Esta página cobre as etapas 1 a 3 do nosso framework de governança de IA, que também define quem deve ser o responsável pela governança, um plano para os primeiros 90 dias e uma versão mínima para PMEs. As etapas 4 a 6 estão em proteção de dados, supervisão humana e controles de segurança para IA.
Etapa 1: Mapeie o que você já está usando
Antes de elaborar uma política, descubra quais ferramentas de IA estão sendo utilizadas. A maioria das organizações encontra mais ferramentas do que esperava quando faz uma análise adequada.
Quatro categorias a verificar
Converse com os responsáveis pelos departamentos e faça uma varredura de descoberta em seu ambiente SaaS. O guia sobre riscos de Shadow AI aborda o processo de descoberta em mais detalhes. O inventário se torna sua linha de base de controle: toda ferramenta listada deve ter um registro de governança ou receber um antes de permanecer aprovada.
Registro de ferramentas de IA: campos mínimos
Registre cada ferramenta de IA em um registro central. Esse se torna o registro atualizado que o responsável pela governança de IA mantém e que seus auditores ou reguladores podem consultar.
| Campo | Exemplo |
|---|---|
| Ferramenta de IA | Microsoft 365 Copilot |
| Responsável pelo negócio | Diretor de Marketing |
| Finalidade | Redação de conteúdo, resumo de e-mails |
| Dados processados | Dados empresariais internos, e-mails de funcionários |
| Dados pessoais envolvidos | Sim |
| Fornecedor | Microsoft |
| Local de tratamento / hospedagem dos dados | UE |
| Acordo de tratamento de dados em vigor | Sim, via Acordo de Tratamento de Dados da Microsoft |
| Nível de risco | Médio |
| Avaliação de impacto necessária | Sim, concluída em 24 de agosto de 2026 |
| Avaliação do Artigo 20 | Não aplicável (uso somente consultivo, com revisão humana obrigatória) |
| Usuários aprovados | Marketing, Vendas (somente usuários licenciados) |
| Data de aprovação | 24 de agosto de 2026 |
| Próxima data de revisão | 24 de fevereiro de 2027 |
Mantenha o registro em um local ao qual o responsável pela governança de IA e o DPO possam acessar e atualizar. Um documento compartilhado ou uma linha no seu registro de riscos existente funciona. O formato importa menos do que a disciplina de mantê-lo atualizado.
Mapeie o fluxo de dados, não apenas a ferramenta
Um registro que só anota o nome da ferramenta e do fornecedor deixa escapar onde o risco realmente está. Duas organizações que usam a mesma ferramenta de IA podem ter perfis de risco totalmente diferentes, dependendo de quais dados entram nela, quais sistemas externos a ferramenta pode acionar e quem usa o resultado no final. Para toda ferramenta de risco médio ou alto, mapeie a cadeia completa:
| Elo | O que observar |
|---|---|
| Usuário | Quem insere dados ou dá instruções à ferramenta, e com quais permissões? |
| Aplicação de IA | A interface ou o produto com o qual o usuário interage: um chatbot, uma integração do Copilot, uma ferramenta desenvolvida internamente. |
| Modelo | Qual modelo subjacente processa a entrada, e junto a qual fornecedor? |
| Dados | Quais dados chegam ao modelo: apenas o prompt, ou também documentos recuperados, registros de CRM ou histórico de conversas anteriores? |
| Sistemas externos | A IA aciona outros sistemas ou APIs para buscar informações ou executar ações? |
| Resultado | Para onde vai o resultado: de volta ao usuário, diretamente a um cliente ou a outro sistema? |
| Decisão ou ação humana | Um humano revisa o resultado antes que ele produza efeito, ou o sistema age de forma autônoma a partir daí? |
Esse mapa revela onde dados sensíveis saem de um sistema que você não controla, onde um sistema de IA pode agir por conta própria sem intervenção humana e onde a due diligence de fornecedores realmente precisa se concentrar. Para uma ferramenta simples e exclusivamente interna, esse é um exercício de cinco minutos. Para uma ferramenta que processa dados de clientes e está conectada a sistemas externos, é a base da sua classificação de risco.
Etapa 2: Classifique as ferramentas por risco
Nem toda ferramenta de IA precisa do mesmo nível de controle. Um corretor gramatical e um sistema de triagem de currículos são ambos IA, mas os requisitos de governança de cada um são completamente diferentes. O framework de classificação abaixo utiliza dois eixos: quais dados a ferramenta processa e quais decisões ela influencia.
Dimensões adicionais de classificação
Além dos três níveis acima, quatro dimensões adicionais refinam a classificação e identificam onde são necessários controles reforçados:
- Nível de autonomia: a IA é puramente assistiva (elabora texto para revisão humana), consultiva (recomenda uma ação), semiautomatizada (exige aprovação humana para prosseguir) ou totalmente automatizada (age sem intervenção humana)? Trate como de alto risco por padrão qualquer sistema capaz de executar uma ação por conta própria, enviar um e-mail, atualizar um registro, chamar outro sistema ou API, independentemente de quão sensíveis sejam os dados subjacentes: o risco de um sistema agêntico está no que ele pode fazer, não apenas no que ele pode ver.
- Exposição externa: a IA processa ou produz resultados que são enviados a clientes, parceiros ou ao público, ou permanece totalmente interna?
- Exposição regulatória: o caso de uso está sujeito a um regime específico do setor: ANPD, BACEN, ANVISA, LGPD ou Regulamento Europeu de IA?
- Sensibilidade dos dados: dados públicos e não pessoais, dados empresariais internos, dados pessoais, material confidencial ou protegido por sigilo jurídico, ou dados de categorias especiais, como informações de saúde ou biométricas?
Uma ferramenta classificada como risco médio no nível principal, mas que também envolve automação total, resultados voltados para clientes e dados de categorias especiais, deve ser tratada como de alto risco na prática. Use essas dimensões para validar a classificação principal, em vez de substituí-la mecanicamente.
Etapa 3: Elabore uma política de uso aceitável de IA
Uma política de uso aceitável de IA estabelece as regras que os funcionários devem seguir ao utilizar ferramentas de IA no trabalho. Ela não precisa ser longa. Uma política que os funcionários conseguem ler em cinco minutos e aplicar sem pedir esclarecimentos é mais valiosa do que um documento abrangente que ninguém lê.
O que incluir
Designe um responsável nomeado pela política e defina uma data de revisão. Dada a velocidade com que os recursos de IA e os termos dos fornecedores mudam, um ciclo de revisão de seis meses é mais útil do que uma revisão anual.
Os funcionários só podem usar ferramentas de IA aprovadas pela organização. Informações confidenciais, pessoais, de clientes, financeiras, jurídicas ou de outra forma restritas não devem ser inseridas em nenhum sistema de IA, a menos que a ferramenta e o caso de uso tenham sido explicitamente aprovados. O conteúdo gerado por IA deve ser revisado por um funcionário devidamente autorizado antes de ser utilizado em decisões de impacto ou comunicações externas.