Tailored Coding
O AI Risk Management Framework 1.0 do NIST, atualmente em revisão, inclui mecanismos para inventariar sistemas de IA entre os resultados de governança. O Playbook do framework recomenda definir quem mantém o inventário e quais sistemas e atributos devem ser registrados.
A recomendação operacional é usar esse inventário para informar a política. Os dois trabalhos podem avançar em paralelo, mas a política não deve ser tratada como concluída sem evidência dos usos que pretende governar.
O que precisa entrar no inventário
O levantamento não se limita aos projetos formais, além dos sistemas aprovados e das iniciativas conduzidas pela empresa, três rotas merecem atenção.
A primeira é o uso em contas pessoais. Assistentes de escrita, transcrição, tradução ou análise podem receber informações da empresa sem que as condições de retenção, reutilização e acesso estejam sob controle corporativo.
A segunda são os recursos de IA incorporados a ferramentas já contratadas. Eles podem ser ativados pelo fornecedor, incluídos em uma atualização ou habilitados por um administrador sem uma decisão explícita sobre finalidade, dados e responsáveis.
A terceira são as aquisições fora do fluxo habitual de tecnologia e compras. Uma assinatura de baixo valor pode parecer uma despesa operacional simples, embora o serviço passe a processar dados e a influenciar atividades relevantes.
Essas categorias não determinam, por si sós, se o uso é aceitável, tampouco formam uma lista exaustiva. Elas mostram onde finalidade, responsabilidade, contrato e tratamento de dados podem estar fora dos controles existentes.
Cinco perguntas para priorizar o risco
Para cada item, o primeiro levantamento precisa responder:
- Qual problema o uso pretende resolver, quem é responsável por ele e que decisão ou atividade recebe seu resultado?
- Quais dados entram no sistema, incluindo dados pessoais, informações confidenciais e propriedade intelectual?
- Sob qual conta, licença e contrato o uso acontece, e quais regras se aplicam a retenção, reutilização, treinamento, localização e exclusão dos dados?
- Quem revisa a saída antes que ela produza efeito interno ou chegue a um cliente?
- O que acontece se a ferramenta errar, mudar suas condições ou deixar de funcionar amanhã?
As respostas permitem definir prioridades. Um uso que combina dados sensíveis, conta sem controle corporativo, saída sem revisão e dependência operacional exige atenção antes de uma ferramenta restrita a informação pública, com responsável definido e resultado reversível.
O inventário não substitui a política, a avaliação de risco, a análise jurídica e de segurança ou o monitoramento. Ele indica onde cada uma dessas frentes precisa aprofundar o trabalho.
Inventário e política precisam continuar conectados
Com a lista em mãos, cada regra pode responder a uma situação identificada. Usos prioritários recebem tratamento e prazo de correção. Recursos incorporados são mantidos ou desativados por decisões registradas. Novas contratações passam a seguir critérios comuns para dados, responsabilidade, revisão humana, continuidade e saída.
A relação também funciona no sentido inverso. A política define quais usos devem ser registrados, quem atualiza o inventário e quando uma mudança exige nova avaliação. Sem esse ciclo, a lista envelhece e a política volta a descrever um ambiente que já não existe.
O que deve sair do primeiro ciclo de trabalho
Um primeiro ciclo pode combinar entrevistas, análise dos contratos e das faturas disponíveis e observação técnica autorizada das ferramentas em operação. A saída esperada é um inventário inicial, uma priorização de riscos com critérios explícitos, regras ajustadas ao ambiente encontrado e um plano de correção com responsáveis, sequência e esforço estimado.
A duração e o modelo de execução dependem do escopo, do acesso às evidências e da complexidade do ambiente. O trabalho pode continuar com apoio externo ou ser assumido pela equipe escolhida pela empresa.
Se a sua empresa está prestes a aprovar uma política de IA, faça um teste: ela consegue listar os usos que pretende governar, os responsáveis e os dados envolvidos? Se a resposta for não, o próximo passo é produzir essa evidência.
Conheça também a metodologia da nossa avaliação de ameaças e riscos.