 de agosto de 2026.
A adoção veio antes da regra. Times de marketing passaram a gerar página por prompt, testar variação automaticamente e escolher a oferta exibida a partir do comportamento do visitante. Funcionou, e por isso escalou.
A pergunta chega depois, e costuma vir do jurídico, do comitê de auditoria ou de um cliente querendo entender por que viu aquela oferta e não outra. Em boa parte das operações que adotaram IA no canal digital, a resposta honesta hoje é que ninguém consegue reconstruir a decisão. Não há registro de qual conteúdo saiu de modelo nem de quem aprovou antes de publicar, e o dado que determinou a variação exibida não aparece em relatório nenhum.
Este texto trata do que já vincula, do que ainda está em aberto no Brasil, e de quais registros sustentam a resposta sem parar a operação.
O que muda quando a IA passa a gerar e a decidir
Vale separar duas camadas, porque elas criam obrigações diferentes.
A primeira gera. Modelo escreve título, descrição, página inteira. A questão que ela abre é de procedência: qual parte daquele texto saiu de modelo, sob qual instrução, e quem leu antes de publicar.
A segunda decide. O sistema escolhe qual variação exibir para qual visitante, com base em comportamento, perfil ou histórico. A questão que ela abre é de base de decisão, e essa entra direto no território da LGPD.
Quase todo o conteúdo disponível sobre IA em marketing trata só da primeira camada, e sob o ângulo da produtividade. A segunda é a que costuma pesar quando alguém pede explicação.
O que a LGPD já exige, hoje, no Brasil
A Lei nº 13.709, de 14 de agosto de 2018, não fala em inteligência artificial. Ela fala em tratamento de dados pessoais, e três dispositivos alcançam diretamente uma operação de marketing que personaliza com IA.
Art. 20. O titular tem direito a solicitar a revisão de decisões tomadas exclusivamente por tratamento automatizado que afetem seus interesses, incluídas as que definem perfil pessoal, profissional, de consumo e de crédito. Personalizar oferta por perfil de consumo cabe nessa descrição com folga.
Art. 6º, VI. Transparência: garantia de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes.
Art. 6º, X. Responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância das normas de proteção de dados.
O inciso X é o que mais pega na prática. Ele exige demonstração, e demonstração depende de registro. Uma operação que personaliza por comportamento e não guarda o rastro da decisão não tem como comprovar coisa alguma quando a pergunta chega.
Quando a regra europeia alcança uma empresa brasileira
Em 2 de agosto de 2026 a Comissão Europeia passou a aplicar as regras de transparência do AI Act. Três obrigações interessam a quem opera canal digital: sistema que interage com pessoas precisa deixar claro que é uma IA, conteúdo gerado ou alterado por IA precisa carregar marcação legível por máquina, e deepfake exige rótulo explícito.
O alcance dessa regra não depende do endereço da empresa, e sim da relação com o mercado europeu. Empresa brasileira com operação, público ou cliente na União Europeia precisa avaliar o enquadramento com o próprio jurídico. Empresa que opera apenas no Brasil não está sob essa obrigação hoje, e ainda assim ganha em olhar o texto: ele indica a direção que a regulação vem tomando e serve de referência de maturidade em processo de compra corporativa.
O que muda quando o marco legal brasileiro sair
O PL 2338/2023 foi aprovado no Senado e remetido à Câmara dos Deputados em 17 de março de 2025, onde segue em tramitação. Isso significa que o Brasil ainda não tem marco legal de inteligência artificial em vigor.
A leitura operacional é direta. Hoje o que vincula é a LGPD. Montar processo agora com base em texto que ainda pode mudar na Câmara é desperdício. O que compensa é montar o registro, porque registro serve para qualquer versão da regra que venha, e já responde ao art. 6º, X.
ISO/IEC 42001: quando faz sentido buscar certificação
A ISO/IEC 42001:2023 é a norma internacional de sistema de gestão de inteligência artificial. Ela é certificável, e há certificadoras atuando no Brasil, entre elas a Fundação Vanzolini e a Bureau Veritas.
É um caminho voluntário. Faz sentido quando a empresa precisa demonstrar governança de IA a cliente corporativo, a órgão regulador ou dentro de um processo de compra que exige evidência de terceiro. Para uma operação que ainda não tem processo editorial definido, buscar certificação antes de organizar o básico inverte a ordem e custa caro.
Os quatro registros que sustentam a resposta
Aqui está a parte prática, e é o que separa uma operação que consegue explicar de uma que não consegue. Quatro registros cobrem quase toda pergunta que chega, seja do jurídico, do cliente ou de um auditor.
1. Origem do conteúdo.
Qual parte da página saiu de modelo, sob qual instrução, e em qual data. Sem isso não há como responder de quem é o texto que está no ar, o que importa tanto para transparência quanto para direito autoral.
2. Versão do que estava publicado.
O que exatamente o visitante viu naquela data, e como voltar ao estado anterior. É o registro mais fácil de obter, porque plataforma de conteúdo madura costuma fazer versionamento e rollback de forma nativa.
3. Base da decisão.
Qual dado do visitante determinou a variação exibida, e por quanto tempo esse dado fica guardado. Este é o registro que responde ao art. 20 da LGPD, e é o que quase nenhuma operação tem.
4. Revisão humana.
Quem leu, quando, e sob qual critério aprovou. O art. 6º, X pede demonstração de medida eficaz, e revisão humana registrada é a medida mais simples de demonstrar.
O que a plataforma resolve e o que continua sendo processo
Convém não confundir capacidade de produto com governança. Parte desses registros nasce da plataforma, parte depende de fluxo editorial que nenhuma ferramenta cria sozinha.
O registro de versão é território de plataforma. O LumisXP documenta versionamento e rollback de conteúdo, e isso cobre o item 2 sem esforço adicional do time.
O registro de base da decisão fica mais simples quando o dado de comportamento vive numa base própria da plataforma. O LumisXP documenta CDP nativo, com dados unificados do cliente em tempo real, e hospedagem de dados no Brasil. Quando o dado está espalhado por cinco ferramentas, o rastro da decisão também fica, e reconstruí-lo depois costuma ser inviável.
Origem do conteúdo e revisão humana dependem de processo. Vale perguntar ao fornecedor, em qualquer avaliação, o que a plataforma registra nativamente sobre conteúdo gerado por IA e sobre aprovação editorial, porque a resposta varia bastante entre fornecedores e raramente aparece no material de venda.
Quando isso ainda não é o seu problema
- Nem toda operação precisa montar tudo isso agora, e fingir o contrário seria vender urgência inexistente.
- Se a IA só produz rascunho e uma pessoa revisa e publica sob responsabilidade própria, o peso cai bastante. O registro de revisão continua valendo, os outros três podem esperar.
- Se a empresa não personaliza conteúdo por dado de comportamento, o art. 20 deixa de ser o eixo da conversa.
- Se não há operação, público nem cliente na União Europeia, a regra europeia não obriga. Ela continua útil como referência.
- Certificação ISO/IEC 42001 antes de existir processo editorial definido é investimento fora de ordem.
- Este material é orientação de operação de marketing, e não parecer jurídico. Enquadramento no AI Act, base legal de tratamento e política de retenção pedem avaliação do jurídico da empresa.
Próximo passo
Se a sua operação já publica ou personaliza com IA e você não sabe responder onde está o rastro dessas decisões, esse é o ponto de partida.
Converse com um especialista Lumis sobre como a IA pode apoiar na construção dos seus canais digitais.
Perguntas frequentes
IA que só escreve rascunho revisado por uma pessoa exige governança?
Exige menos. Quando existe revisão humana antes da publicação e o conteúdo sai sob responsabilidade de uma pessoa identificada, o principal registro a manter é o da própria revisão. As obrigações mais pesadas aparecem quando o sistema publica ou decide sozinho.
O AI Act europeu se aplica a empresa brasileira?
Depende da relação com o mercado europeu, e não do endereço da empresa. Operação, público ou cliente na União Europeia colocam a empresa no radar da regra, e o enquadramento específico precisa ser avaliado pelo jurídico. As obrigações de transparência estão em aplicação desde 2 de agosto de 2026.
Preciso avisar no site que o conteúdo foi gerado por IA?
No Brasil não existe hoje obrigação legal específica nesse sentido, já que o marco legal de IA segue em tramitação na Câmara. Sob o AI Act, conteúdo gerado ou alterado por IA precisa carregar marcação legível por máquina, e sistema que conversa com o usuário precisa se identificar como IA.
A ISO/IEC 42001 substitui a conformidade com a LGPD?
Não. A LGPD é lei brasileira e vincula independentemente de certificação. A ISO/IEC 42001 é norma voluntária de sistema de gestão, e serve para demonstrar a terceiros que existe processo de governança de IA estabelecido.
Fontes
- Lei nº 13.709, de 14 de agosto de 2018 (LGPD), art. 6º, VI e X, e art. 20. Presidência da República, Planalto.
- Comissão Europeia. Aplicação das regras de transparência do AI Act a partir de 2 de agosto de 2026. Shaping Europe’s digital future.
- Senado Federal. PL 2338/2023, aprovado no Senado e remetido à Câmara dos Deputados em 17 de março de 2025.
- ISO/IEC 42001:2023, sistema de gestão de inteligência artificial. Certificadoras com atuação no Brasil: Fundação Vanzolini e Bureau Veritas.
- Páginas oficiais LumisXP: versionamento e rollback de conteúdo, CDP nativo com dados unificados em tempo real, hospedagem de dados no Brasil. Consultadas em 2 de setembro de 2026.
Sobre o autor
Guilherme Matos, estrategista de conteúdo e IA, responsável pelo conteúdo editorial da Lumis. Concluiu os cursos Introduction to agent skills e Building with the Claude API, da Anthropic, e é certificado pela Semrush Academy (GA4 para SEO, certificado 937edc53bb, válido até 30/07/2027).
A autoridade técnica sobre a plataforma pertence à Lumis: 25 anos de mercado, LumisXP na 16ª versão, cases enterprise públicos.
