O mínimo viável é um sistema de decisões
Políticas extensas não criam governança se a organização não sabe onde IA está sendo usada. O primeiro ativo é um inventário que conecte cada caso a uma finalidade, um responsável, usuários, dados, fornecedor ou modelo, integrações, nível de autonomia e pessoas afetadas.
A partir dessa visibilidade, a empresa consegue definir caminhos: uso permitido com controles básicos, revisão especializada, teste restrito, proibição ou encerramento. O sistema mínimo é aquele que produz decisões rastreáveis e pode amadurecer com o portfólio.
Classifique pelo contexto, não pela etiqueta “IA”
Um rascunho interno, uma recomendação que orienta uma pessoa e uma ação automática em sistema externo têm perfis diferentes. Sensibilidade de dados, impacto sobre pessoas, volume, autonomia, reversibilidade, obrigação regulatória e capacidade de supervisão ajudam a determinar o nível.
A classificação deve ser revisável. Um protótipo de baixo alcance pode mudar de classe ao ganhar usuários, dados, integração ou autoridade para agir. Gatilhos evitam que a aprovação inicial seja tratada como licença permanente.
- Finalidade e consequência de uma saída incorreta.
- Tipos de dados, origem, retenção e compartilhamento.
- Quem é afetado e se existe possibilidade de contestação.
- Autonomia, permissões e reversibilidade das ações.
- Escala, exposição externa e exigências setoriais.
Controles em camadas
Controles podem incluir restrição de dados, avaliação de qualidade, filtros, autenticação, menor privilégio, aprovação humana, registro de ações, limites de volume, testes adversariais, explicação ao usuário e plano de incidente. Nenhum controle isolado cobre todos os modos de falha.
A escolha precisa considerar eficácia e custo operacional. Um controle que ninguém consegue executar tende a virar formalidade. Sempre associe controle, responsável, evidência e frequência de revisão.
Governar durante todo o ciclo de vida
Risco deve ser mapeado antes do teste, medido durante avaliação e uso, administrado em produção e revisto quando contexto muda. Incidentes e quase incidentes alimentam novos exemplos, limites e decisões.
Também é preciso saber retirar. Encerrar acesso, preservar registros necessários, comunicar usuários e tratar dependências fazem parte do ciclo. Sistemas sem processo de saída acumulam risco e custo invisíveis.
Decisão responsável
Limitações e cuidados de aplicação
- Este artigo não constitui aconselhamento jurídico e não determina a classificação regulatória de um caso concreto.
- O NIST AI RMF é voluntário e não substitui leis, regulações ou normas setoriais aplicáveis.
- Risco residual nunca é zero; a decisão precisa registrar o que permanece e quem o aceita.
Perguntas frequentes
O que costuma exigir uma resposta direta.
- Governança precisa vir antes da experimentação?
- Controles básicos e fronteiras devem vir antes. A profundidade pode ser proporcional: experiências com dados não sensíveis, baixo impacto e sem ação externa podem ter caminho mais leve.
- Quem deve ser responsável pela governança?
- É uma responsabilidade distribuída com autoridade definida. Negócio responde por finalidade e resultado; tecnologia, dados, segurança, jurídico e compliance respondem por dimensões específicas.
- Uma lista de ferramentas aprovadas resolve?
- Não. A mesma ferramenta pode ser adequada para um uso e inadequada para outro. Governança precisa olhar caso de uso, dado, impacto, autonomia e configuração.
Leitura verificável
Fontes e referências primárias
A análise também traduz o repertório metodológico e os materiais operacionais da ROIcomIA. As fontes externas abaixo ampliam conceitos de risco, agentes, adoção ou governança quando aplicável.