Esta página cobre as etapas 7 a 10 do nosso framework de governança de IA. Os controles de proteção de dados e de segurança em que essas etapas se apoiam estão em proteção de dados, supervisão humana e controles de segurança para IA.
Etapa 7: Diligência devida de fornecedores
Toda ferramenta de IA utilizada pela sua organização envolve um fornecedor terceirizado que processa seus dados. As perguntas de diligência devida abaixo se aplicam a qualquer nova ferramenta de IA antes da aprovação e devem ser revisitadas quando um fornecedor fizer alterações significativas em seus termos ou produto.
| Pergunta | Por que isso importa |
|---|---|
| O fornecedor treina seus modelos com dados de clientes por padrão? | Muitas ferramentas gratuitas fazem isso. Planos empresariais normalmente oferecem uma opção de exclusão. Confirme que ela está desativada e obtenha isso por escrito. |
| Onde os dados são processados e armazenados? | Determina qual mecanismo de transferência você precisa para conformidade com a LGPD. |
| Quem são os suboperadores? | A infraestrutura de IA do seu fornecedor pode funcionar na AWS, Azure ou Google Cloud em outra jurisdição. Verifique a lista de suboperadores no acordo de tratamento de dados. |
| O que acontece com os dados quando você cancela? | Confirme os prazos de exclusão. Alguns fornecedores retêm dados para fins de melhoria de modelos após o término do contrato, a menos que você solicite explicitamente a exclusão. |
| Quais certificações de segurança o fornecedor possui? | ISO 27001 e SOC 2 Tipo II fornecem uma garantia útil para ferramentas de IA que processam dados sensíveis, mas a certificação deve ser avaliada juntamente com os controles de segurança do fornecedor, compromissos contratuais, práticas de tratamento de dados e garantias independentes. Solicite o certificado atual quando aplicável. |
| Qual é o período de retenção de dados para prompts e resultados? | Algumas plataformas mantêm o histórico de conversas por períodos prolongados. Isso é relevante para sua política de retenção de dados e para responder a solicitações de acesso de titulares. |
| Como o fornecedor classifica seu sistema segundo o Regulamento Europeu de IA? | Pergunte se o fornecedor realizou uma avaliação de conformidade e qual nível de risco atribui ao seu sistema. |
Adicione o acordo de tratamento de dados do fornecedor e um resumo das respostas a essas perguntas ao registro de ferramentas de IA. Quando um fornecedor atualizar seus termos, seu registro indicará quais ferramentas precisam ser reavaliadas.
Requisitos de aquisição de IA
Inclua as perguntas de diligência devida acima no próprio processo de aquisição, não como uma verificação separada feita depois que o contrato já foi assinado. Para toda nova ferramenta de IA de risco médio ou alto, os seguintes pontos devem constar como padrão nas condições contratuais ou no aditivo:
- Tratamento de dados e treinamento: confirmação explícita de que seus dados não serão usados para treinar o modelo, a menos que você opte por isso
- Segurança e privacidade: padrões mínimos de segurança e um acordo de tratamento de dados conforme a LGPD
- Retenção e exclusão de dados: prazos de retenção definidos para prompts e resultados, e um prazo de exclusão após o término do contrato
- Localização dos dados e suboperadores: onde os dados são tratados e quem são os suboperadores, com notificação em caso de mudanças
- Notificação de incidentes: um prazo contratual dentro do qual o fornecedor deve notificar um incidente de segurança ou vazamento de dados
- Auditoria e cooperação com a fiscalização: o direito de solicitar evidências dos controles de segurança e governança
- Mudanças no modelo ou no serviço: notificação prévia em caso de alterações relevantes que possam mudar o perfil de risco da ferramenta
- Saída e portabilidade: como você recupera e exclui seus dados ao encerrar o contrato
Registre esses pontos como condições padrão para aquisição de IA, de modo que todo novo contrato seja verificado em relação a eles antes de ser assinado, em vez de tentar corrigi-los depois.
Etapa 8: Gestão de incidentes de IA
A governança precisa abranger o que acontece quando algo dá errado. Incidentes de IA não são iguais a incidentes gerais de TI, e seu processo existente de resposta a incidentes pode não contemplá-los. Defina o que constitui um incidente de IA e garanta que o caminho de escalonamento chegue ao responsável pela governança de IA e, quando pertinente, ao DPO.
O que constitui um incidente de IA
- Dados confidenciais ou pessoais inseridos em uma ferramenta de IA não autorizada ou não aprovada
- Conteúdo gerado por IA enviado a um cliente ou publicado externamente sem a revisão adequada
- Resultado discriminatório ou prejudicial gerado por IA que afete um indivíduo
- Uma decisão automatizada incorreta com efeito significativo sobre um indivíduo
- Injeção de prompt causando exposição de dados ou comportamento não intencional da IA
- Uma violação de segurança em um fornecedor de IA que afete seus dados
- Uso proibido de IA por um funcionário
- Conteúdo gerado por IA causando danos jurídicos, regulatórios ou reputacionais
- Comportamento inesperado do modelo após uma atualização do fornecedor
Processo de resposta
Incidentes de IA que envolvem uma violação de dados pessoais estão diretamente ligados à sua capacidade mais ampla de resposta a incidentes. Se sua organização não possui um processo de resposta a incidentes testado, um incidente de IA é um péssimo momento para descobrir isso.
Etapa 9: aplicabilidade do Regulamento Europeu de IA
O Brasil não é membro da UE, portanto o Regulamento Europeu de IA não se aplica diretamente. No entanto, ele abrange qualquer organização que coloque sistemas de IA no mercado da UE ou implemente IA que afete pessoas na UE, independentemente de onde a organização esteja sediada. Uma empresa brasileira com clientes europeus, operações na Europa ou funcionários na UE pode estar no escopo. Verifique se suas ferramentas de IA atingem usuários na UE antes de concluir que o Regulamento não se aplica.
O Regulamento Europeu de IA utiliza um framework de riscos de quatro níveis: risco inaceitável (proibido), alto risco, risco limitado (obrigações de transparência) e risco mínimo. As disposições mais relevantes na prática são:
IA proibida
Exemplos de práticas de IA proibidas desde fevereiro de 2025 (esta não é uma lista exaustiva das proibições do Artigo 5):
- Sistemas de IA que utilizam técnicas subliminares para manipular o comportamento de formas que causem danos
- Sistemas de classificação social utilizados por autoridades públicas
- Identificação biométrica remota em tempo real em espaços públicos (com exceções limitadas para aplicação da lei)
- IA que explora vulnerabilidades relacionadas à idade, deficiência ou situação social para distorcer o comportamento
IA de alto risco
De acordo com o cronograma de implementação revisado, as regras para sistemas de IA de alto risco abrangidos pelo Anexo III aplicam-se a partir de 2 de dezembro de 2027. Determinados sistemas de alto risco incorporados a produtos regulamentados aplicam-se a partir de 2 de agosto de 2028. As categorias de alto risco incluem IA utilizada em recrutamento e decisões de emprego, avaliação educacional, pontuação de crédito, avaliação de risco de seguros, gestão de infraestrutura crítica e aplicação da lei. Se sua organização implementa IA em qualquer uma dessas áreas e possui operações na UE ou afeta indivíduos na UE, comece agora a preparação para conformidade. O guia de conformidade com o Regulamento Europeu de IA aborda toda a estrutura de níveis de risco e o que cada um exige.
Modelos de IA de uso geral (GPAI)
As regras para modelos de IA de uso geral estão em vigor desde agosto de 2025. Elas afetam principalmente desenvolvedores e fornecedores de modelos, e não organizações que utilizam ferramentas de IA comercialmente, mas organizações que ajustam ou adaptam modelos fundacionais para seus próprios produtos devem buscar orientação específica.
Etapa 10: ISO 42001 como sistema de gestão
A ISO/IEC 42001:2023 é a norma internacional para sistemas de gestão de IA. Ela estabelece requisitos para como uma organização estabelece, implementa, mantém e melhora continuamente sua gestão de atividades relacionadas à IA. Se você já possui a ISO 27001, muitos dos elementos do sistema de gestão podem ser transferidos diretamente.
A certificação ISO 42001 faz mais sentido para:
- Organizações que desenvolvem ou implementam sistemas de IA em escala
- Entidades reguladas nas quais auditores ou clientes solicitam evidências formais de governança de IA
- Organizações com obrigações relacionadas a IA de alto risco segundo o Regulamento Europeu de IA, nas quais a ISO 42001 pode contribuir para uma avaliação de conformidade
- Empresas nas quais a governança de IA é um diferencial comercial em seu mercado
Para a maioria das PMEs que utilizam ferramentas de IA comercialmente em vez de desenvolvê-las, a certificação formal ISO 42001 não é proporcional. Implementar seus controles de governança, incluindo uma política de IA, um processo de avaliação de riscos, requisitos de supervisão humana e um ciclo de revisão, oferece a substância necessária sem o custo e a complexidade da certificação. Nosso guia ISO 42001 aborda em detalhes o que a norma exige.