O custo oculto de não governar os dados

Por que muitas empresas chilenas estão acumulando duas dívidas ao mesmo tempo: valor da IA que não é capturado e uma exposição regulatória que cresce.

1O investimento que ninguém quer priorizar

Poucas empresas diriam em voz alta que tanto faz operar com dados pouco confiáveis. Quase todos os conselhos reconhecem que a qualidade, a propriedade, a segurança e a rastreabilidade da informação importam. Mas reconhecer algo não é o mesmo que financiá-lo, e a governança de dados continua sendo um dos casos de negócio mais difíceis de aprovar.

A razão é conhecida. Ela exige investir em pessoas, processos, arquitetura e mudança organizacional; seus custos recaem sobre um orçamento corporativo, e seus benefícios se distribuem entre muitas áreas e vários anos. Diante de um projeto comercial que promete receitas ou de uma iniciativa operacional que mostra economias imediatas, a governança de dados quase sempre perde a disputa pelo capital. Então é adiada, feita por partes ou limitada ao que algum regulador exige, com a ideia de que poderá ser organizada mais adiante, quando a empresa estiver mais madura ou surgir uma necessidade que a justifique.

A inteligência artificial está desmontando esse pressuposto. Enquanto a IA vive em pilotos, a empresa consegue conviver com dados desorganizados: uma equipe pequena os limpa à mão e o protótipo funciona. O problema aparece ao levá-la à operação. A má qualidade reduz a confiabilidade dos modelos, a falta de responsáveis deixa as decisões sem ninguém que responda por elas, as arquiteturas fragmentadas encarecem cada integração e a falta de rastreabilidade impede explicar de onde veio um dado e como ele foi transformado.

Ao mesmo tempo, a Lei 21.719 muda a forma como se cobra responsabilidade sobre os dados pessoais. Já não basta declarar que eles são protegidos: é preciso poder demonstrá-lo e responder às pessoas em prazos concretos.

Dois desafios que as empresas costumavam gerir separadamente começam a convergir. A capacidade necessária para escalar a IA é, em boa parte, a mesma necessária para cumprir a lei. Quem adia uma, adia as duas. Essa é a tese deste artigo: adiar a governança de dados não economiza um investimento; acumula duas dívidas.

2Chile: reconhecer não é estar preparado

Não existe no Chile uma medição única de quantas empresas têm governança de dados. Há pesquisas que olham dimensões relacionadas (maturidade de dados, proteção de dados pessoais, qualidade, preparo para a IA) com amostras, perguntas e definições diferentes. Seus números não podem ser somados nem comparados diretamente. Mas, lidos em conjunto, apontam na mesma direção.

A primeira Pesquisa de Segurança e Proteção de Dados da Faculdade de Economia e Negócios (FEN) da Universidade do Chile (2025, 1.107 respostas) constatou que apenas 29% das empresas têm um programa formal de proteção de dados com uma estratégia clara. Só 25% atingem um nível avançado de maturidade em privacidade. O mais revelador é como operam: 41% atendem as solicitações dos titulares sobre seus dados (acesso, retificação, eliminação) com processos manuais e lentos, e 44% não capacitam suas equipes regularmente.¹

As pesquisas sobre IA mostram algo parecido. O AI Maturity Index Chile 2026, da Forbes Chile e da Kyndryl, que ouviu 50 executivos de uma dezena de setores, registrou uma maturidade de dados média de 2,98 em 5. Um terço dos executivos aponta a qualidade e a governança dos dados como a principal barreira para escalar a IA, e apenas um em cada dez diz ter dados prontos para alimentar modelos em produção.² O estudo ConvergencIA, da Deloitte, focado em grandes empresas, constatou que apenas 25% garantem a qualidade de seus dados de forma proativa e contínua.³

O número mais otimista vem da pesquisa da CustomerTrigger, da Câmara de Comércio de Santiago e da Experian (2025): 51% dos líderes situam sua empresa em um nível avançado ou muito avançado no uso de dados.⁴ É uma autoavaliação, e a distância em relação aos indicadores operacionais dos outros estudos é, por si só, um dado.

Com todas as suas diferenças, os números desenham um padrão: as empresas chilenas já reconhecem os dados como um ativo estratégico, mas ainda não constroem as capacidades para geri-los de forma consistente. Essa lacuna pesa mais agora, porque muitas aprovam investimentos em IA generativa, modelos preditivos ou agentes enquanto continuam operando com responsabilidades difusas, controles de qualidade desiguais e pouca rastreabilidade. Investem na camada de inteligência antes da base da qual essa inteligência depende.

Não se trata de exigir uma transformação completa de governança de dados antes de iniciar qualquer projeto de IA. Trata-se de que a maturidade dos dados faça parte da avaliação de cada iniciativa (sua viabilidade, sua escalabilidade e seu retorno) e não seja descoberta quando o orçamento já está comprometido.

3O custo de adiar

Por que se continua adiando? Porque o custo de não fazê-lo não aparece em nenhuma planilha: fica escondido dentro de outros projetos.

Um exemplo com números o torna visível. É um caso ilustrativo, com premissas explícitas e arredondadas; não é a medição de uma empresa real.

O caso. Uma varejista com braço financeiro, com cartão de crédito próprio e mais de um milhão de clientes, planeja cinco iniciativas de IA para os próximos dois anos: score de concessão de crédito, priorização de cobrança, prevenção de churn, ofertas personalizadas e um assistente de atendimento. Todas usam dados pessoais dos mesmos clientes. O comitê de investimentos tem dois caminhos.

Caminho A: adiar. Cada projeto resolve seus dados por conta própria. Preparar os dados custa a cada um USD 250.000 e acrescenta cinco meses antes de entrar em operação. Além disso, para cumprir a Lei 21.719, a empresa contrata um levantamento de dados pessoais e um processo para responder às solicitações dos titulares sobre seus dados por USD 400.000.

Caminho B: construir uma base comum. A empresa investe USD 700.000 em capacidades compartilhadas, incluindo sua operação durante os dois anos (catálogo de dados, responsáveis por domínio, regras de qualidade, linhagem, isto é, o registro de onde vem cada dado e como foi transformado, e um inventário de dados pessoais), e as constrói junto com o primeiro projeto, que ainda assim arca com o custo completo de preparar seus dados. A partir do segundo projeto, essa preparação custa USD 80.000 e leva dois meses. Como o inventário já cobre boa parte do que a lei exige, concluir a adequação custa USD 120.000.

Supõe-se, além disso, que cada iniciativa gere USD 40.000 mensais de benefício uma vez em operação, de modo que cada mês dedicado a preparar dados é valor que não se captura.

Em gasto direto com dados, os dois caminhos quase empatam: A gasta 1.250 e B, 1.270. Por isso um comitê que avalia projeto a projeto aprova A: no primeiro ano, a base comum aparece como USD 700.000 adicionais sem retorno visível. A diferença aparece ao somar o que a planilha não olha: o tempo que cada projeto perde preparando dados e um levantamento para a lei que repete o mapeamento de dados que cada projeto já fez por conta própria. Com esses dois elementos, adiar custa à empresa cerca de USD 740.000 a mais em dois anos, e o ponto de equilíbrio chega, no máximo, no quarto projeto.

Dessa diferença, cerca de USD 480.000 vêm de capturar antes o valor dos projetos e USD 280.000 de não repetir o trabalho de adequação; a base comum gasta USD 20.000 a mais em dados. Mesmo que cada iniciativa gerasse metade do benefício suposto, a base comum continuaria economizando cerca de USD 500.000.

Há um terceiro custo que a tabela não mede. No caminho A, o modelo de scoring é construído sobre dados sem linhagem documentada. Se um cliente que teve o crédito negado pedir para saber como a decisão foi tomada, a empresa terá dificuldade para explicá-lo, e isso, como veremos, já não é apenas um problema técnico.

As premissas podem ser discutidas, e cada empresa terá os seus. O que importa é a estrutura do cálculo: o caso de negócio da governança de dados não se justifica por suas economias diretas, mas pela soma do valor do que ela viabiliza e do custo do que obriga a duplicar. E com uma disciplina: não contar duas vezes o mesmo benefício.

4Duas dívidas que se reforçam

A Dívida de Liderança em IA, vista a partir dos dados

Em Além do AI-First propus o conceito de Dívida de Liderança em IA (AI Leadership Debt): a lacuna que se acumula quando o potencial da tecnologia avança mais rápido do que a capacidade da liderança de entendê-la, governá-la e convertê-la em valor.⁵ Descrevi-a a partir de cinco sinais observáveis. A governança de dados é um dos lugares onde esses sinais se veem com mais clareza:

1. Iniciativas sem indicador financeiro. Os projetos de dados são aprovados como “habilitadores”, sem que ninguém defina que resultado deveriam mover, e por isso são os primeiros a serem cortados.
2. Ninguém responde de ponta a ponta. A TI administra os sistemas, cada área usa os dados e ninguém responde por sua qualidade. Cada projeto de IA negocia o acesso do zero.
3. Os líderes não distinguem o que a IA pode fazer do que ela aparenta. Espera-se que um modelo compense dados que nunca foram organizados, ou descarta-se a IA porque “os dados não servem” sem medir quanto custaria corrigi-los.
4. Finanças não separa o benefício realizado do estimado. Sem rastreabilidade entre o dado, a decisão e o resultado, não há como atribuir valor, e a governança de dados fica como um custo sem retorno demonstrável.
5. Ferramentas que ninguém aprovou. As equipes enviam dados de clientes para assistentes generativos externos porque não têm alternativas governadas. Com a nova lei, isso deixa de ser apenas um risco de segurança.

Nem todo problema de dados é dívida de liderança. As falhas técnicas, as mudanças de requisitos e a complexidade operacional existem mesmo em empresas bem conduzidas. A diferença está em saber se as limitações persistentes podem ser rastreadas até decisões sobre prioridades, investimentos e responsabilidades. Quando o mesmo problema de dados trava um projeto após o outro e ninguém tem o mandato de resolvê-lo, isso também é uma decisão, ainda que ninguém a tenha tomado de forma explícita.

A dívida regulatória: o que muda com a Lei 21.719

A Lei 21.719 reforma a fundo o regime de proteção de dados pessoais no Chile, toma como referência o regulamento europeu (GDPR) e cria a Agência de Proteção de Dados Pessoais, com poderes para fiscalizar e sancionar.⁶ Três de seus elementos se conectam diretamente com a governança de dados e com a IA.

Os direitos dos titulares são atendidos com processos, não com documentos. A lei consagra os direitos de acesso, retificação, eliminação (supressão), oposição, portabilidade e bloqueio, e fixa um prazo de 30 dias corridos para responder. Para atender a uma solicitação de acesso, a empresa precisa saber em quais sistemas estão os dados dessa pessoa, com que finalidade são tratados, com quem são compartilhados e quem é responsável por cada um. Se esses dados estão espalhados entre aplicações desconectadas, planilhas e fornecedores, o prazo se torna difícil de cumprir. Com 41% das empresas atendendo hoje essas solicitações de forma manual, o problema é concreto.¹

As decisões automatizadas passam a ser reguladas. O novo artigo 8º bis reconhece o direito de não ser submetido a decisões baseadas unicamente no tratamento automatizado de dados pessoais, inclusive a elaboração de perfis, quando produzem efeitos jurídicos ou afetam significativamente a pessoa. Um modelo que aprova ou rejeita um crédito, fixa um preço ou prioriza uma cobrança pode se enquadrar nessa categoria. Para operá-lo, a empresa precisa saber que dados o modelo usou, de onde vieram e como intervir com revisão humana. Ou seja, precisa de linhagem, rastreabilidade e responsáveis: governança de dados.

As sanções deixam de ser simbólicas. A lei classifica as infrações em leves, graves e gravíssimas, com multas de até 5.000, 10.000 e 20.000 UTM (a unidade tributária mensal chilena; a última equivale a cerca de 1,45 bilhão de pesos chilenos, perto de USD 1,5 milhão) e, para as empresas que não são pequenas e reincidem, de até 2% ou 4% de suas receitas anuais. Mais do que o valor, importa a mudança de lógica: o regime anterior quase não era aplicado; o novo tem um órgão fiscalizador dedicado e um registro público de sanções.

Convém fazer uma distinção precisa. A lei estabelece obrigações; a governança de dados entrega as capacidades organizacionais e técnicas que permitem cumpri-las. Nem toda boa prática de gestão de dados é uma exigência legal, e os controles necessários dependem de quais dados cada empresa trata e para quê. Mas é difícil cumprir os prazos dos direitos ou explicar uma decisão automatizada sem inventário, responsáveis e rastreabilidade.

Quando as duas dívidas se multiplicam

As pesquisas de preparo mostram o tamanho do desafio. Em 2025, a PwC Chile e a Fundación Generación Empresarial constataram que apenas 13% das empresas se consideravam “muito preparadas” para a lei e que mais da metade não havia designado um encarregado de proteção de dados.⁷ Em agosto de 2026, a LemonTech (127 organizações) relatou que 72% não se sentem preparadas e que quatro em cada dez não têm protocolos para comunicar incidentes de segurança (vazamentos); mesmo entre as grandes, não mais de 36% dizem estar prontas.⁸

A IA agrava esse quadro, porque cada modelo novo soma tratamentos, integrações e decisões automatizadas. A IA não cria por si só uma lacuna regulatória, mas amplifica as fragilidades de dados que já existiam. Por isso as duas dívidas não apenas se somam: se multiplicam. A exposição regulatória da IA depende de quantas decisões automatizadas afetam pessoas, de quão provável é que a empresa não consiga explicá-las e de quanto custa cada falha. A IA aumenta a quantidade de decisões automatizadas. Uma governança de dados fraca mantém alta a probabilidade de não conseguir explicá-las, e a agrava a cada integração sem linhagem documentada. E a reincidência encarece cada falha. Quando esses fatores crescem ao mesmo tempo, a exposição cresce bem mais rápido do que o número de projetos. Com dados governados, a mesma expansão da IA a faz crescer muito mais devagar.

A data de entrada em vigor tem estado em discussão. Para um conselho, isso muda quando as obrigações são exigidas, não quais são. Usar qualquer prazo adicional para continuar adiando reproduziria o mesmo padrão que criou a lacuna atual. A pergunta útil é como aproveitar o tempo para construir capacidades que sirvam, ao mesmo tempo, para cumprir a lei e para escalar a IA.

5Governar sem burocracia

Toda empresa precisa de uma grande área corporativa de dados, uma plataforma cara e um programa de vários anos? Não. Parte da má fama da governança de dados vem de associá-la a implementar por completo o DAMA-DMBOK, o corpo de conhecimento de referência, quando esse framework não exige que todas as organizações tenham as mesmas estruturas. Uma mineradora que usa modelos de otimização com dados de sensores precisa, antes de tudo, de confiabilidade e linhagem de suas variáveis de processo. Um banco com milhões de clientes precisa, além disso, de inventário de dados pessoais e rastreabilidade de seus modelos de crédito. Um prestador de serviços de saúde que desenvolve apoio à decisão clínica trabalha com dados sensíveis e precisa de controles rigorosos de acesso, finalidade e consentimento.*

A governança de dados falha tanto por falta de investimento (responsabilidades fragmentadas, má qualidade, remediações caras) quanto por excesso de estrutura (comitês que viram gargalos e plataformas superdimensionadas). Ela deve ser desenhada em torno das decisões e dos riscos que a empresa precisa gerir, não em torno da ideia de que mais maturidade significa mais complexidade.

Centralizado, federado ou híbrido?

A segunda pergunta é como distribuir as responsabilidades. Em um modelo centralizado, as decisões e os padrões se concentram em uma equipe corporativa. Em um federado, as áreas de negócio assumem parte das responsabilidades dentro de políticas comuns. Os modelos híbridos combinam ambos. Costumam ser apresentados como filosofias opostas, mas a pergunta prática é mais concreta: que decisões precisam de consistência em toda a empresa e quais precisam de proximidade com a operação.

Pensemos em um grupo com negócios em mineração, energia, logística e serviços financeiros. As políticas de privacidade, a classificação da informação e a segurança devem ser comuns: se cada negócio define as suas, o risco é de todo o grupo. Mas as regras de qualidade de uma variável de processo de mineração exigem um conhecimento que uma equipe corporativa não tem. A solução não é descentralizar por princípio, mas atribuir bem os direitos de decisão:

A tabela é um ponto de partida, não uma receita. E a federação não é mais barata por definição: exige capacidades em cada área, padrões comuns e mecanismos para resolver conflitos. Mal implementada, só distribui a fragmentação. A pergunta econômica não é qual modelo é superior, mas qual entrega os controles e as capacidades necessárias a um custo razoável para aquela organização.

6Do dado ao valor: onde ele se perde no caminho

Os indicadores tradicionais de governança de dados (completude, cobertura do catálogo, tempo de acesso, cumprimento de padrões) descrevem o estado da gestão de dados. São necessários, mas não explicam como esse investimento chega à DRE (demonstração do resultado). Para isso é preciso olhar a cadeia completa.

Em Além do AI-First apresentei a teoria de realização de valor da IA (AVRT, na sigla em inglês), um framework em desenvolvimento que descreve como a inteligência que a IA produz se converte em resultados: IA → inteligência → decisões → ações → resultados operacionais → valor de negócio → reinvestimento → capacidades.⁵ A governança de dados não substitui essa cadeia; define as condições em que ela opera. Dados de má qualidade produzem inteligência pouco confiável. Sem responsáveis claros, as decisões demoram. Com arquiteturas fragmentadas, as ações não escalam. E sem rastreabilidade não é possível demonstrar nem o valor gerado nem a legitimidade de uma decisão automatizada. Por isso a mesma tecnologia rende de forma diferente em duas empresas: ter acesso à IA não garante capturar seu valor; o que o determina são as capacidades da organização.

Como ler um funil de conversão

Para localizar onde o valor se perde, esse framework usa um funil de conversão. A ideia é simples: contam-se os casos que entram na primeira etapa e quantos seguem em cada etapa posterior. Como em um funil de cozinha, em cima entra muito e embaixo sai menos. A largura de cada faixa é proporcional à quantidade de casos, de modo que basta olhá-lo para ver em que etapa ocorre a maior perda.

O funil é medido com três taxas, calculadas por período sobre um mesmo processo:

• Conversão em decisão: decisões tomadas divididas pelos alertas relevantes que a IA gerou.
• Conversão em ação: ações executadas divididas pelas decisões tomadas.
• Conversão em valor: ações com efeito medido contra uma linha de base divididas pelas ações executadas.

Voltemos à varejista com braço financeiro e ao seu modelo de priorização de cobrança. Em um mês típico, o modelo identifica 200 clientes com um risco relevante de inadimplência. Os executivos decidem acionar 110 (conversão em decisão de 55%): o restante fica sem atendimento porque os dados de contato não são confiáveis e ninguém quer gastar esforço em casos duvidosos. Dessas 110 decisões, 80 são executadas (conversão em ação de 73%): as demais se perdem porque ninguém é responsável por carregar a nova estratégia no sistema de cobrança. E das 80 ações, apenas 48 têm um efeito medido (conversão em valor de 60%), porque sem rastreabilidade entre o alerta, a ação de cobrança e o pagamento não é possível atribuir o resultado.

O funil é, no fundo, um sistema em série: o valor só chega se cada etapa funciona, e as taxas se multiplicam (55% × 73% × 60% = 24%, que são os 48 de 200 alertas). O mesmo ocorre a montante, nos dados que alimentam o modelo. Se um modelo usa 20 fontes, cada uma está correta 95% das vezes e seus erros são independentes, a probabilidade de que todas estejam corretas ao mesmo tempo é de apenas 36%; com fontes a 99%, sobe para 82%. A confiabilidade de uma cadeia cai exponencialmente a cada elo que não é governado, e por isso melhorias que parecem pequenas em cada fonte mudam completamente o resultado final.

O funil mostra, além disso, algo que os indicadores de dados por si sós não mostram: neste caso, cada uma das três perdas tem uma causa de governança de dados (qualidade, propriedade e rastreabilidade), e a maior está na primeira etapa. É aí que um investimento em governança de dados tem o retorno mais visível. Uma governança de dados melhor não cria valor por si mesma; cria as condições para que o valor da IA chegue ao resultado.

7O que fazer agora

No caso da seção 3, esperar custava USD 740.000 em dois anos. Para superar a dificuldade histórica de financiar a governança de dados, o caso de negócio deve partir de três perguntas: o que a empresa está obrigada a fazer, de que capacidades precisa para sua estratégia de IA e que investimentos resolvem várias necessidades ao mesmo tempo. As obrigações legais e os requisitos mínimos de segurança não são rejeitados por terem um retorno pouco atraente. A terceira pergunta é a que abre as melhores oportunidades: um inventário de dados pessoais feito para cumprir a lei pode se tornar, com pouco esforço adicional, a base de um catálogo que acelere todos os projetos de IA. Ou pode ficar como um documento que ninguém volta a abrir. A diferença é uma decisão de projeto.

A Figura 5 organiza esse trabalho em cinco passos. O último é o mais negligenciado: medir o valor realizado, não o prometido, e o funil de conversão é uma forma de fazê-lo.

Para um conselho, a conversa muda se, em vez de perguntar apenas quanto custa a governança de dados, ele se fizer cinco perguntas:

1. Quantas de nossas iniciativas de IA estão preparando seus próprios dados separadamente, e quanto isso nos custa em dinheiro e em meses?
2. Quem responde, com nome e cargo, pela qualidade dos dados de nossos clientes?
3. Se amanhã um cliente pedir acesso a seus dados, conseguimos responder em 30 dias sem um esforço extraordinário?
4. Que modelos tomam ou influenciam decisões que afetam significativamente as pessoas, e conseguimos explicar com que dados o fazem?
5. Nosso plano para a Lei 21.719 constrói capacidades que a IA também usará, ou é um projeto de conformidade isolado?

Durante anos, a governança de dados foi tratada como uma função necessária, mas cara: custos imediatos, benefícios indiretos e uma implementação que podia esperar. Esse raciocínio se sustenta cada vez menos quando a mesma empresa quer escalar a IA e enfrenta uma lei que a obriga a demonstrar como trata os dados das pessoas. Nem todas as empresas precisam de uma transformação completa, e cumprir a lei não é um problema de otimização financeira. Mas adiar também é uma decisão, e seus custos precisam ser postos sobre a mesa.

O custo de governar os dados aparece no orçamento de hoje. O custo de não fazê-lo aparece depois, distribuído em projetos de IA que atrasam, valor que não se captura, investimentos duplicados e exposição regulatória. Por isso a pergunta para o conselho não é apenas quanto custa governar os dados, mas quanto nos está custando continuar operando sem as capacidades que nossa estratégia de IA e a lei exigem.

Referências

1. Faculdade de Economia e Negócios (FEN), Universidade do Chile. Primera Encuesta de Seguridad y Protección de Datos en Chile (2025). Divulgada no Portal Innova.
2. Forbes Chile e Kyndryl. AI Maturity Index Chile 2026. Forbes Chile, BrandVoice, 25 de agosto de 2026.
3. Deloitte Chile. ConvergencIA: Impacto y transformación de la IA en organizaciones en Chile. Divulgado no Ex-Ante.
4. CustomerTrigger, InsightLab, Câmara de Comércio de Santiago e Experian. El uso de los datos Data-Driven 2025. Diario Financiero, 28 de março de 2025.
5. Barrientos, C. (2026). Além do AI-First: converter a inteligência artificial em resultados de negócio; AI Value Realization Theory: resumo executivo. claudiobarrientos.com
6. Lei nº 21.719, que regula a proteção e o tratamento dos dados pessoais e cria a Agência de Proteção de Dados Pessoais. Biblioteca do Congresso Nacional do Chile (bcn.cl/leychile).
7. PwC Chile e Fundación Generación Empresarial. Encuesta de Protección de Datos Personales (2025). pwc.com/cl
8. LemonTech. Estudo de preparo para a Lei 21.719 (agosto de 2026; 127 organizações). Portal Innova, 14 de setembro de 2026.

* Declaração de interesse: o autor é cofundador da Oncoger.ai, empresa que aplica inteligência artificial em oncologia.