Boas práticas de governança de dados e framework

As boas práticas de governança de dados são seis: nomear um dono para cada domínio de dados, escrever as políticas de classificação e retenção, medir a qualidade dos dados, registrar a base legal de cada finalidade de tratamento, controlar o acesso com trilha de auditoria e estender as mesmas regras ao que a IA faz com os dados.

A governança de dados (data governance) define quem pode acessar cada dado, para qual finalidade e sob quais controles. Esta página trata da etapa seguinte: como transformar essa definição em um programa que funcione entre áreas, sobreviva a uma auditoria da ANPD e acompanhe o que os agentes de IA passaram a fazer com os dados de cliente.

Para que serve um programa de governança de dados?

Um programa de governança de dados entrega três resultados ao negócio: dados confiáveis para decidir, auditoria mais barata e conformidade demonstrável.

O primeiro resultado é a confiança no número. Quando os padrões de exatidão, formato e atualidade valem para todas as áreas, a equipe que recebe um relatório para de refazer a apuração antes de agir. Sem esses padrões, cada área chega a um total diferente para a mesma pergunta e a discussão passa a ser sobre a origem dos dados, não sobre a decisão.

O segundo é a conformidade. No Brasil, o marco é a LGPD, Lei nº 13.709/2018, fiscalizada pela ANPD: cada finalidade de tratamento precisa de base legal registrada, e o titular tem direito de pedir acesso, correção e eliminação dos seus dados. Operações que vendem para fora respondem ao mesmo tempo ao GDPR europeu, à CCPA californiana e às demais leis de proteção de dados de cada mercado. A governança de dados é onde essas obrigações viram política escrita, com classificação, prazo de retenção e registro de consentimento.

O terceiro é o custo da prova. Um inventário atualizado de fontes, donos e finalidades encurta a auditoria, porque a resposta já existe documentada em vez de ser reconstruída a cada pedido. O mesmo inventário reduz a dispersão de dados (data sprawl): cópias esquecidas em planilhas e ferramentas departamentais aparecem no mapa e podem ser descartadas.

O que entra em um framework de governança de dados?

O framework de governança de dados (data governance framework) é o conjunto de regras, papéis e processos que sustenta a estratégia de dados da empresa. Sem ele, os dados ficam fragmentados, imprecisos e fora do que a lei exige.

Antes do framework vem o modelo de dados. Implante um modelo de dados (em inglês) que represente as relações entre entidades e que designers, desenvolvedores e cientistas de dados compartilhem. O framework entra sobre esse modelo para definir regras, papéis, processos e responsabilidades.

Um framework de governança de dados costuma incluir:

Estrutura organizacional, com os papéis e as responsabilidades que a governança exige em toda a empresa.
Padrões e políticas que definem quem usa cada conjunto de dados e de que forma.
Infraestrutura de tecnologia, incluindo o hardware e o software para coletar, armazenar e gerenciar os dados.
Indicadores que acompanham a implementação e os resultados do programa.
Curadoria de dados (data stewardship) para manter os dados exatos, consistentes e conformes.
Gestão da qualidade de dados (data quality management) para manter a base livre de erros.

Um conjunto de regras e processos de privacidade (em inglês) completa o framework e define como os dados pessoais são coletados, guardados e usados.

Exemplos de frameworks de governança de dados

Três referências públicas ajudam a começar sem partir de uma folha em branco:

Designing Data Governance That Delivers Value, McKinsey, 2020 (em inglês)
Global and Industry Frameworks for Data Governance, PwC, 2019 (em inglês)
The Path to Modern Data Governance, Eckerson, 2019 (em inglês)

Quais são os desafios da governança de dados?

O maior obstáculo de um programa de governança de dados é organizacional, não técnico. Os dados atravessam todas as áreas, então a governança obriga times que raramente trabalham juntos a decidir em conjunto, e depende de apoio da liderança (em inglês), a começar pela diretoria executiva e pelos líderes de negócio.

O segundo obstáculo é o volume de dados não estruturados e semiestruturados (em inglês) que chega de canais novos: dispositivos conectados, aplicativos, conversas de WhatsApp com o atendimento e interações geradas por IA. Esse material não cabe no esquema tabular em que as políticas antigas foram escritas, e classificar dados pessoais dentro dele exige ferramenta específica.

O terceiro obstáculo é recente. No marketing agêntico, agentes de IA conversam com o cliente sem aprovação humana a cada passo, e isso dá à governança dois objetos em vez de um: os dados e o que a IA faz com eles em tempo real. Definir que perfis cada agente lê, que ações executa e sob que limites é decisão de governança, e precisa estar escrita antes de o agente entrar em operação.

Os três obstáculos têm o mesmo agravante: dados espalhados por dezenas de sistemas. A LGPD dá ao titular o direito de pedir correção e eliminação, e o art. 18, § 6º obriga o controlador a informar os agentes de tratamento com quem compartilhou aqueles dados. Cumprir esse dever em dezenas de sistemas desconectados custa muito mais do que cumpri-lo em um. Por isso muitas empresas adotam uma plataforma de dados do cliente (CDP, ou Customer Data Platform) para consolidar os dados de cliente e aplicar o mesmo padrão de governança às atividades humanas e às automatizadas.

Quem responde pela governança de dados?

Os papéis precisam estar nomeados por escrito, com responsabilidades dedicadas e compartilhadas. A lista de papéis depende do porte, do setor e do volume de dados regulados.

Comitê gestor de governança de dados: o grupo de partes interessadas que define as políticas gerais que o resto da empresa segue.
Chief Data Officer (CDO): o executivo responsável pela estratégia de dados e pela governança de dados na empresa inteira.
Curadores de dados (data stewards): as pessoas que verificam se as políticas e os procedimentos valem de fato para cada conjunto de dados.
Gestores do ciclo de vida dos dados (data operators): as pessoas encarregadas de cada conjunto de dados, da coleta ao descarte. Na LGPD, a palavra operador nomeia outro papel, o de quem trata dados em nome do controlador, e por isso não serve para esse cargo interno.
Donos de dados: as pessoas que respondem pelos dados no nível do registro.

No Brasil, um papel a mais é obrigação legal. A LGPD exige que o controlador indique um encarregado de dados (DPO, data protection officer), no art. 41, e divulgue publicamente a identidade e o contato dessa pessoa. O encarregado recebe as comunicações dos titulares e da ANPD e orienta a empresa, mas não opera os controles: quem executa são os curadores de dados e a área de segurança.

Nomear os papéis raramente basta. A governança só passa a valer quando tratar dados com cuidado deixa de ser tarefa de uma área e vira critério de trabalho das demais.

O que procurar em uma ferramenta de governança de dados?

As ferramentas de governança de dados automatizam parte do programa: mapeamento de dados, catálogo, fluxos de aprovação e documentação. Algumas são produtos isolados; outras vêm embutidas em plataformas de gestão de dados, como uma CDP. O que escolher depende dos objetivos, do setor e do perfil dos clientes.

Procure estes recursos:

Gestão de dados mestres (master data management, MDM). A ferramenta precisa acompanhar a qualidade, as regras e a configuração dos dados. Esse controle cobre o ciclo de vida e documenta os metadados, o que melhora o catálogo.
Catálogo de dados (data catalog). Recurso padrão na categoria: localizar, reunir e organizar os dados com categorias e etiquetas, para que qualquer área encontre o que existe.
Propriedade e curadoria. Donos e curadores de dados precisam de uma interface para manter os dados exatos e consistentes.
Controles de política. Configuração e aplicação das políticas de uso sem depender de pedido de acesso caso a caso.
Visualização de dados. As ferramentas de visualização (em inglês) mostram as relações entre conjuntos de dados em formatos gráficos.
Padrões e definições. A governança só é usada em toda a empresa quando todo mundo trata o mesmo termo com o mesmo significado.
Conformidade. A ferramenta precisa sustentar as exigências da LGPD, do GDPR, da CCPA, das leis estaduais americanas e das demais leis nacionais em vigor.
Governança de IA (AI governance). Conforme a empresa implementa Agentic CDPs e agentes de IA, a ferramenta precisa registrar como cada modelo acessa e usa os dados de cliente, para dar transparência à decisão automatizada. A LGPD dá ao titular o direito de pedir a revisão de decisão tomada exclusivamente por tratamento automatizado, e atender a esse pedido exige esse registro.

Como montar o programa na prática

Governar dados exige conhecer o percurso inteiro deles. Saber de onde vêm os dados, quem responde por eles, como são usados e onde ficam armazenados é o que separa uma política escrita de uma política aplicada.

Controle de acesso e trilha de auditoria (audit trail) formam o par que torna essa política verificável. Definir quem acessa cada base é metade do trabalho; a outra metade é registrar quem acessou o quê e com que finalidade, porque é esse registro que sustenta a resposta a um pedido da ANPD ou a uma investigação interna de uso indevido.

Os dados precisam ser relevantes, exatos, de boa qualidade e confiáveis para servirem de ativo, e precisam estar centralizados para que a conformidade possa ser demonstrada em um lugar só. É o que se costuma chamar de integridade dos dados. O ponto ficou mais sensível com a IA: um modelo treinado sobre dados de má qualidade ou coletados sem base legal reproduz o erro em escala e transforma um problema de qualidade em risco regulatório.

Dados centralizados também rendem produtos melhores, atendimento mais eficiente e menos desperdício. As Agentic CDPs que reúnem unificação de dados, governança e IA em uma única plataforma ajudam nesse ponto, porque eliminam a fragmentação de pipelines de dados (em inglês) que torna a governança mais difícil em stacks de vários fornecedores. Com o programa em pé, a empresa pode democratizar o acesso aos dados (em inglês) sem abrir mão do controle.

Duas leituras complementam este guia: 10 boas práticas de segurança de dados de cliente (em inglês) e como conduzir privacidade e conformidade com uma CDP (em inglês).

FAQ

Como começar um programa de governança de dados?

Comece definindo o dono de cada domínio de dados e aplique os primeiros controles onde o risco é maior: dados de cliente e dados regulados. No Brasil, o passo seguinte é mapear as finalidades de tratamento e a base legal de cada uma, antes de os perfis serem unificados. Só depois estenda os padrões de qualidade, o catálogo e a trilha de auditoria ao resto da empresa.

O que a LGPD exige de um programa de governança de dados?

A LGPD exige base legal registrada para cada finalidade de tratamento, resposta ao titular nos prazos da lei, indicação de um encarregado de dados (DPO) e comunicação de incidente de segurança relevante à ANPD. Na prática, o programa precisa manter o inventário de dados pessoais, o registro de consentimento, o prazo de retenção por categoria e a trilha de auditoria que demonstra quem acessou o quê.

Como governar o uso de dados por agentes de IA?

Governar agentes de IA é definir por escrito que dados cada agente lê, que ações executa, sob que limites e com que registro. Um agente mal configurado viola preferência de consentimento ou expõe dados pessoais mais rápido do que qualquer erro humano. A governança de IA acrescenta ainda a origem rastreável dos dados de treinamento e a documentação da lógica do modelo, exigida quando o titular pede a revisão de uma decisão automatizada.

Qual a diferença entre governança de dados e qualidade de dados?

Governança de dados é o programa que define regras, papéis e responsabilidades sobre os dados; qualidade de dados é um dos componentes desse programa, voltado a exatidão, completude e consistência. A governança decide qual padrão de qualidade vale e quem responde por ele. A gestão da qualidade mede o desvio em relação a esse padrão e corrige a base com validação, limpeza e enriquecimento.

Este artigo também está disponível em: Data Governance: Best Practices for Secure Data Management