Governança de IA na hotelaria: como usar IA com segurança, privacidade e controle

Por que governança de IA é diferente de "usar uma ferramenta de IA"

Adotar uma ferramenta de IA é uma decisão pontual: alguém experimenta, gosta, e passa a usar no dia a dia. Governança de IA é outra coisa: é o conjunto de regras que decide quais ferramentas o hotel permite, com quais dados elas podem trabalhar, quem aprova uma ferramenta nova antes que a equipe comece a usá-la com informações reais, e o que acontece quando alguém descobre uma ferramenta não aprovada em uso há meses.

Em muitos hotéis, essas respostas ainda não estão formalizadas. Isso não significa que a IA não esteja em uso, significa apenas que ninguém está olhando para o conjunto.

O problema do Shadow AI na hotelaria

Shadow AI é o equivalente, para inteligência artificial, do que o Shadow IT sempre foi para software: ferramentas usadas pela equipe sem aprovação, sem contrato revisado e sem conhecimento da liderança. Também entra aqui uma ferramenta aprovada usada para uma finalidade que ninguém aprovou. Na hotelaria, isso costuma aparecer de formas discretas e cotidianas:

• Um recepcionista que cola o e-mail de reclamação de um hóspede no ChatGPT ou no Gemini, na versão gratuita, para gerar uma resposta mais educada.
• A equipe de marketing que sobe fotos e dados de campanhas passadas, às vezes com nomes de hóspedes em depoimentos, para uma ferramenta de geração de conteúdo.
• O RH que usa uma ferramenta de IA para triar currículos ou resumir avaliações de desempenho, sem verificar onde esses dados ficam armazenados.
• A gerência que pede a uma IA generativa para analisar uma planilha de ocupação e receita que contém dados comercialmente sensíveis do hotel.

Nenhum desses casos costuma nascer de má-fé. Nasce da ausência de uma política clara e de uma lista de ferramentas aprovadas. Quando o conteúdo inclui dados de hóspedes, contratos ou informações comerciais, o resultado é o mesmo: esses dados passam a ser processados por um fornecedor terceiro sem que o hotel tenha avaliado esse tratamento. Quando alguém usa uma ferramenta não aprovada para melhorar uma frase genérica, sem nada confidencial, há um desvio da política, mas não um incidente. As duas situações pedem respostas diferentes.

Onde a IA já está na operação hoteleira hoje

Governança de IA precisa cobrir mais do que o atendimento ao hóspede. A IA, generativa ou não, já aparece com frequência nestas frentes da hotelaria:

• Atendimento e reservas: chatbots, assistentes de voz e ferramentas de resumo que leem dados de hóspede diretamente do PMS. Veja o guia dedicado sobre IA no atendimento e a LGPD para esse caso específico.
• Marketing e conteúdo: geração de textos, imagens e campanhas, muitas vezes usando fotos reais de hóspedes ou dados de campanhas anteriores como referência.
• Revenue management e precificação: ferramentas que analisam dados históricos de ocupação e concorrência para sugerir tarifas.
• RH e recrutamento: triagem de currículos, geração de descrições de vaga e resumo de avaliações internas.
• Análise de dados e BI: assistentes como o Copilot, que resumem relatórios financeiros ou operacionais, que podem acabar recebendo planilhas completas em vez de dados já filtrados.
• Segurança e TI: ferramentas de IA usadas pela própria equipe técnica para triagem de alertas, o que também precisa de avaliação, e não apenas o que a operação hoteleira usa.

Nem toda adoção de IA começa com uma contratação nova. PMS, CRM, plataformas de RH e ferramentas corporativas já contratadas podem ganhar recursos de IA em uma atualização. Isso pode trazer novas finalidades, novos destinatários dos dados ou novos riscos sem que o hotel tenha decidido nada. Por isso, o inventário deve registrar também quais fornecedores existentes passaram a usar IA sobre os dados do hotel.

O que colocar em uma política de uso de IA

Uma política de IA eficaz para um hotel de médio porte não precisa ser um documento jurídico extenso. Precisa ser curta, específica e conhecida pela equipe. Os elementos que fazem diferença:

Lista de ferramentas aprovadas: quais ferramentas de IA a equipe pode usar, e para quais finalidades cada uma foi aprovada.

Dados que nunca podem ser inseridos em uma ferramenta de IA não aprovada: documentos de identidade, dados de pagamento, dados sensíveis nos termos da LGPD, contratos com fornecedores e informações financeiras do hotel.

Processo de aprovação de novas ferramentas: a quem a equipe deve pedir aprovação antes de começar a usar uma ferramenta de IA nova no trabalho, mesmo uma versão gratuita.

Supervisão humana: quais usos exigem que uma pessoa revise o resultado antes de ele chegar a um hóspede, a um candidato ou a outro sistema.

Responsabilidade definida: quem no hotel tem autoridade para aprovar, vetar ou desativar o uso de uma ferramenta de IA.

Consequência do não cumprimento: o que acontece quando uma ferramenta não aprovada é encontrada em uso, tratado como um desvio de processo a corrigir, não como uma caça às bruxas que desincentiva a equipe a ser transparente. A resposta depende do que foi inserido na ferramenta (veja o que fazer quando aparecer Shadow AI).

Revisão periódica: a lista de ferramentas aprovadas e as regras de uso devem ser revistas regularmente e sempre que um fornecedor mudar, uma ferramenta ganhar novos recursos de IA ou o tratamento de dados mudar.

Aprovar a ferramenta não aprova qualquer uso

Uma mesma ferramenta pode servir a usos com riscos muito diferentes. Aprovar o Copilot para resumir atas de reuniões internas não autoriza usá-lo para analisar reclamações de hóspedes identificados ou fichas de funcionários. Por isso, a aprovação vale para uma combinação de itens:

• a ferramenta ou o sistema;
• a finalidade de negócio;
• as categorias de dados envolvidas;
• as ações e integrações permitidas (só consultar, sugerir ou executar);
• o responsável de negócio pelo uso;
• a supervisão humana exigida;
• as mudanças que obrigam a uma nova avaliação.

Na prática, o inventário registra usos, não só ferramentas. Um exemplo de como ele pode ficar:

As decisões da tabela são ilustrativas. Cada hotel precisa avaliar a configuração real da ferramenta e o contrato com o fornecedor.

Um registro de aprovação concluído também ajuda a equipe a entender o processo. Imagine um hotel que quer ativar o assistente de IA que já vem na assinatura do PMS:

O exemplo é hipotético, não um registro de cliente.

Como classificar o risco de cada uso

O tipo de dado é o primeiro filtro, mas não diz tudo. Uma ferramenta que não usa nenhum dado pessoal pode causar um estrago grande se publicar preços errados ou fizer compras sem autorização. Quatro perguntas dão uma triagem melhor:

Com as respostas, o hotel classifica o uso como risco baixo, médio ou alto e define o caminho de aprovação. Um uso de risco baixo pode ser aprovado pelo responsável de negócio dentro da política; um de risco alto passa por todos os revisores e começa com um piloto. Essa é uma triagem operacional, não uma classificação legal pelo PL 2338 ou pelo AI Act europeu. Quem quiser um referencial mais detalhado pode consultar o AI Risk Management Framework do NIST, dos Estados Unidos, que organiza a gestão de risco de IA em quatro funções: governar, mapear, medir e gerenciar. É um guia voluntário, não uma norma brasileira.

Usos que afetam pessoas pedem análise reforçada. Uma ferramenta que classifica candidatos, recomenda a eliminação de alguém ou avalia o desempenho de funcionários pode afetar oportunidades de emprego e direitos. Quando a decisão é tomada só pelo tratamento automatizado e afeta os interesses do titular, inclusive o seu perfil profissional, o art. 20 da LGPD dá a ele o direito de pedir a revisão e de receber informações sobre os critérios usados. Grupos com operações na União Europeia devem verificar também se o uso entra no AI Act, que inclui usos de IA em recrutamento e gestão de trabalhadores na lista de alto risco (Anexo III), conforme o papel da empresa e a classificação do sistema.

Avaliação de risco de fornecedores de IA

Antes de aprovar qualquer ferramenta de IA para uso com dados reais do hotel, vale aplicar o mesmo rigor que se aplicaria à contratação de um novo PMS ou gateway de pagamento. Os pontos que mais importam:

• Onde os dados são processados e armazenados, quem pode acessá-los e de onde, se há transferência internacional e qual mecanismo previsto pela LGPD sustenta essa transferência. A localização do servidor não basta: o fluxo real dos dados precisa ser avaliado, conforme o regulamento da ANPD.
• Se o fornecedor usa os dados do cliente para treinar modelos de uso geral, e se isso pode ser contratualmente desativado.
• Se existe cláusula de notificação de incidente de segurança em prazo definido.
• Qual o papel do fornecedor no tratamento pela LGPD. Ele não vira operador só porque o contrato diz isso: o papel depende de quem define as finalidades e os elementos essenciais do tratamento, como explica o guia da ANPD sobre agentes de tratamento. Quando ele atua como operador, o contrato deve definir com clareza suas obrigações e responsabilidades. O mesmo fornecedor pode ter papéis diferentes em atividades diferentes: operador no serviço que presta ao hotel e controlador quando usa os dados para melhorar o próprio produto.
• Se existe um caminho claro para exclusão dos dados ao final do contrato ou mediante solicitação.
• Acesso e permissões: a IA herda as permissões do usuário que a usa? O acesso pode ser limitado a unidades, departamentos e registros específicos? Ela só consulta ou também executa transações?
• Auditoria: o hotel consegue saber quais dados foram acessados, quais ações foram tentadas ou concluídas e quem aprovou uma decisão relevante?
• Mudança e saída: o hotel consegue testar mudanças de modelo, desligar um recurso com problema, recuperar os seus dados e encerrar o serviço sem perder acesso a registros de que a operação depende?

Fornecedores que não respondem a essas perguntas com clareza deveriam ficar fora da lista de ferramentas aprovadas até que as dúvidas sejam resolvidas, mesmo quando a ferramenta em si é boa.

Depois da aprovação: monitorar o uso

Revisar o contrato e a documentação de tempos em tempos não mostra se a ferramenta continua funcionando como deveria. Para isso, o hotel precisa acompanhar o comportamento real:

• respostas erradas ou prejudiciais;
• acessos não autorizados e ações tentadas fora das permissões;
• reclamações de hóspedes e casos encaminhados para uma pessoa;
• mudanças relevantes de modelo, integrações ou permissões;
• incidentes, quase incidentes e as correções feitas.

O que medir depende do uso. Em um chatbot de atendimento, faz sentido acompanhar respostas erradas e a taxa de encaminhamento para a equipe; em uma IA de revenue management, recomendações fora do padrão e quantas vezes a equipe precisou corrigi-las. Defina também, antes de aprovar, em que condições a ferramenta é suspensa.

O que fazer quando aparecer Shadow AI

Encontrar uma ferramenta não aprovada em uso não pede sempre a mesma resposta. A reação depende do que foi parar nela:

A política deve dizer como a equipe comunica um envio acidental, e deixar claro que quem comunica rápido não é punido por isso. Um envio escondido por medo é descoberto mais tarde, quando já não dá para conter. Se o caso virar incidente, os primeiros passos estão no guia sobre vazamento de dados em hotel.

Accountability: quem toca a governança de IA no dia a dia

Um hotel de médio porte com poucos usos de IA normalmente não precisa de um cargo dedicado ao tema. Precisa que a coordenação esteja claramente atribuída a alguém que já responde por TI, segurança da informação ou conformidade, internamente ou por meio de um parceiro externo, com acesso direto à direção. Um erro comum é deixar cada departamento decidir sozinho: é exatamente essa fragmentação que cria o Shadow AI.

Coordenar não é aprovar tudo sozinho. Um software de recrutamento com IA envolve o RH e o jurídico; um chatbot para hóspedes envolve operações, reservas, TI e privacidade; uma ferramenta de revenue management envolve a direção comercial. Uma divisão simples de papéis:

• Responsável de negócio: responde pela finalidade, pelos resultados e pelo uso aceitável.
• Revisor técnico e de segurança: avalia integração, acessos, segurança e risco operacional.
• Revisor de privacidade e jurídico: avalia as obrigações legais, quando houver.
• Aprovador final: aceita o risco que sobra, dentro da alçada que recebeu da direção.

Em um hotel pequeno, a mesma pessoa pode acumular mais de um papel. As decisões continuam precisando ser tomadas e registradas.

Checklist para começar

1. Levante o que já está em uso: pergunte à equipe, sem punição, quais ferramentas de IA elas usam hoje no trabalho.
2. Registre cada uso, não só a ferramenta, e classifique o risco pelos dados, pela autonomia, pelo impacto e pela exposição.
3. Escreva uma política curta com a lista de ferramentas aprovadas e o que nunca deve ser inserido nelas.
4. Defina quem revisa e quem aprova cada tipo de uso, e comunique isso a todos os departamentos.
5. Revise os contratos das ferramentas de IA já em uso com o mesmo critério aplicado a qualquer outro fornecedor de tecnologia.
6. Defina como a equipe comunica um envio acidental de dados a uma ferramenta de IA.
7. Acompanhe o comportamento das ferramentas aprovadas e revise o inventário e a política quando uma ferramenta mudar de fornecedor, ganhar novos recursos de IA ou passar a tratar uma nova categoria de dados.

Próximos passos

Governança de IA significa que o hotel sabe quais ferramentas de IA estão em uso e pode responder por elas perante a ANPD, os hóspedes e a própria diretoria, se necessário. A mesma disciplina que já se aplica a fornecedores de PMS, POS e pagamento precisa se aplicar às ferramentas de IA que a equipe já está usando hoje. E o tema vai ganhar peso legal: veja o que o PL 2338, o Marco Legal da IA, muda para hotéis.

Nossa equipe pode mapear as ferramentas de IA já em uso no seu hotel, redigir uma política de uso adequada ao porte da operação e revisar contratos de fornecedores de IA antes da renovação. Veja como funciona o serviço de governança de IA ou fale com a nossa equipe.

Fontes

• Lei nº 13.709/2018 (LGPD), art. 20, planalto.gov.br
• ANPD, Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado (versão 2.0, 2022), gov.br/anpd
• ANPD, Resolução CD/ANPD nº 19, Regulamento de Transferência Internacional de Dados (agosto de 2024), in.gov.br
• NIST, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1 (janeiro de 2023, em inglês), nist.gov
• União Europeia, Regulamento (UE) 2024/1689 (AI Act), Anexo III, eur-lex.europa.eu