Poucas despesas nasceram tão depressa quanto o custo de Inteligência Artificial. Em pouco mais de um ano, a IA deixou de ser experimento de área técnica e passou a consumir orçamento real, mês a mês, em escritórios contábeis, bancas de advocacia, consultorias, agências, contact centers, clínicas e instituições financeiras. O problema é que a linha de custo apareceu no extrato antes de aparecer no orçamento — e, na maioria das organizações de médio porte, ninguém ficou responsável por olhá-la.
A tese deste artigo é simples e incômoda: o gasto com IA já é um problema de governança, não de preço. Enquanto for tratado como conta de fornecedor a ser paga, e não como recurso a ser auditado, seguirá frágil, imprevisível e exposto a desvio.
O preço caiu. A conta subiu.
Entre 2025 e 2026, o preço por token dos principais modelos recuou na ordem de 80%. A intuição diz que contas menores deveriam se seguir. Aconteceu o contrário. Analistas de FinOps classificam o fenômeno diretamente como problema de governança, não de preço: os modelos agênticos — que executam tarefas em várias etapas — consomem de 5 a 30 vezes mais tokens por tarefa, e, sem controle de execução, o gasto se multiplica silenciosamente.78
Quando 85% das organizações erram a própria estimativa por margem larga, o que se mede não é volatilidade de mercado — é ausência de instrumentação. Falta atribuir custo a quem o gera. Sem isso, a fatura é um número agregado, sem dono, sem setor e sem cliente por trás.
Quando o custo sai do controle
Não é risco de laboratório. Três episódios públicos de 2026 desenharam o tamanho do problema:
Troque o acidente de boa fé pelo colaborador insatisfeito, e o mesmo mecanismo produz dano intencional e silencioso.
Controle de recurso de IA deixou de ser refinamento — virou necessidade operacional. A maioria das empresas de serviço de médio porte, porém, ainda não o adotou.
Por que o painel do fornecedor não resolve
A primeira reação costuma ser instalar um dashboard de consumo. É útil, mas insuficiente. Um painel mostra quanto foi gasto; não diz se aquele gasto era legítimo. Não distingue o token aplicado no cliente da carteira daquele queimado num projeto pessoal. Não produz papel de trabalho, não gera evidência oponível a terceiros e não constrói a base legal que transforma monitoramento em prova válida.
É a diferença entre medir e auditar. Medir é função de software. Auditar é aplicar critério, colher evidência rastreável e concluir de forma fundamentada — inclusive reconhecendo quando a evidência não existe, caso em que o resultado é indeterminado, nunca "conforme".
Tratar o token como ativo
A disciplina que aplica os princípios de FinOps ao consumo de tokens já tem nome: TokenOps.9 A virada conceitual é reconhecer que cada interação com um modelo de IA consome tokens, que se convertem em custo financeiro e deixam trilha — log atribuível a um usuário, setor ou cliente. Diferentemente do tempo difuso perdido no passado, o consumo de IA é quantificável em reais e passível de auditoria objetiva.
Dessa objetividade nasce uma consequência clara: a empresa investe em IA para que essa capacidade seja aplicada nos clientes da sua carteira. Todo desvio — uso pessoal, trabalho externo, projeto paralelo — representa apropriação indevida de um ativo produtivo, agora mensurável.
- Custo-para-servir por cliente: quanto de IA, energia e licença cada conta da carteira efetivamente consome.
- Atribuição por setor e usuário: o gasto deixa de ser número agregado e passa a ter dono.
- Detecção de desvio: shadow AI, uso fora de expediente e destino externo identificados por metadado.
Fragilidade financeira e jurídica são o mesmo problema
O descontrole de custo tem um gêmeo jurídico. A Justiça do Trabalho brasileira já trata a base de clientes e o banco de dados da empresa como bem incorpóreo e sigiloso — ativo protegido cuja apropriação indevida gera consequências trabalhistas, civis e criminais. O uso de recursos da empresa para fim próprio ou externo enquadra-se em justa causa (CLT, art. 482).10
Mas o risco tem dois lados. Sob a LGPD, a própria organização responde pela guarda dos dados que trata; sem governança, deixa de ser vítima do desvio e passa a figurar como ré por tratamento inadequado. O monitoramento de ferramentas corporativas é lícito — desde que ancorado em política clara e ciência prévia do colaborador. É essa política que fecha os dois flancos ao mesmo tempo: barra o desvio e legaliza a supervisão.
De diferencial a requisito
A governança de IA saiu da esfera das boas práticas e entrou na de conformidade. A ISO/IEC 42001, primeira norma mundial de sistema de gestão de IA, vem migrando de diferencial para requisito de base: áreas de compras já passam a exigir evidência de gestão formal de IA como condição de contratação.11 As quatro grandes firmas de auditoria validaram o nicho — a KPMG foi uma das primeiras Big 4 nos EUA a obter a certificação ISO/IEC 42001; EY, Deloitte e PwC desenvolvem serviços de AI assurance.11
O movimento confirma a demanda e, ao mesmo tempo, delimita o espaço desatendido: abaixo da grande corporação há uma faixa inteira de empresas de serviço de médio porte que precisa de prontidão, política e auditoria de recurso — com o dado permanecendo em casa.
O que fazer agora
Antes de contratar mais licença ou instalar mais software, três perguntas revelam o tamanho da fragilidade:
- Você sabe quanto de IA cada setor e cada cliente consomem — em reais?
- Existe política de uso aceitável de IA assinada, com ciência do colaborador, que sustente uma consequência válida?
- Se um colaborador desviasse recurso ou dado hoje, você teria evidência rastreável para agir?
Se alguma resposta for "não", o gasto com IA já é um risco não controlado — financeiro e jurídico.
