O essencial
- A governança de IA é o sistema de políticas, funções, processos e controlos com que uma organização decide como concebe, implementa, supervisiona e desativa os seus sistemas de IA ao longo do ciclo de vida.
- Não se confunde nem com a gestão de risco, que é apenas um dos seus processos internos, nem com a conformidade, que é a obrigação externa que a governança procura satisfazer.
- Três quadros de referência completam-se: o regulamento europeu da IA fixa as obrigações legais, a norma ISO/IEC 42001 faz funcionar o sistema de gestão e o NIST AI RMF estrutura o trabalho sobre o risco.
- Uma governança madura comporta-se como um sistema operativo: cada princípio resolve-se num responsável designado, num controlo concreto e numa prova que um auditor pode examinar.
- O que está em jogo é agora operacional. Ao abrigo do regulamento europeu, as coimas mais graves atingem 35 000 000 EUR ou 7 % do volume de negócios anual mundial.
O que é a governança de IA?
A governança de IA reúne os direitos de decisão, as políticas, os processos e os controlos com que uma organização orienta a conceção, a implementação, a supervisão e a desativação dos seus sistemas de inteligência artificial. Responde a três perguntas simples: quem pode decidir o que um sistema faz, como essas decisões são documentadas e como a organização prova, depois, que as regras foram cumpridas.
É esta última condição que é decisiva. Durante uma década, a governança de IA resumiu-se a uma declaração de valores (equidade, transparência, responsabilidade) registada numa política e arquivada. A disciplina passou da ética voluntária a uma infraestrutura operacional obrigatória, porque as autoridades de supervisão e os conselhos de administração esperam agora provas em vez de intenções. Um programa incapaz de produzir registos está, na prática, sem governança.
Convém separar três noções muitas vezes confundidas. A governança é a camada da decisão e da responsabilidade. A gestão de risco da IA é um processo que vive dentro da governança: identificar, avaliar e tratar os riscos de um dado sistema. A conformidade é o requisito externo, fixado por uma lei ou norma, que a governança pretende satisfazer. Só a governança liga a obrigação, a decisão e a prova. Para as organizações que se interrogam por onde começar, a nossa apresentação da plataforma AI Sigil situa a governança como a camada que liga estes elementos.
Daí uma definição operacional: a governança de IA é o modelo que transforma princípios abstratos em práticas repetíveis e auditáveis. O resto deste guia explica como esse modelo se constrói.
Porque é que a governança de IA importa agora
Outrora o argumento era reputacional. Hoje é jurídico e financeiro. O regulamento europeu introduziu coimas graduadas que inscrevem a não conformidade no balanço: até 35 000 000 EUR ou 7 % do volume de negócios mundial por uma prática proibida, com escalões inferiores mas igualmente relevantes para outras infrações (Comissão Europeia, regulamento da IA). Quando o risco se mede numa percentagem das receitas globais, a governança deixa de ser um grupo de trabalho e torna-se uma responsabilidade do conselho.
A superfície de risco também se alargou. Um sistema de IA moderno raramente é um único modelo. É uma cadeia de dados de treino, modelos de base de terceiros, afinações, instruções, fontes de recuperação e ações a jusante, e cada elo pode introduzir enviesamento, divulgar dados, derivar ou comportar-se de forma imprevisível. Os modelos de uso geral e os de fronteira acrescentam outra camada, porque a organização que os implementa muitas vezes não os construiu. A governança mantém responsável essa cadeia quando nenhuma equipa a controla por inteiro.
Por fim, as expectativas sobre a responsabilidade tornaram-se mais exigentes. Afirmar que um sistema é governado já não basta; auditores e supervisores procuram responsáveis designados para a classificação do risco, os dados de entrada, a monitorização e a resposta a incidentes. Em Portugal, as orientações da CNPD apontam no mesmo sentido. Uma responsabilidade difusa lê-se como ausência de responsabilidade. A nossa biblioteca de análises setoriais acompanha esta evolução nos setores regulados.
Os três quadros de referência e a sua articulação
A confusão nasce muitas vezes da ideia de ter de escolher entre o regulamento europeu, a ISO/IEC 42001 e o NIST AI RMF. É um equívoco. Atuam em níveis distintos e um programa sério emprega os três. A nossa biblioteca de análises mostra como se encaixam.
O regulamento europeu: a camada das obrigações
O regulamento da IA é uma lei e está estruturado por risco. Ordena os sistemas em quatro classes: risco inaceitável (proibido), risco elevado (fortemente regulado), risco limitado (obrigações de transparência) e risco mínimo (praticamente livre). Os sistemas de risco elevado suportam a maior parte das obrigações: sistema de gestão de risco, governança de dados, documentação técnica, registo, supervisão humana, exatidão e cibersegurança, e monitorização após a comercialização, tudo validado por uma avaliação da conformidade (Comissão Europeia, regulamento da IA). O regulamento define o que é preciso fazer.
ISO/IEC 42001: a camada do sistema de gestão
A ISO/IEC 42001:2023 é a primeira norma internacional para um sistema de gestão de IA (AIMS). Precisa como uma organização estabelece, implementa, mantém e melhora continuamente a sua forma de governar a IA: inventário, avaliação de risco, implementação de controlos, objetivos e avaliação do desempenho (ISO). Onde a lei enuncia as obrigações, a ISO/IEC 42001 fornece a mecânica de gestão repetível que o mantém em cumprimento mês após mês.
NIST AI RMF: a camada operacional do risco
O quadro de gestão de risco do NIST é voluntário e independente do método. Estrutura o trabalho real sobre o risco através de quatro funções: Govern, Map, Measure, Manage (NIST). Govern fixa a cultura e a responsabilidade; Map situa cada sistema no contexto; Measure avalia o seu comportamento; Manage atua sobre os resultados. O NIST é o ciclo que se faz girar dentro do sistema de gestão.
Lidos em conjunto: o regulamento diz o que deve, a ISO/IEC 42001 faz funcionar o sistema que o faz entregar e o NIST organiza a análise de risco por baixo. A Europa prepara ainda normas harmonizadas (os projetos CEN-CENELEC conhecidos como prEN 18228, prEN 18282 e prEN 18229) destinadas a traduzir o regulamento em especificações técnicas verificáveis, ainda em fase de projeto.
A governança como sistema operativo: do inventário à prova
A maioria dos programas estagna porque para nos princípios. Um modelo operacional não o faz. Faz girar uma cadeia que transforma cada obrigação em algo examinável, e essa cadeia tem quatro elos.
Inventariar cada sistema e as suas partes
Não se governa o que não se registou. O primeiro elo é um inventário vivo de cada sistema de IA e dos seus subcomponentes: o modelo ou modelos, os dados, o caso de uso, a interface pela qual se acede e as ações que pode executar. A IA sombra, adotada por uma equipa sem aprovação central, é a lacuna mais comum e o lugar onde se esconde o risco não controlado.
Classificar o risco de cada sistema
Em seguida, classifica-se cada sistema registado face às classes de risco do regulamento e ao próprio apetite de risco. A classificação torna a governança proporcionada: uma ferramenta interna de risco mínimo não deve suportar a mesma carga de controlos de um sistema de risco elevado que afeta a saúde, o emprego ou o crédito. O nível determina a extensão da documentação e da supervisão.
Mapear as obrigações em controlos
Cada obrigação aplicável a um sistema torna-se num ou vários controlos. Alguns são fundamentais e valem para toda a organização, como manter uma política de IA ou um procedimento de resposta a incidentes. Outros são específicos do sistema, como testar o enviesamento de um modelo ou registar as suas decisões. Esta correspondência é o coração da governança: converte um requisito legal ou ético numa ação concreta pela qual uma pessoa responde.
Instrumentar a prova
O último elo é a prova. Cada controlo deveria produzir um artefacto: documentação técnica, uma ficha de modelo, uma ficha do conjunto de dados, um resultado de teste, um registo de aprovação, um registo de monitorização após a comercialização. A prova transforma uma mera afirmação de conformidade num facto demonstrável, e é exatamente o que um organismo notificado, uma autoridade ou um cliente pede para ver. Esta cadeia do inventário à prova é a espinha dorsal da plataforma AI Sigil.
O modelo operacional: quem decide o quê
Um sistema operativo precisa de operadores. O modo de falha estrutural da governança é a responsabilidade difusa, em que todos são vagamente responsáveis e, portanto, ninguém. Um modelo que funciona corrige-o com três movimentos.
Primeiro, institui uma supervisão: um comité de governança de IA ou um órgão ao nível do conselho que fixa a política, aprova as implementações de risco elevado e assume o programa. É aí que reside a responsabilidade última, e os supervisores esperam cada vez mais que exista de forma formal.
Depois, atribui responsáveis designados por sistema. A classificação do risco, os dados de entrada, a monitorização e a resposta a incidentes exigem, cada uma, uma pessoa concreta. Uma matriz de responsabilidades, que indica para cada controlo quem executa, quem responde, quem é consultado e quem é informado, elimina a ambiguidade que as auditorias penalizam.
Por fim, respeita a distinção entre fornecedor e responsável pela implementação. O regulamento atribui deveres distintos consoante o papel: a organização que constrói e coloca um sistema no mercado (fornecedor) não suporta as mesmas obrigações da que usa um sistema de terceiros (responsável pela implementação), ainda que se trate do mesmo sistema (Comissão Europeia, regulamento da IA). Muitas organizações são ambas em simultâneo, e a sua governança tem de acompanhar o papel assumido em cada sistema.
Construir o seu quadro de governança: uma sequência prática
Não existe um quadro único, mas uma ordem de operações sensata. Trate o que se segue como uma sequência mais do que como uma lista, porque cada passo depende do anterior.
- Delimitar e inventariar. Registe cada sistema de IA e os seus componentes, incluindo os adotados de forma informal. O inventário é o alicerce.
- Classificar o risco. Gradue cada sistema segundo as classes do regulamento e o seu apetite de risco, para que o esforço vá para onde importa.
- Escolher os quadros. Adote o regulamento como fonte de obrigações, a ISO/IEC 42001 como sistema de gestão e o NIST AI RMF como ciclo de risco. Acrescente as regras setoriais.
- Definir políticas e controlos. Redija as políticas gerais e derive delas os controlos específicos de cada sistema.
- Atribuir responsáveis. Associe a cada controlo um responsável designado e uma matriz de responsabilidades. Os controlos sem dono degradam-se.
- Instrumentar a prova. Decida, por controlo, que artefacto o comprova e onde reside. Integre a recolha de provas no fluxo de trabalho.
- Monitorizar e rever. Faça girar Measure e Manage em contínuo: deriva, incidentes, alterações do sistema ou da lei.
- Preparar a auditoria. Mantenha a documentação pronta para a conformidade, de modo que uma avaliação seja uma recuperação de evidências e não uma corrida apressada.
As equipas que queiram ver esta sequência instrumentada em vez de mantida em folhas de cálculo podem observar a sua implementação na plataforma AI Sigil, que modela o inventário, os níveis de risco, os controlos e as evidências como um único sistema ligado.
Perguntas frequentes
Qual é a diferença entre governança de IA e gestão de risco da IA? A governança é o sistema amplo de direitos de decisão, políticas, funções e controlos que orienta o uso da IA. A gestão de risco é um processo interno à governança: identificar, avaliar e tratar os riscos de um dado sistema. A gestão de risco diz o que pode correr mal; a governança decide quem responde, que controlos se aplicam e como a organização o demonstra. Só ganha valor dentro de uma estrutura de governança que atribui responsabilidade e capta provas.
A governança de IA é uma obrigação legal? Cada vez mais, sim. O regulamento europeu impõe obrigações vinculativas aos sistemas de risco elevado e de uso geral, com coimas até 35 000 000 EUR ou 7 % do volume de negócios mundial para as infrações mais graves. Outras jurisdicciones estão a seguir. Mesmo sem uma lei diretamente aplicável, clientes, seguradoras e conselhos já pedem provas de governança.
Que quadro adotar: regulamento europeu, ISO 42001 ou NIST AI RMF? Os três, porque atuam em níveis distintos. O regulamento é a obrigação legal se operar na União ou vender para ela. A ISO/IEC 42001 oferece um sistema de gestão certificável para governar de forma contínua. O NIST AI RMF estrutura o trabalho de risco subjacente e serve em todo o lado, também fora dos Estados Unidos. São complementares, não alternativos.
Quem deve assumir a governança de IA na organização? A supervisão cabe a um comité de governança de IA interfuncional ou a um órgão do conselho, porque a responsabilidade tem de assentar onde está a autoridade. No dia a dia, cada sistema precisa de responsáveis designados para a sua classificação de risco, os seus dados, a sua monitorização e os seus incidentes. É essa combinação que os auditores procuram.
O que é a IA sombra e porque importa para a governança? A IA sombra é qualquer sistema ou ferramenta de IA usada na organização sem passar por uma revisão central, por exemplo uma equipa que adota em silêncio um chatbot público para dados de clientes. Importa porque a governança só pode cobrir o que conhece. Os sistemas não registados transportam risco não gerido e são uma fonte frequente de fuga de dados, daí a primazia do inventário.
Como provamos que a nossa governança funciona mesmo? Com provas. Cada controlo do programa deveria gerar um artefacto: documentação técnica, fichas de modelo, fichas de conjuntos de dados, resultados de teste, registos de aprovação e registos de monitorização. Quando uma autoridade, um organismo notificado ou um cliente pergunta, recuperam-se os artefactos em vez de descrever intenções. Uma governança incapaz de produzir provas equivale, para um auditor, à ausência de governança.
Conclusão
A forma útil de pensar a governança de IA não é um documento que se arquiva, mas um sistema operativo que se faz funcionar. A sua função é ligar três coisas que as organizações costumam manter separadas: a obrigação que uma lei ou norma impõe, o controlo que a cumpre e a prova de que foi cumprida. O regulamento europeu fornece as obrigações, a ISO/IEC 42001 o sistema de gestão e o NIST AI RMF o ciclo de risco, mas o valor reside em ligá-los numa cadeia do inventário à prova, com um responsável designado em cada elo. Para ver o modelo na prática, explore a plataforma AI Sigil.